ProPublica est une salle de rédaction d’investigation lauréate du prix Pulitzer. Inscrivez-vous à Le bulletin Big Story pour recevoir des histoires comme celle-ci dans votre boîte de réception.

Le lendemain de l’invasion de l’Ukraine par la Russie en février, président de la commission du renseignement du Sénat Mark Warner envoyé un lettre à Google l’avertissant d’être en alerte pour « l’exploitation de votre plate-forme par la Russie et des entités liées à la Russie », et appelant la société à vérifier la conformité de son activité publicitaire avec les sanctions économiques.

Mais pas plus tard que le 23 juin, Google partageait des données d’utilisateurs potentiellement sensibles avec une société de technologie publicitaire russe sanctionnée appartenant à la plus grande banque d’État de Russie, selon un nouveau rapport fourni à ProPublica.

Google a permis à RuTarget, une société russe qui aide les marques et les agences à acheter des annonces numériques, d’accéder et de stocker des données sur les personnes naviguant sur des sites Web et des applications en Ukraine et dans d’autres parties du monde, selon une étude de la société d’analyse publicitaire numérique Adalytics. Adalytics a identifié près de 700 exemples de RuTarget recevant des données utilisateur de Google après que la société a été ajoutée à une liste du Trésor américain des entités sanctionnées le 24 février. Le partage de données entre Google et RuTarget a cessé quatre mois plus tard, le 23 juin, le jour où ProPublica a contacté Google au sujet de l’activité.

RuTarget, qui opère également sous le nom de Segmento, appartient à Sberbank, une banque d’État russe que le Trésor a décrite comme « particulièrement importante » pour l’économie du pays lorsqu’elle a frappé le prêteur avec des sanctions initiales. RuTarget a ensuite été répertorié dans un Annonce du Trésor du 6 avril qui a imposé des sanctions de blocage totales à Sberbank et à d’autres entités et personnes russes. Les sanctions signifient que les individus et entités américains ne sont pas censés faire affaire avec RuTarget ou Sberbank.

Particulièrement préoccupant, l’analyse a montré que Google partageait des données avec RuTarget sur les utilisateurs naviguant sur des sites Web basés en Ukraine. Cela signifie que Google a peut-être fourni des informations critiques telles que des identifiants de téléphone mobile uniques, des adresses IP, des informations de localisation et des détails sur les intérêts des utilisateurs et l’activité en ligne, des données qui, selon les sénateurs et les experts américains, pourraient être utilisées par les services militaires et de renseignement russes pour suivre les personnes ou se concentrer sur les lieux d’intérêt.

En avril dernier, un groupe bipartite de sénateurs américains a envoyé une lettre à Google et à d’autres grandes entreprises de technologie publicitaire mettant en garde contre les implications pour la sécurité nationale des données partagées dans le cadre du processus d’achat d’annonces numériques. Ils ont déclaré que ces données utilisateur « seraient une mine d’or pour les services de renseignement étrangers qui pourraient les exploiter pour informer et dynamiser le piratage, le chantage et les campagnes d’influence ».

Le porte-parole de Google, Michael Aciman, a déclaré que la société avait empêché RuTarget d’utiliser ses produits publicitaires en mars et que RuTarget n’avait pas acheté d’annonces directement via Google depuis lors. Il a reconnu que la société russe recevait toujours des données d’achat d’utilisateurs et d’annonces de Google avant d’être alertée par ProPublica et Adalytics.

« Google s’engage à se conformer à toutes les sanctions applicables et aux lois de conformité commerciale », a déclaré Aciman. « Nous avons examiné les entités en question et avons pris les mesures d’application appropriées au-delà des mesures que nous avons prises plus tôt cette année pour les empêcher d’utiliser directement les produits publicitaires de Google. »

Aciman a déclaré que cette action consiste non seulement à empêcher RuTarget d’accéder davantage aux données des utilisateurs, mais aussi d’acheter des publicités par l’intermédiaire de tiers en Russie qui ne peuvent pas être sanctionnés. Il a refusé de dire si RuTarget avait acheté des annonces via les systèmes de Google en utilisant de tels tiers, et il n’a pas commenté si des données sur les Ukrainiens avaient été partagées avec RuTarget.

Krzysztof Franaszek, qui dirige Adalytics et est l’auteur du rapport, a déclaré que la capacité de RuTarget à accéder et à stocker les données des utilisateurs de Google pourrait ouvrir la porte à de graves abus potentiels.

« Pour autant que nous sachions, ils prennent ces données et les combinent avec 20 autres sources de données qu’ils ont obtenues de Dieu sait où », a-t-il déclaré. « Si les autres partenaires de données de RuTarget comprenaient le gouvernement russe, les services de renseignement ou les cybercriminels, il y a un énorme danger. »

Dans une déclaration à ProPublica, Warner, un démocrate de Virginie, a qualifié d’alarmant l’échec de Google à rompre sa relation avec RuTarget.

« Toutes les entreprises ont la responsabilité de s’assurer qu’elles n’aident pas à financer ou même à soutenir par inadvertance l’invasion de l’Ukraine par Vladimir Poutine. Entendre qu’une entreprise américaine mPartager les données des utilisateurs avec une entreprise russe – détenue par une banque d’État sanctionnée pas moins – est incroyablement alarmant et franchement décevant », a-t-il déclaré. « J’exhorte toutes les entreprises à examiner leurs opérations commerciales de fond en comble pour s’assurer qu’elles ne soutiennent en aucune façon la guerre de Poutine. »