Avast vendait les données des personnes que ses outils protégeaient : 16,5 millions d'amende

Si vous utilisez des PC sous Windows, vous connaissez probablement Avast¹, un célèbre développeur d'antivirus et de solutions de « protection ». Pourquoi le mettre entre guillemets ? Parce qu'Avast, qui était censé protéger la vie privée de ses clients, vient de recevoir une amende de 16,5 millions de dollars par la FTC américaine. En effet, la société avait collecté et vendu des données entre 2014 et 2020.

La FTC ne précise pas si la version Mac de l'antivirus était touchée, mais Avast a donc enregistré des données privées de ses clients avec ses antivirus et ses extensions de navigateurs. Elles concernaient les choix religieux, la santé, les vues politiques, la santé financière et la localisation. Les données auraient été stockées indéfiniment et vendues à plus d'une centaine de sociétés tierces, sans que les clients d'Avast aient donné leur accord.

Ce programme était nommé Jumpshot et avait été dévoilé par PCMag et Vice, ce qui avait poussé Avast à le fermer. Le communiqué de la FTC est d'ailleurs (presque) ironique sur le fait qu'Avast mettait en avant la possibilité de réduire le suivi sur Internet, tout en récupérant les données. Il indique surtout que les données collectées par Avast sans consentement étaient par ailleurs insuffisamment anonymisées, avec un identifiant unique par navigateur, et que les termes du contrat entre Avast et les sociétés qui rachetaient les données étaient ambigus sur certains points et permettait en pratique de lier les données à des utilisateurs précis… même si le contrat l'interdisait explicitement.