Actualisé Les applications Messages et Dialer de Google pour les appareils Android collectent et envoient des données à Google sans préavis et consentement spécifiques, et sans offrir la possibilité de se désinscrire, potentiellement en violation de la loi européenne sur la protection des données.

Selon un document de recherche, « Quelles données les applications Google Dialer et Messages sur Android envoient-elles à Google? » [PDF], par Douglas Leith, professeur d’informatique au Trinity College de Dublin, Google Messages (pour la messagerie texte) et Google Dialer (pour les appels téléphoniques) ont envoyé des données sur les communications des utilisateurs au service d’enregistrement Clearcut des services Google Play et au service Firebase Analytics de Google.

« Les données envoyées par Google Messages incluent un hachage du texte du message, permettant de lier l’expéditeur et le destinataire dans un échange de messages », indique le document. « Les données envoyées par Google Dialer incluent l’heure et la durée de l’appel, permettant à nouveau de relier les deux combinés engagés dans un appel téléphonique. Les numéros de téléphone sont également envoyés à Google.

Le moment et la durée des autres interactions des utilisateurs avec ces applications ont également été transmis à Google. Et Google n’offre aucun moyen de refuser cette collecte de données.

Google Messages (com.google.android.apps.messaging) est installé sur plus d’un milliard de combinés Android. Il est offert par AT & T et T-Mobile sur les téléphones Android aux États-Unis et est préchargé sur les combinés récents de Huawei, Samsung et Xiaomi. De même, Google Dialer (également connu sous le nom de Phone by Google, com.google.android.dialer) a la même portée.

Les deux versions préinstallées de ces applications, observe le document, manquent de politiques de confidentialité spécifiques aux applications qui expliquent quelles données sont collectées – ce que Google exige des développeurs tiers. Et lorsqu’une demande a été faite via Google Takeout pour les données de compte Google associées aux applications utilisées pour les tests, les données fournies par Google n’incluaient pas les données de télémétrie observées.

Les deux applications ont actuellement des liens sur Google Play vers Google politique de confidentialité des consommateurs, ce qui n’est pas spécifique à l’application et n’est pas nécessairement évident pour ceux qui reçoivent les applications préinstallées.

À partir de l’application Messages, Google prend le contenu du message et un horodatage, génère un hachage SHA256, qui est la sortie d’un algorithme qui mappe le contenu lisible par l’homme à un résumé alphanumérique, puis transmet une partie du hachage, en particulier une valeur tronquée de 128 bits, à l’enregistreur Clearcut de Google et à Firebase Analytics.

Les hachages sont conçus pour être difficiles à inverser, mais dans le cas de messages courts, Leith a déclaré qu’il pensait que certains d’entre eux pourraient être annulés pour récupérer une partie du contenu du message.

« Des collègues me disent que oui, en principe, cela sera probablement possible », a déclaré Leith dans un courriel à Le registre Aujourd’hui. « Le hachage comprend un horodatage horaire, il impliquerait donc de générer des hachages pour toutes les combinaisons d’horodatages et de messages cibles et de les comparer au hachage observé pour une correspondance – faisable je pense pour les messages courts compte tenu de la puissance de calcul moderne. »

L’application Dialer enregistre également les appels entrants et sortants, ainsi que l’heure et la durée de l’appel.

Comme l’indique le document, Google Play Services révèle que certaines données sont collectées pour la sécurité et la prévention de la fraude, pour maintenir les API des services Google Play et les services de base, et pour fournir des services Google tels que la synchronisation des signets et des contacts. Cependant, il ne détaille ni n’explique sa collection de contenu de message ou d’appelants et de destinataires d’appels. Comme le dit le document, « peu de détails sont donnés quant aux données réelles recueillies ».

« J’ai été surpris de voir ces données collectées par ces applications Google », a déclaré Leith.

Leith a révélé ses conclusions à Google en novembre dernier et a déclaré qu’il avait eu plusieurs conversations avec le directeur de l’ingénierie de Google pour Google Messages au sujet des changements suggérés.

Le document décrit neuf recommandations faites par Leith et six changements que Google a déjà apportés ou prévoit d’apporter pour répondre aux préoccupations soulevées dans le document. Les modifications que Google a accepté d’inclure :

• Révision du flux d’intégration de l’application afin que les utilisateurs soient informés qu’ils utilisent une application Google et qu’un lien vers la politique de confidentialité des consommateurs de Google leur soit présentée.
• Arrêt de la collecte du numéro de téléphone de l’expéditeur par la source du journal CARRIER_SERVICES, de l’ICCID 5 SIM et d’un hachage du texte du message envoyé/ reçu par Google Messages.
• Arrêt de la journalisation des événements liés aux appels dans Firebase Analytics à partir de Google Dialer et de Messages.
• Déplacer davantage de collecte de données de télémétrie pour utiliser l’identificateur de durée de vie le moins longue disponible dans la mesure du possible, plutôt que de le lier à celui d’un utilisateur parID Android sistent.
• Indiquer clairement quand l’identification de l’appelant et la protection anti-spam sont activées et comment elle peut être désactivée, tout en cherchant un moyen d’utiliser moins d’informations ou d’informations floues pour les fonctions de sécurité.

Google confirmé à Le registre lundi que les représentations du journal sur ses interactions avec Leith sont exactes. « Nous accueillons favorablement les partenariats – et les commentaires – des universitaires et des chercheurs, y compris ceux du Trinity College », a déclaré un porte-parole de Google. « Nous avons travaillé de manière constructive avec cette équipe pour répondre à leurs commentaires, et nous continuerons de le faire. »

Le document soulève des questions quant à savoir si les applications de Google sont conformes au RGPD, mais avertit que les conclusions juridiques sont hors de portée de ce qui est une analyse technique. Nous avons demandé à Google s’il pensait que ses applications respectaient les obligations du RGPD, mais nous n’avons reçu aucune réponse.

Nous avons travaillé de manière constructive avec cette équipe pour répondre à leurs commentaires, et nous continuerons de le faire.

Leith a déclaré qu’il n’était pas clair si les engagements de Google répondaient pleinement aux préoccupations qu’il avait soulevées.

« En particulier, ils disent qu’ils introduiront une bascule dans l’application Messages pour permettre aux utilisateurs de refuser la collecte de données, mais que cette désactivation ne couvrira pas les données que Google considère comme « essentielles », c’est-à-dire qu’ils continueront à collecter certaines données même lorsque les utilisateurs se désabonneront », a-t-il déclaré. « Dans mes tests, j’avais déjà choisi de ne pas collecter de données Google en désactivant l’option « Utilisation et diagnostics » de Google dans les paramètres du combiné, et les données que j’ai signalées ont donc déjà été jugées essentielles par Google. Je pense que nous devrons attendre et voir. »

Leith a déclaré qu’il y avait deux questions plus importantes liées au service Google Play, qui est installé sur presque tous les téléphones Android en dehors de la Chine.

« La première est que les données de journalisation envoyées par les services Google Play sont étiquetées avec l’identifiant Google Android qui peut souvent être lié à l’identité réelle d’une personne – de sorte que les données ne sont pas anonymes », a-t-il déclaré. La seconde est que nous savons très peu de choses sur les données envoyées par les services Google Play et sur les finalités. Cette étude est la première à faire la lumière là-dessus, mais ce n’est que la pointe de l’iceberg. » ®

Mise à jour pour ajouter

Dans un commentaire de suivi deux jours après la publication de cet article, un porte-parole de Google a déclaré que les données avaient été collectées à des fins de diagnostic: