Après le tollé général, Google va rétablir la liste des autorisations des applications Play Store

Il y a quelques jours, Google a commencé à déployer plus largement le nouvel écran « Sûreté des données » dans son Play Store, et cela a fait des vagues dans le monde de la technologie lorsque nous avons découvert que la nouvelle section remplaçait l'affichage normal des autorisations d'application. Après la réaction négative du public à la nouvelle, le compte Twitter officiel des développeurs Android a promis d'annuler le changement et de laisser l'écran des autorisations s'afficher côte à côte avec le nouvel affichage de la sûreté des données.

Il faut dire que « Sûreté des données » est une nouvelle section Play Store qui permet aux développeurs de répertorier les données qu'une application collecte, comment ces données sont stockées et avec qui les données sont partagées. Difficile de comprendre comment Google est arrivé à la conclusion que « Sûreté des données » était un remplacement acceptable à la liste d'autorisations d'applications. Il est vrai que les deux sections se chevauchent beaucoup - par exemple, vous verrez probablement "emplacement" sur les deux écrans si une application demande votre emplacement. Le problème vient de l'implémentation par Google de ces deux écrans. La liste des autorisations d'application est un enregistrement factuel, généré par ordinateur, des autorisations qu'une application peut demander, tandis que la section Sûreté des données est rédigée par le développeur. Vous ne pouvez pas tromper la liste des autorisations des applications, tandis que Sûreté des données fonctionne sur le système d'honneur.

En avril dernier, Google a introduit une nouvelle section « Sûreté des données » dans la liste des applications du Play Store pour résumer la façon dont les applications utilisent vos données personnelles. Selon Google, le but est d'améliorer la transparence sur la manière dont les applications collectent et traitent les données, suivant ainsi les traces d'Apple et des étiquettes de confidentialité de l'App Store. Cette nouvelle section fournit essentiellement un aperçu des données qu'une application collecte ou partage, si ces données sont sécurisées, et tout autre détail supplémentaire qui pourrait avoir un impact sur la confidentialité et la sûreté.

Si, d'une part, Google a introduit la section « Sûreté des données » sur le Play Store pour fournir aux utilisateurs davantage d'information sur la manière dont les applications utilisent leurs données, d'autre part, la société supprime des détails cruciaux des listes d'applications. En mars de cette année, Google a procédé à la suppression de certains points des listes Play Store pour certains utilisateurs. Ensuite, Google s'est débarrassé de la liste des autorisations. Rappelons que les listes d'applications sur le Play Store comprennent une section « Permissions » qui répertorie toutes les autorisations requises par chaque application.

Cette section permet aux utilisateurs de vérifier facilement toutes les autorisations requises par une application sans toutefois l'installer sur leur appareil, ce qui en fait une fonction pratique pour les personnes soucieuses de leur vie privée. Cependant, Google semble l'avoir supprimée pour toutes les applications. Les développeurs avaient jusqu'au 20 juillet 2022 pour soumettre le contenu de leur section "Sûreté des données". Voici le calendrier qu'avait fourni Google

• Octobre 2021 : Publication du formulaire sur la sécurité des données disponible sur la page Contenu de l'application dans la Play Console
  
  • Les développeurs peuvent le remplir et l'envoyer pour recevoir les premiers commentaires sur les problèmes identifiés. Durant cette période, les envois d'applications ne seront pas affectés par les informations fournies dans votre formulaire sur la sécurité des données. Notez cependant que d'autres problèmes de non-respect des règles peuvent avoir des conséquences sur votre application,
  • En cas de souci au niveau de votre formulaire sur la sécurité des données, vous recevrez un e-mail vous informant que le contenu de l'application a été approuvé malgré des problèmes. Vous devrez lire les informations fournies et prendre les mesures adéquates. Vous pouvez publier provisoirement les mises à jour de l'application en rétablissant manuellement le mode "Brouillon" pour votre formulaire sur la sécurité des données dans la Play Console,
  • S'ils ne l'ont pas déjà fait, les développeurs doivent ajouter un lien vers les règles de confidentialité de leur application ;
  
  
• Fin avril 2022 : Déploiement de la section sur la sécurité des données sur Google Play pour tous les utilisateurs. Si un PSL n'a pas encore été rempli ni envoyé pour une application, la mention "Aucune information disponible" sera affichée dans la section sur la sécurité des données de cette application
  
  • Si vous n'avez pas encore rempli ni envoyé le formulaire pour votre application, la mention "Aucune information disponible" sera affichée sur la fiche Play Store de l'application (dans la section sur la sécurité des données) ;
  
  
• 20 juillet 2022 : Les envois de nouvelles applications et les mises à jour d'application seront refusés dans la Play Console si les problèmes liés au formulaire n'ont pas été résolus ;
  
  • Pour tous les envois de nouvelles applications et toutes les mises à jour d'application, vous devez remplir un formulaire sur la sécurité des données. Vous ne pouvez plus publier d'application ni de mise à jour d'application si ce formulaire est incomplet ou que vous n'avez pas résolu les problèmes le concernant,
  • Si des problèmes persistent concernant les informations de la section sur la sécurité des données, les utilisateurs verront la mention "Aucune information disponible" dans cette section sur la fiche Play Store de votre application. Vous recevrez alors un e-mail vous indiquant les problèmes à résoudre,
  • Tous les envois de nouvelles applications et toutes les mises à jour d'application nécessitent des règles de confidentialité valides ;
  
  
• Après le 20 juillet 2022 : D'autres mesures pourront être prises par la suite pour les applications non conformes, comme la suppression de la fiche Play Store de l'application sur Google Play.

Dans l'ensemble, la section "Sûreté des données" mettra en évidence les éléments suivants :

• si le développeur collecte des données et dans quel but ;
• si le développeur partage des données avec des tiers ;
• les pratiques de sécurité de l'application, comme le chiffrement des données en transit et la possibilité pour les utilisateurs de demander la suppression des données ;
• si une application qualifiée s'est engagée à respecter les règles de Google Play relatives aux familles afin de mieux protéger les enfants dans le Play Store ;
• si le développeur a validé ses pratiques de sécurité par rapport à une norme de sécurité mondiale (plus précisément, la norme MASVS).

Comme pour les détails de l'application tels que les captures d'écran et les descriptions, les développeurs sont responsables des informations contenues dans cette section de leur application et de leur exactitude. Les règles du Google Play exigent que les informations contenues dans cette section soient exactes. Toute déformation des données par le développeur sera traitée comme une violation des règles de Google Play, ce qui signifie qu'une application peut être retirée du Google Play si elle ne divulgue pas correctement ou précisément les données qu'elle collecte et le traitement qu'elle en fait.


Une démarche qui n'a pas été bien accueillie

Cependant, selon les experts en cybersécurité, la suppression de la liste des autorisations ne semble pas être une bonne décision pour la vie privée du tout. À première vue, les entrées relatives à la sûreté des données peuvent sembler assez similaires à l'ancienne liste des autorisations des applications. On y trouve des éléments tels que la "localisation" et, à certains égards, c'est mieux qu'une simple liste d'autorisations, car les développeurs peuvent expliquer comment et pourquoi chaque donnée est collectée. Toutefois, la différence réside dans la manière dont ces données aboutissent dans le système de Google.

Plus précisément, l'ancienne liste des autorisations des applications était garantie comme étant factuelle. Pour cause, elle était construite automatique par Google lors de l'analyse d'une application. La nouvelle section "Sûreté des données", quant à elle, fonctionne sur le principe de l'honneur. Voici l'explication de Google aux développeurs sur le fonctionnement de la nouvelle section : « vous êtes seul responsable des déclarations complètes et exactes que vous faites dans la fiche de votre application sur Google Play. Google Play examine les applications en fonction de toutes les exigences du règlement ».

« Néanmoins, nous ne pouvons pas déterminer, au nom des développeurs, la manière dont ils traitent les données des utilisateurs. Vous êtes le seul à posséder toutes les informations nécessaires pour remplir le formulaire de sûreté des données. Lorsque Google a connaissance d'une divergence entre le comportement de votre application et votre déclaration, nous pouvons prendre les mesures appropriées, y compris des mesures d'exécution ». En avril, il n'était pas tout à fait clair que la section des autorisations disparaîtrait au moment du lancement de la nouvelle section "Sûreté des données".

Certains experts en cybersécurité pensent que c'est une étrange régression que de passer des faits vérifiés par ordinateur à un système d'honneur. Dans un fil de discussion sur Twitter, Mishaal Rahman, rédacteur technique senior chez Esper (une plateforme DevOps permettant aux développeurs d'automatiser l'ensemble du cycle de vie d'une application d'Android), a partagé des captures d'écran de la liste Play Store pour l'application Facebook avant et après l'entrée en vigueur du changement. La liste mise à jour n'affiche plus la liste des "autorisations".

Cela signifie que vous ne pouvez plus vérifier les autorisations de l'application avant de l'installer. En outre, il est également difficile de faire confiance à la capacité de Google à "prendre connaissance d'une anomalie" dans la section "Sûreté des données" alors que le Play Store présente déjà une quantité énorme de problèmes d'application et de règles. Selon les experts et des commentaires sur le sujet, il serait préférable de combiner les deux systèmes - générer une liste d'autorisations et laisser les développeurs décrire l'utilisation de chacune d'elles.

Ainsi, les utilisateurs pourraient comparer les deux pour confirmer que les autorisations déclarées par les développeurs sont conformes aux conclusions de Google. Par ailleurs, comme le souligne Rahman, Google stocke les autorisations des applications dans le Play Store, mais ce n'est pas visible depuis l'interface. Il suggère donc de télécharger l'alternative open source du Play Store, appelée Aurora, qui affiche toujours les autorisations avant de télécharger une application. Enfin, il convient de noter que l'App Store d'Apple a mis en place une politique similaire pour ses étiquettes "nutritionnelles" de confidentialité.


Google rétropédale

Face au tollé Google est revenu sur sa décision. Voici la déclaration complète de Google*:

Google est une entreprise très gourmande en données, et la suppression de l'écran des autorisations réduisait la visibilité des personnes essayant de protéger leur vie privée. Le rétablissement de l'écran des autorisations est un correctif, et il semble toujours que Google devrait simplement appliquer sa détection des autorisations à l'écran de sûreté des données, puis demander aux développeurs d'ajouter des détails sur la raison pour laquelle les données sont collectées et comment elles sont stockées. Google a déjà construit un système de détection automatisé des autorisations, et au lieu de tout jeter, il pourrait simplement laisser les développeurs y ajouter des détails.

Bien que la section sur la sûreté des données dépende du fait que les développeurs ne mentent pas, Google indique qu'il « peut prendre les mesures appropriées » s'il « prend connaissance d'une divergence » dans la description d'un développeur. Ce que vous pensez de la section Sûreté des données dépend de ce que vous pensez de la capacité de Google à contrôler sa propre boutique d'applications.

Source : Google

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de la nouvelle section "Sûreté des données" ?
Que pensez-vous de la décision de Google de remettre la liste des autorisations des applications ?

Voir aussi

Google Play Store oblige désormais les applications à divulguer les données collectées pour permettre aux utilisateurs de savoir plus facilement ce qu'une application fait de leurs données
Google intente une action en justice contre Match et pourrait éventuellement exclure Tinder de Play Store, il contre-attaque Match Group sur les paiements in-app
Google contraint de mettre fin à la vente d'applications Play Store en Russie, à partir du 5 mai 2022
Google oblige le développeur de Total Commander à supprimer la possibilité d'installer des APK sur les appareils Android, via une plainte relative au règlement du Play Store