LinkedIn accusé de scanner secrètement les navigateurs dans l'enquête « Browsergate »

Une enquête désormais largement connue sous le nom de « Browsergate » a formulé de graves allégations contre LinkedIn, accusant la plateforme de réseautage professionnel de scanner secrètement les extensions de navigateur installées par les utilisateurs et de collecter 48 caractéristiques distinctes de leurs appareils sans consentement des utilisateurs ni divulgation significative dans sa politique de confidentialité. Si ces affirmations résistent à un examen approfondi, cela pourrait représenter l'une des controverses les plus importantes en matière de collecte de données par une grande plateforme grand public.

Les allégations portent sur deux comportements spécifiques : le scan de milliers d'extensions de navigateur installées et la collecte de 48 caractéristiques distinctes des appareils des utilisateurs. Selon l'enquête, ces données seraient ensuite transmises aux serveurs de LinkedIn et, selon certaines sources, à des sociétés de sécurité tierces. L'ampleur est frappante. Certaines estimations citées dans les articles couvrant l'enquête suggèrent que jusqu'à 405 millions d'utilisateurs dans le monde pourraient être concernés.

Quelles données sont prétendument collectées, et pourquoi cela est important

L'inquiétude va au-delà du simple fingerprinting d'appareil. Les extensions de navigateur peuvent révéler énormément sur les habitudes, les convictions et la situation personnelle d'un individu. Une personne possédant des extensions liées à du contenu religieux, à la gestion de la santé, à l'activisme politique ou à la recherche d'emploi expose effectivement des informations personnelles à travers son profil de navigateur, souvent sans en avoir conscience.

Ce qui rend les allégations de Browsergate particulièrement graves, c'est l'affirmation selon laquelle les données collectées ne sont pas stockées de manière isolée. Selon l'enquête, les informations seraient directement associées aux noms réels des utilisateurs, à leurs employeurs et à leurs intitulés de poste. Ce lien transforme des données techniques apparemment anonymes en profils individuels détaillés auxquels est attaché un contexte professionnel.

Cela est important car LinkedIn occupe une position inhabituelle parmi les plateformes sociales. Les utilisateurs y partagent généralement leur véritable identité, leur employeur actuel, leur parcours professionnel et leur réseau. La combinaison de ces données d'identité vérifiées avec des caractéristiques de navigateur collectées secrètement et des listes d'extensions crée une profondeur de profil qui dépasse largement ce que la plupart des utilisateurs considéreraient comme acceptable compte tenu de la vocation déclarée de la plateforme.

Implications réglementaires au regard du RGPD et du Digital Markets Act

L'enquête soulève des questions précises sur la conformité avec les réglementations européennes en matière de protection de la vie privée. Le Règlement général sur la protection des données interdit la collecte de données personnelles sans base légale et sans divulgation claire aux utilisateurs. Le Digital Markets Act impose des obligations supplémentaires aux grandes plateformes opérant dans l'Union européenne.

Si les pratiques de collecte de données alléguées n'ont pas été divulguées dans la politique de confidentialité de LinkedIn, cette omission à elle seule serait susceptible de susciter l'intérêt des régulateurs. Les autorités européennes de protection des données ont démontré leur volonté d'enquêter sur les grandes entreprises technologiques et de les sanctionner pour des violations du RGPD, et le suivi comportemental non divulgué a été un axe récurrent des actions répressives.

LinkedIn n'a pas, à l'heure où ces lignes sont écrites, publié de réponse publique détaillée abordant les affirmations techniques spécifiques formulées dans l'enquête. Ce silence pourrait lui-même devenir un facteur déterminant si les régulateurs choisissent de donner suite à l'affaire.

Ce que cela signifie pour vous

Pour l'utilisateur moyen de LinkedIn, les allégations de Browsergate rappellent concrètement que les pratiques de collecte de données de toute plateforme peuvent aller bien au-delà de ce qui est visible dans les menus de paramètres standard ou résumé dans une politique de confidentialité.

Les extensions de navigateur constituent un vecteur particulièrement négligé. La plupart des gens installent des extensions par commodité et ne réfléchissent guère ensuite aux informations que ces extensions pourraient révéler sur eux de manière agrégée. L'allégation selon laquelle LinkedIn scanne et répertorie activement ces extensions suggère que l'infrastructure de navigation ordinaire peut devenir une source de données de façons auxquelles les utilisateurs n'ont pas consenti.

Le fingerprinting d'appareil, qui consiste à combiner plusieurs caractéristiques matérielles et logicielles pour créer un identifiant unique, est une technique bien documentée utilisée sur l'ensemble du web. Il peut persister même lorsque les cookies sont effacés ou qu'un VPN est utilisé, car il s'appuie sur les caractéristiques de l'appareil lui-même plutôt que sur des identifiants stockés. La connaissance de cette technique est la première étape pour comprendre votre exposition.

Mesures pratiques à envisager :

  • Examinez et vérifiez régulièrement vos extensions de navigateur installées, en supprimant celles que vous n'utilisez plus activement
  • Vérifiez les paramètres de confidentialité de votre navigateur et déterminez si votre navigateur actuel offre une résistance au fingerprinting
  • Lisez les politiques de confidentialité des plateformes que vous utilisez à des fins professionnelles, en particulier les sections portant sur la collecte de données et le partage avec des tiers
  • Suivez l'actualité réglementaire concernant les plateformes dont vous dépendez, car les mesures d'application font souvent émerger des détails que les entreprises ne divulguent pas spontanément

L'enquête Browsergate est toujours en cours, et il est utile de suivre si LinkedIn répondra de manière substantielle ou si les régulateurs donneront suite aux allégations. Quelle que soit l'issue de ce cas particulier, il illustre que comprendre ce qu'une plateforme collecte, et si cela correspond à ce qu'elle divulgue, est une démarche raisonnable et nécessaire dans le cadre de toute utilisation professionnelle d'un service en ligne.