Le ver libre

• l'emplacement du siège social de l'organisation propriétaire du site ;
  
• l'emplacement et la forme d'hébergement du site ;
  
• la technologie du site ;
  
• le chiffrement des connexions ;
  
• les connexions silencieuses à des sites tiers ;
  
• les propositions de partage des données ;
  
• les propositions de médias (vidéo) ;
  
• la source des données cartographiques fournies sur le site ;
• la qualité et les informations ou allégations du site sur le respect de la vie privée ;
  
• les connexions silencieuses intégrées dans les messages que vous envoie le site (messagerie électronique).

• J'appelle connexions silencieuses les connexions qu'un site web que vous visitez établit avec des ressources dont le propriétaire est différent de celui du site visité sans que vous en soyez averti explicitement et clairement informé.
  
  Par exemple, beaucoup de sites utilisent l'outil Google Analytics (GA) pour leurs besoins d'analyse statistique ou encore collectent automatiquement des données pour FaceBook à votre insu (que vous soyez membre de ce réseau social ou pas) -- le RGPD devrait régler ce dernier cas. Prenons le cas du site du quotidien Le Monde : à la date où j'écris ces lignes, quand vous ouvrez la page d'accueil de ce site, vous vous connectez silencieusement à 13 autres sites relevant de 8 domaines appartenant à 5 propriétaires différents...
  
  On peut distinguer en gros 4 grandes catégories de connexions silencieuses : celles qui visent un pistage statistique (profilage anonyme), celles destinées à un pistage publicitaire (profilage personnalisé), celles destinées à un pistage par les réseaux sociaux et enfin celles destinées à faciliter la gestion du site ou à améliorer le site. Par exemple, une connexion silencieuse vers optimizely.com permet au propriétaire d'un site de tester la mise en page la plus attrayante pour les visiteurs. Un autre exemple celui du site qui  site fait appel au service de polices de caractères web gracieusement fourni par Google, au service Google Maps, à un formulaire Google Forms, etc.. Dans ce dernier cas, le site  permet ainsi à Google de savoir que vous visitez ce site (et dans le cas d'un formulaire, de disposer de toutes vos données, telles vos nom, prénom, numéro de tél, adresse, etc). C'est du pistage indirect, obéissant à une stratégie d'encerclement que je dénomme pour ma part, stratégie de l'araignée puisqu'on navigue sur une Toile (sur le principe d'encerclement, voir l'article de Pierre Pinard sur le principe d'encerclement sur le site assiste.com -- je ne fournis pas de lien, car la connexion à ce site n'est pas sécurisée...) -- les acteurs mettant en place ce type de stratégie sont regroupés ici sous l'appelation GAFAM.
  
  Du coup, il est fréquent que, même quand un site affirme vertueusement respecter votre vie privée et mettre en place toutes les mesures nécessaires, il livre des informations vous concernant à un tiers sans votre consentement, RGPD ou pas. Pour mon appréciation, je note négativement les sites qui établissent de telles connexions dans le but d'un pistage à finalité statistique, publicitaire ou réseau social ou qui autorisent un pistage indirect servant les intérêts d'un GAFAM.
  
  Ajoutons que, du point de vue environnemental, les connexions silencieuses sont une source de consommation d'énergie électrique inutile et supplémentaire...
  
  
• Lieu et forme d'hébergement
  L'emplacement des serveurs, y compris dans le nuage, n'est pas indifférent. Je préfère un serveur dans l'UE vu la législation sur la protection de la vie privée. Il m'est parfois difficile de bien apprécier ce critère quand le service est délégué à des tiers appelés CDN (channel data networks) tels cloudflare.
  
  
• Emplacement du siège social de l'organisation
  Non, je ne considère pas les États-Unis comme un Grand Satan, mais la différence d'approche quant au traitement des données personnelles entre ce pays et l'Union européenne me fait porter une appréciation négative si l'organisation propriétaire du site a son siège aux USA. Il va de soi que des sites hébergés dans des pays dont les gouvernements foulent au pied le respect de la vie privée numérique sont notés négativement (par ex., la Chine ou la Russie).
  
  Il est aussi possible que l'organisation concernée soit une organisation multinationale, auquel cas, il m'est plus difficile de porter un jugement (et je porte une appréciation neutre). GreenPeace, par exemple, est clairement une association supranationale, mais dispose d'un siège social en France pour GreenPeace France (et affirme dans ses allégations sur la vie privée qu'elle applique les mêmes règles pour l'ensemble de ses sites, français et autres).
  
  
• Messagerie électronique
  Les bulletins de liaison, appels à signer, etc. que l'on reçoit dans sa messagerie peuvent être traités par un prestataire de service externe à l'expéditeur du message. De manière générale, j'apporte une appréciation négative lorsqu'il est fait appel à un prestataire externe (et, si le message géré par un service externe m'invite à cliquer, par exemple pour signer une pétition, je n'utilise ordinairement pas le lien dans le message mais vais sur le site via mon navigateur). C'est sans doute parfois injuste, mais je n'ai pas le temps de vérifier les conditions de respect de la vie privée du service offert par tous les prestataires externes...
  
  
• Partage des données
  Les options de partage des données sont notées de manière négative lorsqu'elles se cantonnent aux réseaux sociaux intrusifs ordinaires à la Google+, FaceBook et Twitter (autrement dit, lorsqu'une option moins intrusive à la Diaspora, Mastodonte ou autre n'est pas proposée). Note : si une connexion silencieuse vers ces réseaux intrusifs est établie, il y a évidemment double pénalité.
  
  
• Allégations sur le respect de la vie privée
  Quand j'ai le temps, je vérifie aussi dans la mesure du possible la cohérence entre les allégations du propriétaire du site et la réalité. Un site peut exploiter une connexion silencieuse propre, par exemple en disposant de son propre système d'analyse statistique. Deux exigences peuvent être posées à cet égard : en être informé (par ex. dans une rubrique concernant la vie privée) et avoir la possibilité de refuser ce pistage. Une information explicite n'est pas toujours suffisante : soit qu'il s'agisse de charabia ou de jargon juridique, soit que les informations techniques fournies soient insuffisantes.
  
  
• Technologie
  Un site peut recourir à de nombreuses technologies de programmation, même s'il repose en règle générale sur un langage de programmation principal (hors JavaScript). Mon critère d'appréciation repose sur le recours à une technologie libre (par ex. php, Ruby on Rails, etc.) ou à une technologie liée à un groupe privateur (par ex. aspx de Microsoft). Attention, cette appréciation est loin d'être exhaustive (en général, je me contente du langage principal), mais quand je repère le recours à une technologie privatrice ou liée à un GAFAM au sens large, je note négativement (un site peut par exemple recourir au langage PHP, mais faire appel aux fontes web Google...).
  
  
• Chiffrement
  On ne devrait plus prendre ce critère en considération à l'ère post-Snowden, et pourtant il reste des sites qui n'utilisent toujours pas le protocole https pour assurer le chiffrement des échanges de données...
  
  
• Médias (vidéos)
  Il va de soi que YouTube est un des outils de la stratégie de l'araignée poursuivie par Google. L'absence de solutions de rechange aisées à mettre en œuvre ou accessibles financièrement font que je ne porte pas d'appréciation définitive, mais me contente de signaler quel fournisseur de médias est impliqué.
  
  
• Cartographie
  Ce critère vise l'emploi de cartes propriétaires sur un site (essentiellement Google Maps) alors qu'il existe des solutions libres respectueuses de votre vie privée (du type OpenStreetMap, OSM). Je note négativement les sites dont les webmestres ne font pas l'effort de protéger votre vie privée par facilité ou paresse...
  

L'appréciation se fait sous forme de frimousses :

•  : critère non (encore) évalué
•  : appréciation positive
•  : neutre (peut aussi vouloir dire que je n'ai pas d'avis tranché ou la compétence pour me prononcer)
•  : désapprobation

Limites de mon appréciation