Les informations que votre patron collecte sur vous pourraient atteindre Facebook et des entreprises russes

Si votre employeur a installé un logiciel qui suit vos heures de travail, votre localisation ou votre niveau d'activité, il est possible qu'il ne soit pas le seul à être exposé aux informations collectées sur vous. Une enquête menée par des chercheurs de quatre institutions universitaires américaines a testé neuf systèmes courants de surveillance des employés et a découvert que les neuf systèmes transféraient des informations d'identification sur les employés à des entreprises externes.

Parmi les entreprises ayant reçu des informations figurent Facebook, Google, Microsoft et la société de publicité AppLovin. Des informations sur l'activité en ligne ont également été envoyées vers des domaines de Yandex, le géant technologique russe. Les conclusions, publiées dans une étude en mai, ont bénéficié d'une nouvelle exposition dans des rapports de l'Associated Press et de Fortune.

Les chercheurs se sont fait passer pour des employeurs, puis pour des employés, afin de vérifier ce qui se passe en coulisses. Ils se sont inscrits sur neuf plateformes de surveillance — Apploye, Deputy, Desklog, Hubstaff, Monitask, Buddy Punch, Time Doctor 2, VeriClock et When I Work — et ont suivi les informations que les applications envoient réellement à des services externes. Les résultats ont été sans équivoque : sur les neuf plateformes, un transfert d'informations d'identification a été identifié, notamment le prénom, le nom, l'adresse e-mail et le nom de l'entreprise.

Au total, les chercheurs ont documenté 121 cas uniques de partage d'informations avec des entreprises externes. De plus, des données sur l'activité en ligne — telles que l'adresse IP, les détails de l'appareil, les pages visitées et les identifiants numériques — ont été envoyées vers 145 domaines externes différents, dont Google, LinkedIn, Bing, Stripe et Yandex.

Il est important de nuancer : le simple fait d'envoyer des informations vers le domaine d'une entreprise externe ne signifie pas nécessairement que l'entreprise a « vendu » les informations ou qu'elles ont été réellement utilisées à des fins publicitaires. L'étude a vérifié le flux de données, et non ce que ces parties en ont fait après les avoir reçues.

Risques liés à la localisation

Les informations collectées ne se limitent pas au nom et à l'adresse e-mail. Les chercheurs ont découvert que trois des neuf systèmes testés incluent des options permettant de suivre la localisation exacte de l'employé, même lorsque l'application fonctionne en arrière-plan ou lorsque l'employé n'est pas connecté au travail. Dans trois systèmes, il est également possible de définir que l'employé devra autoriser l'accès aux capteurs de mouvement du téléphone, tels que l'accéléromètre et le gyroscope, pour se connecter à un quart de travail.

Les chercheurs soutiennent qu'une partie du partage d'informations n'est pas expliquée clairement aux employés et peut contredire les politiques de confidentialité des plateformes elles-mêmes. Ils appellent les régulateurs à limiter les types d'informations autorisées à être collectées, la durée de conservation et les parties auxquelles elles peuvent être transférées.

Le sujet est devenu particulièrement important depuis la pandémie, lorsque l'utilisation de logiciels « Bossware » — systèmes permettant de suivre les frappes au clavier, l'activité informatique, les captures d'écran et la localisation — a explosé. Aujourd'hui, avec des capacités d'IA et d'analyse de données plus avancées, ces informations peuvent être utilisées pour classer les employés et analyser leurs modèles de comportement.

Les experts en confidentialité recommandent avant tout de découvrir quels outils de surveillance sont actifs dans l'organisation et de séparer autant que possible la vie personnelle de l'équipement professionnel : n'utilisez pas l'ordinateur ou le téléphone fourni par l'employeur pour des questions médicales, familiales ou personnelles sensibles.