Sous surveillance : Comment les données de localisation compromettent la sécurité de l'Allemagne

Cet article est nominé pour European Press Prize 2025 dans la catégorie Innovation. Publié à l'origine par Bayerischer Rundfunk et netzpolitik.org, Allemagne. Traduction assurée par kompreno.

Nos smartphones en savent beaucoup sur nous. Par exemple, notre localisation.

Ces informations permettent aux applications de navigation de nous amener là où nous voulons aller au mètre près, tandis que les applications météorologiques nous indiquent quand il va pleuvoir et que les applications de rencontres nous montrent les personnes qui se trouvent à proximité.

Mais de nombreux fournisseurs d'applications vendent nos données de localisation.

Cette enquête du radiodiffuseur public Bayerische Rundfunk (BR) et de netzpolitik.org montre pourquoi ces données sont dangereuses pour les hauts fonctionnaires, les membres de l'armée et même les agents de renseignement.

C'est un mardi matin tôt, quelque part en Bavière. Une personne monte dans sa voiture pour se rendre au travail. Les données de localisation de cette personne, que nous avons obtenues, montrent l'itinéraire précis emprunté pour se rendre au travail. Le trajet se termine dans une installation sécurisée à laquelle la plupart des gens n'ont pas accès - un site d'intelligence en Haute-Bavière.

Comme souvent, cette personne gare sa voiture sur le parking de la caserne Mangfall à Bad Aibling.

L'ancienne base militaire allemande est indiquée en jaune.

Aujourd'hui, le site sert d'antenne publiquement connue du Bundesnachrichtendienst (BND), l'organisation allemande de renseignement extérieur.

Le nom de la personne ne figure pas dans les données. Mais nous sommes en mesure de déterminer son lieu de résidence probable, à savoir la maison où elle passe la plupart de ses nuits. Nous disposons de milliers de signaux provenant de cet endroit. Pour protéger la personne, nous ne publions pas son lieu de résidence ici.

Nous avons pu suivre des dizaines de fois son itinéraire pour se rendre au travail.

Les personnes non autorisées ne sont pas admises sur le site du BND. Pratiquement aucune personne travaillant sur le site ne rend publique sa situation professionnelle.

Mais nous pouvons clairement voir que cette personne accède au site du BND par Texas Street.

Nous pouvons également constater une autre chose : Cette personne se dirige toujours vers le même bâtiment. Il existe un groupe de données de localisation, représenté par des points bleus, sur le site.

Ces données de localisation proviennent d'un vaste ensemble de données que nous, BR et netzpolitik.org, avons évaluées - de longues tables avec des coordonnées, des horodatages précis à la seconde près et des numéros d'identification connus sous le nom d'identifiants publicitaires. Exprimés sous la forme d'une série de lettres et de chiffres, les identifiants publicitaires sont utilisés par l'industrie de la publicité pour diffuser des publicités ciblées sur certains smartphones. Mais les données de localisation peuvent également être utilisées à d'autres fins : Si vous disposez de toutes les données de localisation d'un identifiant publicitaire spécifique, vous pouvez créer un profil de mouvement pour une personne donnée.

De tels ensembles de données sont vendus sur l'internet, par exemple sur une place de marché dont le siège se trouve à Berlin. Contacté par netzpolitik.org, un vendeur a mis gratuitement à disposition un échantillon de données dans l'espoir de s'assurer un nouveau client. Les données comprennent 3,6 milliards de points de localisation individuels provenant d'applications de smartphones. Notre rapport montre que ces données permettent d'établir des profils de déplacement - parfois très précis - de plusieurs millions de personnes en Allemagne.

Ces profils de déplacement révèlent des détails personnels, voire intimes, sur les utilisateurs de smartphones : Où travaillent-ils ? Où habitent-ils ? Où font-ils leurs courses ? Passent-ils parfois la nuit ailleurs ? Se rend-il souvent à l'hôpital ? Ou chez un psychiatre ? Ou peut-être dans un bordel ? Nous avons trouvé tout cela dans l'ensemble de données qui nous a été fourni.

Dans un entretien avec BR et netzpolitik.org, Konstantin von Notz, membre du parti des Verts au parlement allemand, le Bundestag, a parlé d'un problème de protection des données pour toutes les personnes en Allemagne "qui ont un téléphone portable et qui doivent pouvoir se déplacer librement et sans être observées dans ce pays". Il est le président du groupe parlementaire de surveillance du Bundestag (PKGr), qui surveille les services de renseignement allemands. Mais il y voit avant tout un "problème de sécurité important" et met en garde contre le risque que des États hostiles utilisent ces données à des fins d'espionnage.

Grâce à notre ensemble de données, nous sommes en effet en mesure d'apprendre des détails privés sur la personne qui se rend régulièrement en voiture à l'immeuble de Bad Aibling : relations familiales, supermarché préféré et activités du week-end.

Nous pouvons même voir où cette personne passe le plus clair de son temps dans le complexe du BND - dans un bâtiment qui a fait la une des journaux il y a quelques années.

Cette personne se dirige fréquemment vers un bâtiment qui a joué un rôle dans les documents rendus publics en 2013 par le lanceur d'alerte Edward Snowden : une structure avec un toit en métal et sans fenêtres que les agents du BND auraient appelé "la boîte de conserve". Selon les documents rendus publics par Edward Snowden, l'agence de renseignement américaine NSA utilisait ce bâtiment pour la surveillance d'Internet.

Les données montrent également que la personne a passé du temps dans d'autres bases militaires américaines en Allemagne et sur un autre site du BND. Il est possible d'établir un lien entre l'adresse du domicile de la personne et l'armée américaine.

À distance, nous ne sommes pas en mesure de prouver que cette personne travaille pour l'agence de renseignement américaine NSA en Allemagne. Mais de nombreux indices vont dans ce sens. Nous nous adressons à l'ambassade des États-Unis et au BND pour leur demander s'ils coopèrent toujours à Bad Aibling et s'ils sont conscients que les données de localisation peuvent ouvrir la voie à l'espionnage. Nous ne recevons aucune réponse à notre demande.

Nous continuons à analyser les données pour voir si d'autres agences de sécurité pourraient être concernées - et nous faisons rapidement notre prochaine découverte.

Le quartier de Chorweiler à Cologne : c'est là que se trouve le siège de l'Office fédéral allemand pour la protection de la Constitution (Verfassungsschutz), l'agence de renseignement intérieure du pays. Sur les photos satellites, le bâtiment ressemble à une ligne en zigzag. La mission du Verfassungsschutz comprend le contre-espionnage et la protection du pays contre le terrorisme et les cyberattaques.

Tout comme au BND, les personnes qui y travaillent ont tendance à ne pas rendre leur lieu de travail public.

Pour des raisons de sécurité, ils doivent remettre leur téléphone portable à l'entrée, comme l'a indiqué le ministère allemand de l'intérieur lorsqu'il a été contacté. C'est ce qui ressort clairement des données.

Nous avons en effet trouvé relativement peu de données de localisation à l'intérieur du bâtiment. Mais il y a de nombreux points de données dans les parkings et aux différentes entrées du bâtiment.

Nous suivons les données de localisation d'une personne qui se gare régulièrement à cet endroit. En utilisant son lieu de résidence, nous sommes en mesure de déterminer son nom et de trouver plusieurs profils de médias sociaux. Nous connaissons désormais son âge approximatif, son niveau d'éducation, sa situation familiale et ses loisirs, en plus d'avoir vu de nombreuses photos de vacances.

Contacté par BR et netzpolitik.org, le Verfassungsschutz a déclaré que les téléphones privés et professionnels ne sont pas autorisés dans les locaux de l'agence. Il s'agit d'une règle qui pourrait rendre plus difficile la diffusion d'informations confidentielles dans le monde extérieur. Mais malgré cette mesure, il est toujours possible de suivre les membres du personnel jusqu'à leur domicile.

La Verfassungsschutz a déclaré à BR et à netzpolitik.org qu'elle mettrait en place des mesures appropriées pour la protection de ses employés et qu'elle les sensibiliserait aux risques de sécurité potentiels liés à l'évaluation de leurs données de localisation.

"Un risque d'espionnage "extrêmement élevé

"Si l'on sait comment les gens se comportent et se déplacent, on peut les espionner", explique Konstantin von Notz. "On peut alors établir un contact ou générer des situations aléatoires pour entamer une conversation dans le but ultime de les recruter, de les corrompre ou autre. Son suppléant au sein du groupe parlementaire de surveillance, le démocrate-chrétien Roderich Kiesewetter, estime que le risque d'espionnage est "extrêmement élevé". L'Allemagne, dit-il, est "au centre des opérations d'influence russes, chinoises et iraniennes". Selon lui, les données échangées dans le commerce ouvrent la voie à l'espionnage par des agences de renseignement ou des criminels étrangers.

Des dizaines de milliers de cas chez les militaires et les policiers

Nous examinons systématiquement d'autres lieux connus du public dans toute l'Allemagne qui présentent un intérêt pour la sécurité nationale - et la situation est la même partout. Nous trouvons des dizaines de milliers de profils de mouvements de personnes ayant accès à ces sites sensibles, y compris des installations appartenant à l'Office fédéral de police criminelle (BKA), aux forces d'opérations spéciales (KSK) de l'armée allemande, à d'autres installations de l'armée allemande et de l'armée de l'air, à des ministères fédéraux, à l'agence allemande chargée de sécuriser les approvisionnements militaires, à la force d'élite de la police fédérale allemande (GSG9), à des entreprises de défense et à bien d'autres encore.

Terrain d'entraînement militaire de Grafenwöhr

191 415 données de localisation provenant de 1 275 identifiants publicitaires

Environ 13 000 soldats américains sont stationnés à Grafenwöhr, ainsi que des membres de la Bundeswehr et d'autres armées de l'OTAN. En avril, le BKA a arrêté deux Allemands d'origine russe qui étaient soupçonnés d'espionner pour le compte d'une agence de renseignement russe.

Camp Kherson, Grafenwöhr

1 192 points de données de localisation provenant de 39 identifiants publicitaires

Le camp Kherson est situé à l'intérieur du terrain d'entraînement militaire de Grafenwöhr. L'armée américaine y forme actuellement des soldats ukrainiens à l'utilisation de divers systèmes d'armes, dont les chars de combat Abrams.

Caserne du parc Treptower, Berlin

4 639 points de données de localisation provenant de 693 identifiants publicitaires

Le site est un point névralgique pour les agences de sécurité, la police et les services de renseignement travaillant en étroite collaboration. Quelque 40 agences coopèrent au sein du seul Centre commun de lutte contre le terrorisme, dont le BKA, le Verfassungsschutz, le BND et l'agence de renseignement militaire allemande MAD.

Base aérienne de Büchel

38 474 points de données de localisation provenant de 189 identifiants publicitaires

La base aérienne de Buchel est un site utilisé par l'armée de l'air allemande. On pense également qu'elle abrite des armes nucléaires américaines faisant l'objet d'une surveillance stricte. Les emplacements potentiels d'armes nucléaires ne sont toutefois ni confirmés ni discutés officiellement.

Lucius D. Clay Kaserne, Wiesbaden

74 968 points de données de localisation provenant de 799 identifiants publicitaires

Ce site abrite le quartier général européen de l'armée américaine et deviendra bientôt le quartier général de l'OTAN chargé de soutenir l'Ukraine. Le site est également important pour le renseignement, plusieurs agences américaines utilisant la station de surveillance qui s'y trouve.

Office fédéral de l'équipement de la Bundeswehr, Coblence

7 356 points de données de localisation provenant de 220 identifiants publicitaires

Cet office est chargé d'équiper l'armée allemande, la Bundeswehr, en armes et autres matériels. En mai, un officier en poste ici a été condamné à trois ans et demi de prison pour espionnage. Il a été reconnu coupable d'avoir transmis des informations à la Russie.

Bundesnachrichtendienst (BND), Pullach

990 données de localisation provenant de 108 identifiants publicitaires

Le site servait de siège au BND et reste essentiel pour les capacités de surveillance technique de l'agence. Un ancien chef de département du BND qui y travaillait est soupçonné d'avoir transmis des informations classifiées aux Russes. Il fait actuellement l'objet d'une procédure judiciaire pour haute trahison.

Base aérienne de Ramstein

164 223 points de données de localisation provenant de 1 964 identifiants publicitaires

L'aéroport militaire de Rhénanie-Palatinat est la plus grande base américaine en dehors des États-Unis. Ramstein est la plaque tournante logistique de l'armée américaine en Europe et joue un rôle clé dans la défense antimissile de l'OTAN.

Bundesnachrichtendienst (BND), Berlin

1 744 points de données de localisation provenant de 332 identifiants publicitaires

Achevé en 2019, ce complexe immobilier est le siège de l'agence allemande de renseignement extérieur et le lieu de travail de la majorité des employés de l'agence. Il abrite également le centre de formation du BND.

Konrad Adenauer Kaserne, Cologne

7 952 points de données de localisation provenant de 414 identifiants publicitaires

Ce site abrite l'agence de renseignement militaire allemande MAD. La mission de l'agence comprend la découverte d'activités anticonstitutionnelles, d'espionnage et de sabotage au sein de l'armée allemande.

Kaserne Graf Zeppelin, Calw

8 489 points de données de localisation provenant de 107 identifiants publicitaires

C'est ici que se trouve le centre de commandement des forces d'opérations spéciales allemandes (KSK), l'unité d'élite de la Bundeswehr. Les membres du KSK sont formés à la libération d'otages à l'étranger et à la mise en détention de personnes cibles, ainsi qu'à d'autres opérations délicates. En règle générale, les soldats du KSK ne rendent pas publique leur appartenance à l'unité.

Que disent les agences ?

Confrontés à des cas de données de localisation dans leurs domaines de compétence, le ministère de l'intérieur et le ministère de la défense ont déclaré que leurs employés sont régulièrement informés du danger de la surveillance. Les deux ministères sont apparemment conscients que les services de renseignement étrangers utilisent des données disponibles dans le commerce à des fins d'espionnage. Ils ont déclaré que les services de renseignement étrangers utilisent tous les moyens disponibles pour acquérir des informations, exercer une influence et poursuivre leurs propres intérêts. Cela inclut, selon eux, l'achat et l'utilisation de données disponibles sur l'internet. L'ambassade des États-Unis en Allemagne a refusé de commenter les affaires relevant de sa compétence.

D'où proviennent les données ?

Les données proviennent d'un fournisseur de données américain qui les propose à l'achat sur une place de marché en ligne basée à Berlin. La place de marché Internet Datarade se considère comme un intermédiaire entre les vendeurs de données et les personnes ou entreprises intéressées par l'achat de ces données. Ceux qui souhaitent acheter des données par l'intermédiaire de Datarade doivent s'inscrire sur la plateforme. Sebastian Meineck de netzpolitik.org l'a fait, en utilisant son vrai nom et l'adresse de sa salle de rédaction. Peu après son inscription, plusieurs vendeurs ont contacté M. Meineck pour lui faire des offres. Après un bref appel téléphonique, l'un d'entre eux lui a envoyé un lien de téléchargement menant à un vaste ensemble de données. Netzpolitik.org a partagé cet ensemble de données avec le BR et l'a ensuite évalué conjointement. La plateforme en ligne Datarade et le vendeur des données n'ont pas répondu aux questions du BR et de netzpolitik.org.

Avons-nous payé pour ces données ?

Non. Même si l'ensemble de données comprend 3,6 milliards de points de données, il a été fourni gratuitement à titre d'échantillon pour un abonnement mensuel potentiel que le vendeur espérait vendre. Les données portent sur une période d'environ huit semaines vers la fin de l'année 2023. Un abonnement comprenant des données de localisation actualisées toutes les heures pour des personnes de plus de 150 pays coûterait 14 000 dollars par mois.

Pourquoi de telles données sont-elles en vente sur l'internet ?

Les entreprises achètent généralement ces informations dans le but d'envoyer des publicités personnalisées sur les téléphones portables. Un exemple : Une personne ayant visité un magasin de meubles un samedi recevra des publicités ciblées pour des objets de décoration.

Quelles sont les applications qui collectent les données ?

Nous n'avons reçu aucune information sur les applications qui collectent les données. Ni le fournisseur de données ni Datarade n'ont répondu à nos questions. D'autres fournisseurs parlent en général d'applications pour la météo, la navigation, les jeux et les rencontres, affirmant qu'ils ont établi de bons contacts avec les développeurs de ces applications et qu'ils ont reçu un accès direct aux données.

En fonction des paramètres, les systèmes d'exploitation des smartphones comme iOS et Android permettent aux applications installées de collecter et de partager des données de localisation. Le fait qu'elles le fassent uniquement lorsque l'application est utilisée ou également lorsqu'elles fonctionnent en arrière-plan dépend du système d'exploitation et des droits d'accès que l'utilisateur a accordés à l'application.

Quelle a été la réaction des personnes que nous avons trouvées dans l'ensemble des données ?

Le BR et netzpolitik.org ont contacté plusieurs personnes dont les profils de mouvement ont été trouvés dans l'ensemble de données. Elles ont confirmé que les données étaient exactes. Il y avait quelques erreurs mineures, mais les vacances, les trajets domicile-travail et même les promenades avec le chien pouvaient tous être identifiés dans les données. Tous se sont dits surpris que leurs données de localisation aient été proposées à l'achat par un fournisseur de données américain. Le règlement général sur la protection des données (RGPD) de l'UE codifie le principe du consentement : Les applications ne sont autorisées à partager des données de localisation avec des tiers que si les utilisateurs en donnent explicitement l'autorisation lors de l'installation. Les personnes avec lesquelles nous nous sommes entretenus ont déclaré qu'elles ne se souvenaient pas d'avoir donné leur autorisation pour le partage de leurs données de localisation.

Pourquoi ce commerce de données n'est-il pas interdit ?

Louisa Specht-Riemenschneider, professeur de droit et de protection des données à l'université de Bonn et commissaire à la protection des données désigné par le gouvernement allemand, critique le fait que les données de localisation soient échangées de cette manière. Ce n'est pas parce que nous autorisons une application à nous localiser que nous sommes totalement incapables de savoir où nos données peuvent finir par aboutir, dit-elle. Elle demande un débat de société : "Où est le traitement des données que nous voulons en tant que société ? Et où se trouve le traitement que nous ne voulons pas ? Et ce traitement que nous ne voulons pas doit être interdit", dit-elle.

Pourquoi les fournisseurs de données et le marché des données de Berlin ne sont-ils pas surveillés de plus près ?

Les vendeurs de données qui opèrent en dehors de l'Union européenne sont largement inaccessibles aux agences européennes, explique Louisa Specht-Riemenschneider. Mais les plateformes commerciales telles que Datarade, basée à Berlin, sont également difficiles à réglementer. "La place de marché des données est essentiellement un courtier qui ne traite pas lui-même de données personnelles. Dans un sens, il s'agit d'un vide réglementaire". Selon elle, il est urgent que les législateurs trouvent une solution.

Les services de renseignement allemands utilisent-ils également ces données ?

C'est légalement autorisé, mais il y a beaucoup trop peu de réglementation, affirme Thorsten Wetzling d'Interface, un groupe de réflexion berlinois qui se spécialise dans les impacts sociétaux de la numérisation. Une étude récente d'Interface indique que les services de renseignement allemands ont également utilisé des ensembles de données disponibles dans le commerce à leurs fins. "Les services de renseignement, quel que soit leur pays d'origine, ont intérêt à collecter autant d'informations que possible", explique M. Wetzling. Le BND et le Verfassungsschutz ont refusé de répondre aux questions sur ce sujet. Selon M. Wetzling, "cette possibilité d'obtenir des informations à l'aide d'une carte de crédit présente de nombreux risques pour la sécurité nationale et affecte profondément les libertés et les droits fondamentaux de millions d'utilisateurs d'applications, ce que nous sommes tous".

Comment les utilisateurs peuvent-ils éviter de se retrouver dans un tel ensemble de données ?

Les utilisateurs peuvent vérifier deux paramètres sur leur smartphone : le partage de la localisation et l'identifiant publicitaire. Des instructions sur la manière de procéder sont disponibles sur le site web de BR24.