La position d’un téléphone n’est pas qu’une coordonnée GPS. Elle révèle les déplacements médicaux, religieux et politiques d’une personne. Ce commerce de données pèse plusieurs milliards de dollars, selon l’Electronic Frontier Foundation (EFF). Une enquête de l’organisation, signée Lena Cohen et Bill Budington et publiée le 4 août 2026, documente le mécanisme technique précis qui alimente cette industrie depuis les téléphones des utilisateurs.

De l’application à l’espace publicitaire : un pipeline invisible

Un SDK (Software Development Kit) est une bibliothèque de code tiers qu’un développeur intègre dans son application. Les SDK publicitaires simplifient la monétisation des apps. Mais ils opèrent avec les mêmes droits que l’application qui les héberge.

C’est là le cœur du problème. Il n’existe pas de permission propre aux SDK. Dès qu’un utilisateur autorise une application à accéder à sa localisation, chaque SDK embarqué bénéficie automatiquement du même accès. Le développeur n’a rien à activer délibérément. Autrement dit : quand vous autorisez un scanner de QR codes à utiliser votre GPS, chaque bibliothèque publicitaire empaquetée dans cette app reçoit vos coordonnées — et vous ne pouvez en bloquer une sans les bloquer toutes.

La précision des données collectées dépend du type d’autorisation accordée. La permission de localisation précise donne accès à des estimations dans un rayon d’environ 160 pieds (environ 48 mètres), selon l’EFF. Parfois, cette précision descend à 10 pieds (environ 3 mètres). La localisation approximative, un niveau de permission distinct, couvre environ 1,2 mile carré — ce qui reste suffisant pour révéler des comportements sensibles sur la durée.

Ces données rejoignent ensuite le RTB (Real-Time Bidding). Ce système d’enchères publicitaires en temps réel diffuse les données de l’utilisateur à des milliers d’acheteurs potentiels à chaque affichage d’une publicité. Les courtiers en données de localisation participent à ces enchères. Leur objectif n’est pas d’acheter de l’espace publicitaire. Il est de collecter les données personnelles contenues dans les requêtes d’enchères.

Les courtiers en données revendent ensuite les déplacements précis de milliards de personnes, selon l’EFF. Ces données sont collectées sans la connaissance ni le consentement réel des individus concernés.

Des usages qui dépassent largement la publicité ciblée

La collecte de données de localisation via les SDK publicitaires dépasse les « publicités personnalisées ». Le rapport EFF documente des usages autrement plus préoccupants. Des données de localisation issues de l’industrie publicitaire ont servi à des enquêtes de l’agence d’immigration américaine (ICE), à des outils d’espionnage mondial, à l’exposition d’un prêtre gay, à la surveillance de militants syndicaux et au suivi de personnels militaires américains.

Le cas Gravy Analytics illustre l’ampleur structurelle du problème. En 2025, un piratage de ce courtier en données a révélé des milliers d’applications comme sources potentielles de ses données. Quand des journalistes ont contacté les développeurs concernés, beaucoup affirmaient n’avoir aucune relation ni connaissance de Gravy Analytics.

C’est la nature même du RTB qui rend cette fuite possible. Un développeur peut alimenter un courtier en données sans jamais avoir signé de contrat direct avec lui. Les données transitent par les enchères publicitaires, invisibles pour toutes les parties sauf les courtiers.

Quatre SDK pris en flagrant délit de collecte par défaut

L’EFF a passé en revue la documentation publique de dizaines de SDK publicitaires largement utilisés. Quatre ont été identifiés pour une pratique particulièrement problématique. Ils collectent automatiquement la géolocalisation de l’utilisateur par défaut, dès que l’application hôte dispose des permissions nécessaires. Sans configuration explicite du développeur. Sans que l’utilisateur en soit informé.

L’EFF précise que ces quatre-là ne sont pas les SDK les plus répandus du marché — mais ils sont intégrés dans des milliers d’applications et touchent des milliards d’utilisateurs. Et l’organisation insiste : le problème s’étend bien au-delà de ces quatre exemples.

InMobi

InMobi revendique plus de 2 milliards d’utilisateurs dans plus de 150 pays. C’est le 10e SDK publicitaire le plus populaire sur Android, selon AppBrain et Appfigures, cités par l’EFF. Sa documentation de démarrage est sans ambiguïté : « The InMobi SDK automatically forwards location signals when available. » Pour dissuader les développeurs de désactiver cette fonctionnalité, la documentation précise que les impressions enrichies en données de localisation génèrent des revenus publicitaires plus élevés. InMobi recommande même d’obtenir les permissions de localisation précise « pour un ciblage publicitaire précis » — alors que l’application concernée peut n’en avoir aucun besoin fonctionnel. L’entreprise pousse également à demander les permissions Wi-Fi, qui, couplées à la localisation précise, permettent un pistage supplémentaire via les identifiants de points d’accès.

Ce n’est pas la première entaille dans le bilan d’InMobi. En 2016, l’entreprise a conclu un accord avec la FTC américaine. L’accusation : avoir contourné les permissions de localisation des utilisateurs pour suivre leurs positions via les données de réseaux Wi-Fi.

BidMachine

BidMachine revendique plus de 600 millions d’utilisateurs directs via son SDK. Sa documentation indiquait que le SDK pouvait « automatiquement suivre la localisation de l’appareil pour diffuser de meilleures publicités ». Cette collecte se déclenche dès que les permissions sont accordées à l’application hôte. Avant la publication du rapport EFF, la documentation de BidMachine affirmait ne collecter que des données de localisation approximative. La localisation précise était déclarée explicitement « non collectée ».

L’EFF a mené une analyse technique. Deux applications ont été examinées : QR Scanner et GPS Speedometer, identifiées comme intégrant le SDK BidMachine grâce à Exodus Privacy. L’analyse des requêtes réseau a révélé des coordonnées de localisation précises transmises vers un domaine BidMachine — en contradiction directe avec la documentation. Après contact de l’EFF avant publication, BidMachine a corrigé sa documentation. Elle reconnaît désormais collecter des données précises dès que l’application hôte a les permissions. La méthode pour désactiver cette collecte reste toutefois absente de la documentation mise à jour.

Interrogée, l’entreprise a fait valoir qu’il lui était impossible d’obtenir la localisation « à moins que l’utilisateur n’ait accordé la permission correspondante à l’application via le système d’exploitation », et que « les éditeurs sont responsables de la configuration des flux de permissions et de consentement de leurs applications ». Techniquement exact — mais c’est précisément là que le bât blesse : cette permission système, l’utilisateur l’accorde à l’app, pas au SDK publicitaire qui s’y greffe.

Verve (HyBid)

Verve et son SDK HyBid (anciennement Pubnative HyBid) revendiquent plus de 1,5 milliard d’utilisateurs dans plus de 10 000 applications mondiales. Le guide de configuration est explicite : si l’utilisateur a accordé les permissions, « HyBid SDK utilisera la localisation disponible pour fournir des publicités mieux ciblées » — collecte « activée par défaut ». La documentation remise au Google Play Store raconte une version différente. Elle affirme que le SDK « ne collecte pas ou ne tente pas de collecter ces informations de manière indépendante ». Un écart notable avec le guide de configuration.

Contactée par l’EFF, Verve a précisé que son SDK lit uniquement la localisation dérivée du réseau (et non le GPS), et que toute coordonnée est grossie pour garantir une précision limitée à un rayon d’au moins 1 850 pieds (environ 564 mètres). L’entreprise affirme aussi imposer contractuellement à ses éditeurs le respect des lois sur la protection des données.

Et c’est ici que le dossier bascule côté vérifiabilité. Le SDK HyBid est open source. L’EFF n’a pas eu à croire Verve sur parole : elle a lu le code. Résultat, le code confirme la déclaration de l’entreprise — les coordonnées sont bien arrondies à deux décimales, et seule la localisation réseau est collectée, jamais le GPS. C’est une démonstration en négatif de tout ce qui précède : là où InMobi, BidMachine et Huawei ne peuvent être audités que via une documentation qu’ils réécrivent au fil des questions gênantes, Verve peut être vérifié à la source. Ce qui ne blanchit pas la collecte par défaut pour autant : un arrondi à deux décimales correspond à une précision d’environ 0,5 mile carré — soit plus fin que la localisation approximative standard d’Android (1,2 mile carré). Et l’EFF le rappelle : même des données grossières, collectées dans la durée, dessinent des trajets qui devraient rester privés par défaut.

Huawei (Petal Ads)

Huawei et son SDK Petal Ads sont intégrés dans plus de 85 000 applications mondiales. Le guide d’intégration commence par recommander d’obtenir les permissions de localisation — argument avancé : augmenter les revenus publicitaires. La collecte est activée par défaut. La méthode pour la désactiver — la fonction setRequestLocation — n’est mentionnée que dans la dernière section du guide de conformité, après plusieurs pages d’arguments financiers. La déclaration de confidentialité de Huawei indique ne pas stocker les données de localisation précise. Elle ne définit nulle part ce qu’elle entend par « précise » ou « approximative ».

Une fuite sans consentement, ni même sans visibilité

Le point le plus accablant tient dans un détail administratif. Les deux apps où l’EFF a observé une transmission de localisation précise vers BidMachine — QR Scanner (plus de 50 millions de téléchargements) et GPS Speedometer (plus de 10 millions) — n’affichaient aucune notice, ne demandaient aucun consentement, et surtout ne déclaraient pas ce partage tiers dans leur section « Sécurité des données » du Google Play Store.

Traduction concrète : l’utilisateur n’avait littéralement aucun moyen de savoir. Ni dans l’app, ni sur sa fiche Play Store. Et GPS Speedometer, par nature, a besoin de la localisation pour fonctionner — accorder la permission relevait donc du bon sens, pas de l’imprudence. Accorder une permission de localisation à une application au niveau du système ne vaut pas consentement à voir cette localisation partagée avec des sociétés publicitaires tierces. C’est toute la fiction du « consentement » de ce secteur qui s’effondre là.

Des développeurs souvent ignorants, une architecture conçue pour ça

L’ignorance des développeurs n’est pas un accident. Elle est structurellement encouragée. Selon l’EFF, plusieurs études montrent que les développeurs tendent à conserver les paramètres par défaut des SDK. Si ces paramètres activent la collecte de localisation, la fuite se produit sans intention délibérée. Un travail de 2025 va plus loin : les développeurs n’ont souvent qu’une influence minime sur ce que le SDK transmet, réduits au choix binaire entre accepter une collecte invasive ou renoncer au SDK.

L’incitation financière joue un rôle central. Partager des données de localisation augmente le prix des enchères publicitaires. Plusieurs SDK documentent cet avantage explicitement — et placent ces arguments économiques avant les instructions de désinscription.

Chaque SDK possède bien des pages dédiées à la conformité RGPD ou COPPA. Ces modes de traitement restreint existent. Mais ils ne sont jamais activés par défaut. Interrogé par l’EFF, BidMachine a exposé la logique du secteur : « les éditeurs sont responsables de la configuration des flux de permissions et de consentement de leurs applications ».

La responsabilité est ainsi délibérément dispersée. Les SDK collectent. Les développeurs sont supposés configurer. Les plateformes distribuent les applications. Les courtiers captent les données via le RTB. Et personne n’est officiellement responsable de la protection des utilisateurs finaux.

Le piratage de Gravy Analytics en 2025 l’a démontré concrètement. Des milliers d’applications alimentaient un courtier en données à l’insu de leurs propres développeurs. Ce n’est pas une anomalie. C’est le fonctionnement normal du système.

Quelques points de résistance

Exodus Privacy est cité par l’EFF dans son enquête technique. Cet outil répertorie les SDK embarqués dans les applications Android. Il a permis à l’EFF d’identifier QR Scanner et GPS Speedometer comme contenant le SDK BidMachine. Il est consultable avant toute installation.

Pour les développeurs, l’EFF rappelle un principe simple. Intégrer un SDK publicitaire sans examiner sa politique de localisation revient à lui accorder les mêmes droits qu’à son propre code applicatif. Les paramètres par défaut sont la vraie ligne de partage.

Le cas de Verve n’est pas qu’une exception aimable : c’est la preuve de concept de tout un argumentaire. Parce que HyBid est open source, l’EFF a pu confirmer ce que l’entreprise déclarait, ligne de code à l’appui. Aucune des trois autres bibliothèques n’offre cette possibilité — on est réduit à lire une documentation que l’éditeur corrige quand un chercheur le prend en flagrant délit. La vérifiabilité n’est pas un supplément d’âme. Dans un secteur structurellement opaque, c’est la seule chose qui distingue une affirmation d’une preuve.

Au-delà des développeurs, l’EFF renvoie la responsabilité vers deux autres niveaux : les régulateurs, qui devraient cesser de ne sanctionner que les éditeurs et commencer à scruter les concepteurs de SDK qui font de la collecte le réglage par défaut ; et les législateurs, à qui elle demande une vraie loi sur la vie privée géographique — et, plus radicalement, l’interdiction de la publicité comportementale en ligne, qui supprimerait à la racine l’incitation à pister.

Ce qu’il faut retenir

• Quatre SDK publicitaires majeurs — InMobi, BidMachine, Verve HyBid, Huawei Petal Ads — collectent la géolocalisation par défaut, sans configuration explicite du développeur
• Ces SDK couvrent des milliards d’utilisateurs : InMobi revendique 2 milliards, Verve 1,5 milliard, BidMachine 600 millions ; Huawei Petal Ads est intégré dans plus de 85 000 applications
• BidMachine déclarait publiquement ne pas collecter de localisation précise — l’analyse technique de l’EFF sur deux applications a démontré le contraire, et l’entreprise a corrigé sa doc après coup
• Les deux apps testées (QR Scanner, 50 M+ ; GPS Speedometer, 10 M+) ne déclaraient pas ce partage tiers dans leur fiche Google Play : l’utilisateur n’avait aucun moyen de le savoir
• En 2025, le piratage de Gravy Analytics a révélé des milliers d’apps comme sources de données à l’insu de leurs propres développeurs
• Des données de localisation issues de la publicité mobile ont servi à des enquêtes d’immigration (ICE), de la surveillance syndicale, du suivi de militaires et des outils d’espionnage — selon l’EFF
• Verve HyBid étant open source, l’EFF a pu vérifier son code et confirmer ses déclarations — une transparence que les trois autres n’offrent pas
• Exodus Privacy permet d’analyser les SDK embarqués dans une application Android avant installation
• Accorder la permission de localisation à une application, c’est potentiellement l’accorder à tous ses SDK publicitaires intégrés — sans exception

Sources

• EFF Deeplinks — Developers: Beware of Ad Libraries that Betray Your Users’ Location Privacy (Lena Cohen & Bill Budington, 4 août 2026)
• EFF — Communiqué : Mobile Ad Software Encourages Location Data Sharing
• 404 Media — Les milliers d’apps sources de Gravy Analytics
• Exodus Privacy — Base de données des traqueurs
• FTC — Règlement InMobi / FTC (2016)