L’EFF révèle que les SDK publicitaires Android divulguent la localisation des utilisateurs

L'Electronic Frontier Foundation a publié une nouvelle étude révélant que les développeurs d'applications Android partagent par inadvertance les données de localisation précises de millions d'utilisateurs avec des annonceurs et des courtiers en données via des kits de développement logiciel (SDK) tiers intégrés, soulevant de nouvelles inquiétudes concernant les pipelines de données cachés de l'écosystème publicitaire mobile.

Comment les SDK exploitent les autorisations des applications

Le rapport de l'EFF, publié cette semaine, a révélé que les SDK publicitaires intégrés dans les applications Android peuvent hériter des autorisations de localisation de l'application hôte par défaut, collectant les données de géolocalisation précises des utilisateurs sans nécessiter de consentement distinct. À moins que les développeurs ne désactivent activement la collecte, ces bibliothèques de code commencent à siphonner les informations de localisation dès qu'un utilisateur accorde l'accès à l'application.techcrunch+2

"Les autorisations de localisation au niveau de l'application ne peuvent à elles seules signaler un consentement significatif à la collecte et au partage de localisation par des SDK publicitaires tiers", a écrit l'EFF dans son rapport. "Les SDK publicitaires ne devraient pas faire du partage de données personnelles la valeur par défaut, surtout pour des données aussi sensibles que la localisation précise d'une personne".mezha+2

Parmi les applications identifiées par l'EFF comme partageant discrètement des données de localisation, deux totalisaient 60 millions de téléchargements, selon TechCrunch. L'organisation a mené ses tests en analysant le trafic réseau des applications pour déterminer quels services recevaient les données de localisation des utilisateurs.techcrunch+1

Une faille dans les contrôles de confidentialité de Google

La recherche met en évidence une faiblesse structurelle dans le cadre des autorisations Android d'Alphabet Inc. ↘ 0.06%. Bien qu'Android exige le consentement explicite de l'utilisateur avant qu'une application puisse accéder aux données de localisation, il n'existe "aucune autorisation de localisation spécifique aux SDK", a noté l'EFF. Une fois qu'un utilisateur accorde l'accès à la localisation à une application, chaque bibliothèque tierce intégrée peut puiser dans ce même flux de données, créant ce que les défenseurs de la vie privée décrivent comme un déficit de consentement.mezha+1

Les entités proposant ces SDK sont "généralement incitées commercialement à pousser leurs clients à collecter davantage de données", a rapporté TechCrunch. Les historiques de localisation collectés via ces canaux finissent chez des courtiers en données qui vendent ces informations à des annonceurs, des détaillants et des agences gouvernementales, notamment le FBI et le renseignement militaire.techcrunch+1

Une pression réglementaire croissante

Ces conclusions arrivent dans un contexte réglementaire qui se durcit. La Virginie est devenue le troisième État américain à interdire la vente de données de géolocalisation en avril 2026, et des cadres de confidentialité tels que le RGPD en Europe et le CCPA en Californie classent les données de localisation parmi les catégories les plus sensibles d'informations personnelles.techbuzz+1

L'EFF a exhorté les développeurs à auditer leurs intégrations SDK et à désactiver la collecte de données inutile. Les défenseurs de la vie privée font pression pour de nouvelles normes techniques qui obligeraient les SDK à déclarer leurs pratiques en matière de données dans des formats lisibles par machine, permettant des audits automatisés par les magasins d'applications et les outils de développement. Pour l'instant, le fardeau repose en grande partie sur les développeurs, dont beaucoup manquent de ressources pour examiner le code tiers dont ils dépendent pour monétiser leurs applications.techcrunch+2