Target Acquired

Les nouvelles règles de confidentialité de Google disposent que l’entreprise peut désormais personnaliser les publicités en fonction des contenus hébergés sur Drive, Gmail ou Google Photos si l’utilisateur a consenti à rendre ces informations accessibles à d’autres services.

Google a mis à jour le 16 octobre dernier les règles de confidentialité qui encadrent la façon dont l’entreprise traite les données personnelles des utilisateurs de ses services. Signalé notamment par Android Authority, le changement opéré n’est pas anodin : avec cette nouvelle version, Google ouvre en effet la voie à l’exploitation des données personnelles stockées dans Gmail (le contenu des messages), Drive ou Google Photos à des fins de personnalisation de la publicité.

• [Tuto] Quitter Google/Apple Photos et installer Immich (open source) sur un petit VPS

Un « sauf si » qui change la donne

Les nouvelles règles de confidentialité sont également répercutées en France, comme en témoigne la comparaison entre la page en vigueur depuis le 16 octobre et la précédente version datée du 12 octobre 2026. La modification la plus notable concerne le passage relatif aux « services personnalisés, notamment en matière de contenu et d’annonces ».

Dans la version datée du 12 octobre, Google écrit de façon très claire : « Nous ne vous présentons pas d’annonces personnalisées en fonction de vos contenus sur Drive, Gmail ou Photos ».

Quatre jours plus tard, les règles de confidentialité introduisent une nuance inédite :

« Nous ne vous présentons pas d’annonces personnalisées en fonction de vos contenus sur Drive, Gmail ou Google Photos, sauf si vous choisissez de rendre les données issues de ces services disponibles pour d’autres services Google qui prennent en charge les annonces personnalisées. »

Un changement associé aux fonctions Personal Intelligence ?

Android Authority voit dans ce changement une conséquence du lancement par Google, en début d’année, de Personal Intelligence (intelligence personnalisée), la fonctionnalité intégrée à Gemini qui permet à l’IA maison de faire le lien entre les différentes applications Google (dont Gmail ou Photos) et l’historique de conversation de l’utilisateur.

Google ne confirme pas explicitement le lien, mais on peut noter que ce changement des règles de confidentialité précède de quelques jours l’annonce du déploiement de Personal Intelligence au sein d’Android Auto.

Le pont avec le contenu d’une boîte de réception Gmail prend tout son sens dans l’univers automobile. Personal Intelligence est ainsi censé permettre à l’IA de répondre plus efficacement aux demandes, ou d’affiner ses suggestions, par exemple pour la planification de voyages, ou la gestion de réservations.

Reste à voir l’impact réel en matière de ciblage publicitaire. Sur ce point, Google a transmis à Ars Technica une déclaration qui se veut rassurante :

« La connexion de vos applications est entièrement facultative. Les publicités resteront pertinentes en fonction de votre requête, du contexte de la réponse et de vos centres d’intérêt. Elles ne seront pas basées directement sur votre boîte de réception Gmail ni sur votre bibliothèque Photos, et comme toujours, aucune information sensible ne sera utilisée pour personnaliser les publicités ».

Dit autrement, Google assure donc ne pas scanner l’intégralité des boîtes de réception, mais si l’utilisateur choisit d’établir le pont entre son Gmail et Personal Intelligence, alors le ciblage publicitaire pourra lui aussi bénéficier des connaissances associées.

Quid de la France et de l’Europe ?

Lancée en début d’année, la fonction Personal Intelligence fait l’objet d’un déploiement progressif, qui ignore pour l’instant l’Europe.

« Personal Intelligence est actuellement déployé sur les comptes Google personnels éligibles (et non sur les comptes Workspace professionnels, entreprises ou du secteur de l’éducation) âgés de 18 ans et plus dans le monde entier, à l’exception de l’Espace économique européen, de la Suisse, du Royaume-Uni et du Nigéria », précise à ce sujet le communiqué d’annonce de l’intégration à Android Auto.

La version française des règles de confidentialité datée du 16 octobre intègre toutefois un autre changement qui laisse augurer un possible lancement. Outre la mention relative aux publicités citée plus haut, on y lit en effet que :

« Vous pouvez choisir d’autoriser certains services Google, y compris des services comme la Recherche ou les applications Gemini, à accéder aux données issues d’autres services Google que vous utilisez, comme Google Photos et les applications Workspace (Gmail et Drive, par exemple), afin qu’ils vous fournissent une expérience plus personnalisée, soumise aux règles et paramètres du service accédant aux données. »

Ce passage était absent de la version datée du 12 octobre. En l’état, cette clause ne serait pas suffisante pour remplacer le consentement éclairé exigé par le RGPD, mais elle en pave peut-être le chemin.

Rappelons qu’il est possible de désactiver l’ensemble des recommandations personnalisées dans les services de Google au moyen des réglages du compte utilisateur.

• [Tuto] Limitez le partage de vos données avec Google et ses annonceurs

La Fédération française de tir (FFTir) a indiqué le 22 octobre dernier à ses adhérents avoir été victime d’une nouvelle intrusion dans ses systèmes informatiques. Elle précise que l’attaquant a réussi à récupérer des données personnelles liées à ses licenciés pratiquant le tir sportif.

« Ce qui a été récupéré dépend de chacun. Pour la plupart des licenciés, actuels et anciens, il s’agit du nom, du prénom, du club, de la catégorie d’âge et, le cas échéant, du grade Cibles Couleurs avec sa date de validation et de la mention d’une pratique handisport. L’attaquant a aussi récupéré environ 64 000 photos d’identité et près de 19 000 documents déposés par des licenciés dans leur espace, dont des certificats d’aptitude à la pratique du tir sportif », écrit la Fédération dans son courrier aux licenciés, également publié sur son site web.

Si la Fédération indique que le « dossier complet » de 55 licenciés a été copié, elle se veut rassurante concernant les informations relatives à la détention d’armes à feu :

« Aucune information sur la possession d’armes n’a été touchée : la Fédération ne détient pas ces informations. Vos mots de passe ne sont pas concernés. Nous rappelons également qu’il n’y a aucune donnée bancaire dans les outils ».

La Fédération précise le calendrier de cette attaque qu’elle présente comme « préparée ». D’après son communiqué, l’attaquant a réussi à se connecter le 12 octobre à l’espace licencié grâce à des identifiants volés ou devinés. De là, il aurait réussi à outrepasser ses droits pour accéder aux données d’autres licenciés, puis à interroger « en masse » la fonction de vérification des licences de Cibles Couleurs, son site dédié à la formation.

La FFTir affirme que l’accès litigieux a été détecté et bloqué dès le 12 octobre, mais la fonction d’interrogation de Cibles Couleurs n’a été fermée et corrigée que le 15 et l’accès aux documents déposés dans EDEN, le système de gestion des licences pour les tireurs, n’a été coupé que le 16.

« Depuis le 12 octobre, une cellule de crise suit la situation chaque jour. Nous avons informé l’Agence nationale de la sécurité des systèmes d’information les 13 et 15 octobre, et la CNIL le 16, dans le délai prévu par la loi. Des experts nous accompagnent », écrit Hugues Senger, président de la FFTir, dans un courrier aux licenciés.

Il y rappelle que cette intrusion intervient un an environ après une première attaque réussie, qui avait déjà exposé les informations personnelles des licenciés. Il y revient aussi sur les chantiers de sécurisation des systèmes d’information de la Fédération, soulignant en creux que ces derniers n’ont pas encore été menés à leur terme.

« La double authentification est déployée progressivement sur nos outils et va être généralisée dans les semaines à venir, écrit par exemple Hugues Senger. Le chantier le plus lourd a été la réécriture complète de nos applications, qui est en cours de finalisation. La nouvelle plateforme sera mise en service prochainement, après la réalisation de tests. »

La communication de la FFTir se conclut sans surprise sur un appel à la prudence en cas de sollicitations intempestives. « De votre côté, soyez prudents avec les messages et les appels qui se réclament de la Fédération, de votre club ou d’une administration. Vos données peuvent servir à les rendre crédibles, conseille-t-elle. Restez discrets sur votre pratique et votre équipement, notamment sur les réseaux sociaux. »