Les enquêteurs canadiens ont déterminé que les utilisateurs de l’application mobile de la chaîne de cafés Tim Hortons “voyaient leurs mouvements suivis et enregistrés toutes les quelques minutes de chaque jour”, même lorsque l’application n’était pas ouverte, en violation des lois sur la confidentialité du pays.
“L’application Tim Hortons a demandé la permission d’accéder aux fonctions de géolocalisation de l’appareil mobile, mais a induit en erreur de nombreux utilisateurs en leur faisant croire que les informations ne seraient accessibles que lorsque l’application était en cours d’utilisation. En réalité, l’application suivait les utilisateurs tant que l’appareil était allumé, recueillant continuellement leurs données de localisation », selon une annonce faite mercredi par le Commissariat à la protection de la vie privée du Canada. Le bureau fédéral a collaboré avec les autorités provinciales du Québec, de la Colombie-Britannique et de l’Alberta dans le cadre de l’enquête sur Tim Hortons.
“L’application a également utilisé des données de localisation pour déduire où les utilisateurs vivaient, où ils travaillaient et s’ils voyageaient”, a déclaré le Commissariat à la protection de la vie privée. “Cela générait un “événement” chaque fois que les utilisateurs entraient ou sortaient d’un concurrent de Tim Hortons, d’un site sportif majeur, de leur domicile ou de leur lieu de travail.”
Tim Hortons a abandonné son intention d’utiliser l’application pour la publicité ciblée, mais “a continué à collecter de grandes quantités de données de localisation” pendant une autre année “même s’il n’avait aucun besoin légitime de le faire”, a déclaré le Commissariat à la protection de la vie privée. Tim Hortons a déclaré avoir utilisé des données de localisation agrégées “pour analyser les tendances des utilisateurs – par exemple, si les utilisateurs sont passés à d’autres chaînes de café et comment les mouvements des utilisateurs ont changé à mesure que la pandémie s’est installée”, a déclaré le bureau fédéral.
“Forme inappropriée de surveillance”
“Tim Hortons a clairement franchi la ligne en amassant une énorme quantité d’informations hautement sensibles sur ses clients”, a déclaré le commissaire à la protection de la vie privée du Canada, Daniel Therrien. “Suivre les mouvements des gens toutes les quelques minutes de chaque jour était clairement une forme de surveillance inappropriée.”
Tim Hortons compte plus de 5 100 magasins dans 13 pays. La plupart sont au Canada, mais il y en a plus de 600 aux États-Unis, principalement à New York, au Michigan et en Ohio.
Tim Hortons a interrompu le suivi continu des emplacements des utilisateurs en 2020 après que le gouvernement a commencé à enquêter. Mais cela “n’a pas éliminé le risque de surveillance” parce que “le contrat de Tim Hortons avec un fournisseur de services de localisation tiers américain contenait un langage si vague et permissif qu’il aurait permis à l’entreprise de vendre des données de localisation” anonymisées “pour ses propres fins », a déclaré le Commissariat à la protection de la vie privée. Comme l’a noté le bureau, il “existe un risque réel que les données de géolocalisation anonymisées soient réidentifiées”.
Tim Hortons a accepté de mettre en œuvre les recommandations des agences, mais ne fera apparemment face à aucune sanction. Le rapport d’enquête indique que les engagements de Tim Hortons « mettront l’entreprise en conformité » avec la loi canadienne et que « nous concluons donc que cette affaire est fondée et conditionnellement résolue ». C’est le langage utilisé lorsqu’une organisation enfreint les lois canadiennes sur la protection de la vie privée mais s’est «engagée à mettre en œuvre des mesures correctives satisfaisantes».
L’annonce indique que Tim Hortons a accepté de “supprimer toutes les données de localisation restantes et d’ordonner aux fournisseurs de services tiers de faire de même”, de mettre en œuvre un programme de confidentialité qui “comprend des évaluations d’impact sur la confidentialité pour l’application et toute autre application qu’il lance”, de mettre en œuvre “un processus pour s’assurer que la collecte d’informations est nécessaire et proportionnelle aux impacts sur la vie privée identifiés », et garantir « que les communications sur la confidentialité sont cohérentes avec les pratiques liées aux applications et les expliquent de manière adéquate ». Tim Hortons a également accepté de faire rapport au gouvernement avec des détails sur sa conformité.
Reporter a découvert une violation de la vie privée
L’enquête a commencé après un rapport du Financial Post de juin 2020 intitulé « Suivi double-double : comment Tim Hortons sait où vous dormez, travaillez et partez en vacances ». Le journaliste James McLeod a découvert que “Tim Hortons avait enregistré mes coordonnées de longitude et de latitude plus de 2 700 fois en moins de cinq mois, et pas seulement lorsque j’utilisais l’application”, même si l’application “indiquait aux clients qu’elle suivait l’emplacement” uniquement lorsque vous avez l’application ouverte.'”
La déclaration de Tim Hortons a déclaré : « En juin 2020, nous avons pris des mesures immédiates pour améliorer la façon dont nous communiquons avec les clients au sujet des données qu’ils partagent avec nous et avons commencé à revoir nos pratiques de confidentialité avec des experts externes. Peu de temps après, nous avons supprimé de manière proactive la technologie de géolocalisation décrite dans le rapport de l”application Tims. Les données de cette technologie de géolocalisation n”ont jamais été utilisées pour le marketing personnalisé pour les clients individuels. L”utilisation très limitée de ces données était sur une base agrégée et anonymisée pour étudier les tendances de notre entreprise – et les résultats n”ont pas contenir des informations personnelles de tous les invités. »
La commissaire à l’information et à la protection de la vie privée de l’Alberta, Jill Clayton, a déclaré que l’enquête fournit “un autre exemple où une organisation n’a pas informé efficacement les clients de ses pratiques. Les clients de Tim Hortons ne disposaient pas d’informations adéquates pour consentir au suivi de localisation qui se produisait réellement”.
Cette histoire est apparue à l’origine sur Ars Technica.
