Quelle confiance accorder aux solutions gratuites d'enquêtes en ligne?

Le slogan est désormais bien connu : "Si le produit est gratuit, c'est que vous êtes le produit". Pour autant, le postulat est-il automatiquement généralisable aux solutions d'enquêtes gratuites en ligne, à l'instar de SurveyMonkey ou de Google Forms, souvent utilisées par les professionnels pour mieux connaître leurs prospects et leurs clients ?

Le site de SurveyMonkey se veut, de prime abord, rassurant. "Chaque jour, des millions de clients de SurveyMonkey collectent des réponses à leurs questions les plus importantes. Ils utilisent ces données pour prendre des décisions importantes. Notre tâche est de maintenir leur confiance en traitant leurs données de manière sécurisée et appropriée. La confidentialité des données des clients est une priorité absolue pour SurveyMonkey", explique le site de sondages américain, dont la filiale européenne est située en Irlande - pays réputé plus souple que la France et l'Allemagne pour la protection des données personnelles.

Les données appartenant aux annonceurs sont-elles partagées ?

Mais, les données de l'annonceur demeurent-elles bien, avec cette solution, sa propriété exclusive ? Le texte suivant, publié dans la rubrique "confidentialité et juridique" de SurveyMonkey, laisse place au doute : "Nous travaillons avec des réseaux publicitaires tiers qui peuvent collecter les adresses IP et d'autres informations issues de balises Web sur nos sites Web, nos courriers électroniques et des sites Web tiers", explique le site de sondages en ligne.

Et de poursuivre : "Les réseaux publicitaires suivent vos activités en ligne dans le temps en collectant des informations de navigation à l'aide de processus automatisés, comme les cookies. Ils se servent de ces informations pour diffuser des publicités de produits et de services susceptibles de vous intéresser. Vous pouvez voir ces publicités sur d'autres sites Web. Cela nous aide également à gérer et à surveiller l'efficacité de nos stratégies de marketing". Ainsi, les données de navigation ou de localisation des répondants au sondage peuvent être revendues à des tiers par ce type de solutions gratuites à des fins de ciblage publicitaire. Les réponses au sondage demeurent bien, quant à elles, confidentielles.

Contacté par la rédaction, SurveyMonkey a refusé de répondre à une interview sur la sécurité des systèmes d'information et la protection des données collectées par ses soins, l'entreprise ne souhaitant pas "commenter les questions relatives à la protection des données en Europe".

Où les données sont-elles stockées ?

Autre problématique : le lieu de stockage des données. Entreprises américaines, SurveyMonkey comme Google, optent pour des serveurs situés aux États-Unis. Les données personnelles des clients sont donc transférées d'Europe aux États-Unis. SurveyMonkey a ainsi rejoint le programme de certification EU-US Privacy Shield, encadrant le transfert des données. L'utilisateur, pour bénéficier du service, consent et accepte donc que SurveyMonkey puisse "transférer [ses] données à des processeurs de données situés dans des pays, y compris les États-Unis, qui n'ont pas de loi sur la protection des données qui fournisse le même niveau de protection que ce qui existe dans des pays de la Zone Economique Européenne" (voir ici).

Utilisation du service = don de données

Quant à Google, l'utilisation des services du géant - dont sa fonctionnalité Formulaire - équivaut à lui "confier ses données", rappelle la firme dans sa politique de confidentialité. Ces données ne correspondent rien de moins qu'à ce que font les utilisateurs (recherches, sites Web consultés, vidéos regardées, annonces vues, situation géographique, type de device, adresse IP et cookies), ce qu'ils créent (emails reçus et envoyés sur Gmail, contacts, événements, fichiers créés dans Google Drive), ainsi que la fiche d'identité de l'utilisateur (nom, adresse mail, mot de passe, date de naissance, sexe, numéro de téléphone, pays). Les données personnelles ne le sont donc plus vraiment.

Pour autant, Google indique ne pas partager ses données à des tiers. "Nous utilisons vos données pour vous montrer des annonces plus pertinentes, mais nous ne vendons pas vos informations personnelles (comme votre nom, votre adresse e-mail et vos informations de paiement)", certifie Google, qui indique néanmoins faire de la vente de données de contexte dans un objectif publicitaire : "Nos partenaires et nous-mêmes utilisons différentes technologies pour collecter et stocker des données lorsque vous accédez à un service Google, par exemple en utilisant des cookies ou des technologies similaires pour identifier votre navigateur ou votre appareil. Nous utilisons également ces technologies pour collecter et stocker des informations lorsque vous interagissez avec les services que nous proposons à nos partenaires, comme des services de publicité ou les fonctionnalités Google qui peuvent apparaître sur d'autres sites." Le diable se cacherait-il dans les détails ?