Le système est si sophistiqué et furtif, qu’il était quasiment impossible de s’apercevoir que l’on était tracé. Et pourtant, le géant du jouet Toysrus.com et sa filiale babiesrus.com, tout comme les sites de sportswear lucy.com et fusion.com, avaient pris l’habitude de transmettre certaines données personnelles (nom, adresse postale et mail, numéro de téléphone, produits achetés chez leurs partenaires et autres sites visités) à Coremetrics. Une société qui propose à ses clients d’analyser le comportement des visiteurs de leurs sites, et gère donc des bases de données clients. C’est Interhack, une boîte spécialiste de sécurité informatique et de protection des données personnelles, qui a révélé l’affaire.

Une collecte d’infos indétectable

Via l’utilisation de codes javascript et de "pixels blancs", qui tracent de façon imperceptible les internautes (lire Pire que les cookies : les Web bugs...), les informations étaient cryptées, rendant ainsi quasi-indétectable cette collecte illégale de données, puis envoyées à Coremetrics. Pire : les chartes de protection des données personnelles des sites incriminés avaient pourtant tout pour plaire, garantissant leur parfaite confidentialité. Lucy.com et fusion.com étaient même affiliés à Truste, label controversé de protection de la vie privée (lire TRUSTe, un label de qualité crédible ? ).

Toys’R’Us attaqué

Pour sa défense, Coremetrics avance que les données rassemblées ne sont utilisées que par les sites où elles ont été collectées et qu’elles ne sont en aucun cas revendues à qui que ce soit. La société affiche également son adhésion à plusieurs chartes reconnues de protection de la vie privée et la possibilité pour les internautes de demander à ne plus être fiché. Cela n’a pas convaincu les internautes piégés, d’autant plus choqués que deux des sites fautifs vendent des jouets, visant particulièrement les enfants. Deux plaintes collectives en justice ont été déposées contre Toys’R’Us, l’une à San Francisco, l’autre dans le New Jersey.