RSA Conference 2009, San Francisco. « Je peux vous assurer que la NSA rêverait d’avoir accès aux mêmes données que Google », clame Ira Winkler, ex-NSA devenu consultant. Devant le parterre des visiteurs venus l’écouter à l’occasion de sa conférence au Moscone Center, Ira Winkler s’apprête à monter au créneau contre Google.

Que reproche-t-il au géant ? En premier lieu, de ne pas en faire assez pour protéger les données qu’il détient sur ses utilisateurs. « Lorsque Google a tenté de résister à une injonction de la justice américaine qui lui ordonnait de livrer les recherches des internautes, il est passé pour un héros aux yeux du web. Mais la vraie question à se poser est plutôt de savoir pourquoi Google avait encore ces données en stock ! », attaque Winkler.

Et ce sera d’ailleurs là son argument principal : si Microsoft ou le gouvernement américain tentait d’accumuler autant de données personnelles que ne le fait Google, ce serait la révolution. Alors que l’on pardonne tout au géant de la recherche. « Ses fans sont terriblement fidèles et applaudissent à chaque nouvelle fonctionnalité, même lorsqu’on leur montre le potentiel d’abus. Un peu comme l’étaient les enthousiastes de la première heure pour Microsoft », poursuit Ira Winkler.

Un Microsoft que Winkler va même jusqu’à dédouaner tant il considère Google « evil ». Selon lui, le pêché de Microsoft est celui de la gourmandise commerciale, et ce serait presque mineur face aux ambitions de Google. « Microsoft veut vous vendre les outils qui vont gérer vos données. Mais il ne touche pas à ces dernières. Google, lui, ne prétend rien vous vendre mais veut gérer toutes vos données chez lui ».

Mais que est le risque, exactement ? La corrélation abusive de ces données. « Google a les moyens de vous connaître probablement mieux que beaucoup de personnes de votre entourage », assène Winkler. Et de prendre comme exemple les multiples facettes du géant, qui collecte des données tout azimut. Ainsi, dans un scénario proche du film d’espionnage, Winkler explique comment Google peut avoir accès aux intentions de trajet de ses utilisateurs (Google Transit ) et, une fois en route, serait en mesure de les localiser en temps réel (Google Latitude ). Le moteur de recherche serait également capable de savoir qui ces mêmes utilisateurs vont rencontrer lors de tels déplacements (Google Agenda ) et pourrait même déterminer le motif de ces rencontres si elles sont organisées via GMail .

Le consultant n’oublie pas, bien entendu, ce que révèlent d’un utilisateur ses recherches web (« qui parmi vous peut dire qu’il est fier de toutes ses recherches sur Google ? », demande-t-il alors). Mais celles-ci peuvent aussi être enrichies d’informations sur ses achats (Google Checkout ) ou de ce qu’il dit au téléphone (Google Talk ).

Ajoutons à ce sujet qu’il est très difficile d’échapper au pistage sur le web : grâce à ses services de publicité AdSense ou son outil de statistiques web (Google Analytics ), Google a de grande chance d’être déjà présent sur une majorité de sites visités (et donc de garder la trace du passage de l’internaute), même si ces derniers sont accédés directement sans passer par une recherche.

Pour les entreprises, enfin, des services tels Google Docs (« les documents de vos utilisateurs n’ont potentiellement aucun secret pour Google ») ou SketchUP (« ni d’ailleurs vos planches 3D ») peuvent devenir un cauchemar en matière de propriété intellectuelle, promet Ira Winkler.

Mais où veut en venir le consultant ? « Que fait Google pour protéger légalement ces données ? Rien. Que peut-il faire avec ? Ce qu’il veut », insinue Ira Winkler. Et de citer les récentes démêlées de Google avec la justice (au japon) ou avec les habitants d’une rue britannique qui ne souhaitaient pas se voir photographiés pour Google Street View . « Et qu’a fait Google dans ce cas ? Il a fait monter au créneau ses avocats et, en substance, il a expliqué que c’était pour le bien du web et que la discussion était close », fulmine Winkler.

Si la conférence avait pu durer une heure encore Ira Winkler n’aurait probablement pas tari d’exemples. Google Health (uploadez votre dossier médical chez Google) le laisse notamment sans voix. Mais, ajoute-t-il, au moins y a-t-il des lois pour protéger ces informations (HIPAA aux Etats-Unis).

« Nous critiquons le monopole en matière de logiciels, mais qu’en est-il du monopole de l’information », s’interroge enfin Winkler. Et c’est finalement ici qu’il veut en venir : il estime qu’il serait utile de légiférer sur la corrélation des données et non plus uniquement sur leur acquisition qui, manifestement, ne pose aucune difficulté.

Le problème est bien entendu épineux et Ira Winkler ne fait que le soulever, sans apporter ne serait-ce qu’un début de solution. Mais il offre, au moins, une piste que ne semble pas avoir encore considérée la Commission Européenne, déjà penchée sur le cas Google depuis longtemps.