À la suite des demandes de plusieurs clients, nous avons examiné ce cas de plus près et abordons ici les aspects techniques du courrier. Il ne s’agit toutefois pas d’un conseil juridique.
Le deuxième paragraphe affirme : « Après avoir consulté votre site web, ma cliente a dû constater que vous aviez transmis, sans son consentement, son adresse IP 212.95.5.xxx à une société du groupe américain « Alphabet Inc. » ("Google"). »
Cette affirmation est inexacte pour les raisons suivantes :
Toutes les adresses IP mentionnées dans le courrier sont des adresses IP dynamiques et des adresses IP NAT de Magenta / Telering. Sur le plan technique, cela signifie que plusieurs connexions Internet de différents clients, disposant d’adresses IP privées, partagent cette même adresse IP. Il est donc impossible d’identifier le client lui-même à partir de cette adresse IP.
Toutes les polices demandées à Google sont associées à une entrée de mise en cache. Autrement dit, lorsqu’un utilisateur consulte un site web utilisant une police donnée, celle-ci est enregistrée pendant 365 jours sur son ordinateur (dans le cache du navigateur) et n’est pas téléchargée à nouveau depuis le serveur de Google lors de la consultation du site suivant.
Toutes les requêtes adressées à Google Cloud et à ses ressources statiques — images, CSS, polices, scripts JavaScript, cartes et autres — sont acheminées, via un service appelé Anycast-DNS vers le centre de données le plus proche. Dans notre cas, depuis l’Autriche, il s’agit généralement de Francfort. (fra16s53-in-f3.1e100.net [142.250.185.227])
Ces serveurs sont soumis au RGPD et ne peuvent transmettre des données à des tiers qu’avec le consentement des personnes concernées. Selon Google, les accès ne sont enregistrés que sous forme anonymisée afin d’assurer dans le respect de la réglementation sur la protection des données le fonctionnement de ses services.Les captures d’écran présentées dans le courrier montrent uniquement l’intégration de contenus Google ainsi qu’une vue du site web, sans toutefois prouver qu’une transmission de données a réellement eu lieu. Voir à ce sujet les points 2 et 3 concernant la communication des données.
Pour les raisons évoquées ci-dessus, ces affirmations sont très contestables. Après avoir analysé les fichiers journaux d’un serveur hébergeant les sites web de plusieurs clients, nous avons constaté que ces différents hôtes, sans lien entre eux, avaient été consultés à quelques millisecondes d’intervalle.
Un tel comportement, y compris la réalisation des captures d’écran, n’est possible qu’en automatisant les opérations à l’aide d’un robot d’exploration et, par exemple, d’outils de tests unitaires de Google ou de Mozilla. Les appels correspondants sont documentés sur cette page web :
Utiliser un navigateur sans interface graphique pour réaliser des captures d’écran de pages web
Documentation de l’API Google Chrome
Les captures d’écran figurant dans le courrier ont probablement été réalisées avec Google Chrome en mode sans interface graphique, un produit de Google et de sa société mère américaine Alphabet Inc ...
L’utilisation de contenus Google est une pratique courante pour accélérer le chargement des sites web grâce à la rapidité de ses serveurs. Elle ne saurait constituer une violation du RGPD, puisque les données sont fournies par des serveurs européens.
Un autre aspect de ce courrier, très étonnant et qui fait fortement penser à une opération d’hameçonnage à grande échelle, est l’absence de numéro de référence pour le virement des dommages et intérêts. Il est simplement demandé d’indiquer « transaction » comme libellé du virement, ce qui ne permet pas de rattacher celui-ci sans ambiguïté au dossier en question.
Ces courriers ont été envoyés en masse au moyen d’un service de l’Österreichische Post :
Envoi de lettres en ligne Post.at
Pour en savoir plus et suivre les dernières actualités de cette affaire :