Les récentes révélations sur l'étendue des activités de surveillance électronique de la National Security Agency (NSA) témoignent de l'intérêt des autorités pour les métadonnées. Ces renseignements techniques, qui détaillent vos appels sans en expliciter le contenu, sont colligés par les opérateurs téléphoniques sans véritable contrôle. Ils peuvent pourtant en dire long sur vos us et coutumes, permettant notamment de savoir à qui vous avez parlé, pour combien de temps, mais aussi obtenir des détails sur vos déplacements.

La géolocalisation est devenue, au fil des ans, une affaire banale pour les adeptes de téléphones intelligents, qui utilisent cette capacité pour se rendre à destination sans soucis - ou même pour relayer leur position du moment à des amis.

Mais les appareils génèrent aussi, sans l'intervention de l'utilisateur, des renseignements de localisation susceptibles de se retrouver, pour une période indéterminée, dans les serveurs des entreprises de téléphonie avec d'autres métadonnées décrivant la durée des appels et les numéros des personnes contactées.

Ces informations sont notamment générées relativement à la position de la tour de transmission cellulaire la plus proche de l'appareil lors des contacts électroniques avec le réseau.

«Les métadonnées sont des informations extrêmement riches. On peut en savoir beaucoup sur quelqu'un en regardant qui il a appelé, pour combien de temps, à partir de quel endroit. Il est possible d'établir une cartographie sociale élaborée de chaque individu», explique Patrick Toomey, qui s'occupe des questions de sécurité nationale à l'American Civil Liberties Union (ACLU).

Pour constater de visu la production de données de ce type, La Presse a fait appel à un spécialiste en sécurité informatique, François Proulx, qui a réussi à pénétrer dans la mémoire d'un iPhone 4 fourni par un journaliste.

En une quinzaine de minutes, M. Proulx, qui programme des applications de téléphonie mobile, a pu accéder à un fichier "cache" dans lequel figure une longue liste de positions latitudinales et longitudinales.

Celles-ci décrivent notamment les coordonnées des points d'accès wi-fi rencontrés à proximité du téléphone ainsi que la position des tours de transmission cellulaire croisées.

Bien qu'il utilise régulièrement, dans le cadre de son travail, les capacités de géolocalisation des appareils, M. Proulx s'est dit incapable de préciser à quelle fréquence et pendant combien de temps les données de localisation liées à un usager donné pouvaient être stockées par les opérateurs téléphoniques ou les exploitants des applications.

«A priori, il n'y a rien pour procéder à la facturation qui les oblige à garder ces données pour des semaines et des semaines», souligne-t-il.

Les entreprises canadiennes demeurent évasives en ce qui a trait à leurs pratiques dans ce domaine.

Données stockées

La firme Telus, par exemple, a initialement déclaré qu'elle ne stockait aucune donnée de géolocalisation. Sa porte-parole, Jacinthe Beaulieu, a confirmé par la suite que les données liées à l'emplacement de la tour associée à chaque appel étaient conservées à des fins de facturation, et effacées "ensuite". Elle a précisé que le temps de stockage pouvait varier de "quelques semaines à quelques mois».

«Notez que nous ne partageons pas d'information liée à nos clients et nous contestons les ordonnances judiciaires que nous jugeons abusives», a souligné la porte-parole, en relevant qu'un mandat dûment autorisé par un tribunal était requis pour que les forces policières puissent accéder aux données liées à un usager.

La porte-parole de Bell, Jacqueline Michelis, a indiqué que l'entreprise ne retient uniquement que les données sur ses clients requises pour des «raisons commerciales précises», par exemple la facturation. Elle a affirmé que la firme utilisait la géolocalisation seulement après avoir été autorisée par le client à le faire et ne transmettait des données aux autorités que si elles ont un mandat en bonne et due forme.

Les corps policiers, qui requièrent souvent l'accès à ces données pour des enquêtes, ne sont guère plus pressés de donner des détails sur les possibilités offertes par les pratiques de stockage existantes.

«Ce sont des techniques d'enquête privilégiées qui ne sont pas discutées avec la communauté... Donc, aucune question ne va être répondue à ce sujet-là», a déclaré une porte-parole de la Gendarmerie royale du Canada.

Du côté américain, un document du ministère de la Justice obtenu il y a quelques années par l'American Civil Liberties Union a révélé que les grands opérateurs téléphoniques stockaient les métadonnées pour une période variant de un à deux ans, ce qui semble sensiblement supérieur à ce que suggèrent les opérateurs canadiens.

Le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) affirme n'avoir aucune autorité dans ce domaine. «Il n'y a rien dans la loi sur les télécommunications», a indiqué un porte-parole.

Aucune plainte

Le bureau de la Commissaire à la protection de la vie privée a indiqué de son côté que les firmes stockant des métadonnées «seraient visées» par la Loi sur la protection des renseignements personnels et les documents électroniques.

«Aucune période de rétention précise n'est prévue par la loi. Les entreprises sont plutôt tenues de ne pas conserver de renseignements personnels au-delà de la période nécessaire pour la réalisation des fins pour lesquelles ils ont été recueillis», a précisé un porte-parole, Scott Hutchinson. Il a ajouté que la commissaire n'avait jamais traité de plainte à ce sujet.

Le flou existant relativement à la collecte et au stockage de métadonnées se reflète aussi côté américain, où certains États ont tenté de légiférer au cours des dernières années pour limiter leur utilisation.

Ces efforts n'ont pas empêché la NSA de colliger systématiquement les données d'usagers du réseau d'entreprises de l'opérateur Verizon, a révélé récemment l'ex-consultant Edward Snowden.

L'ACLU cherche à contester devant les tribunaux ce programme de collecte à grande échelle, qui contrevient au quatrième amendement de la Constitution protégeant la population contre les fouilles et les saisies abusives, note Patrick Toomey.

Son organisation, qui est une des clientes de Verizon, s'inquiète notamment de savoir que le gouvernement peut, par l'entremise de ses métadonnées téléphoniques, identifier des personnes qui la contactent pour l'informer sous couvert d'anonymat.

« Nous espérons créer un précédent que d'autres personnes pourront utiliser ensuite pour se soustraire à cette surveillance », souligne le porte-parole.