Résumé

  • Passport permettait d'entrer sur plusieurs sites participants avec le même identifiant. Selon la plainte de la FTC, Microsoft conservait temporairement les sites où un utilisateur s'était connecté ainsi que les dates et heures ; le service client pouvait relier ce relevé à son nom.
  • La FTC a estimé que la déclaration de confidentialité omettait cet historique malgré la description d'autres données. L'accord de 2002 a débouché sur une ordonnance imposant des déclarations exactes, un programme de sécurité écrit et une évaluation indépendante.

La porte commune avait un registre

Lancé en octobre 1999, Passport proposait une idée séduisante : une seule paire d'identifiants pour plusieurs sites partenaires. Chaque nouvelle connexion traversait pourtant un même point de passage. Dans sa plainte de décembre 2002, la Federal Trade Commission indique que Microsoft gardait pendant une période limitée un relevé personnel des sites où l'abonné se connectait, avec la date et l'heure de chaque entrée. Des agents du service client pouvaient rapprocher ce relevé d'un nom pour répondre à une demande d'assistance.

Le défaut relevé par la FTC tient à ce qui manquait dans une déclaration pourtant fournie. Celle-ci parlait des renseignements donnés à l'inscription, du numéro propre à chaque compte, de données de fonctionnement et de cookies temporaires. Elle ne décrivait pas, d'après la plainte, le relevé des connexions site par site. Un lecteur pouvait comprendre l'existence d'un identifiant technique sans savoir que le fournisseur de l'accès commun reconstituait un itinéraire daté de ses entrées sur les sites participants.

La plainte contient aussi des griefs sur les promesses de sécurité, le service d'achat Passport Wallet et le contrôle parental de Kids Passport. L'historique de connexion révèle une mécanique plus précise. La commodité offerte à l'utilisateur exigeait un centre d'authentification ; ce centre produisait un journal utilisable par le personnel d'assistance. Ce que le système savait et ce que la politique expliquait avaient pris des chemins différents.

L'ordonnance a donné du travail à la promesse

En août 2002, Microsoft annonçait son accord avec la FTC en promettant de formaliser, documenter et soumettre à une évaluation indépendante ses procédures de sécurité. L'ordonnance définitive de décembre interdit de déformer les pratiques de collecte, d'utilisation et de divulgation des données. Elle impose un programme de sécurité écrit avec des responsables désignés, une analyse des risques, des protections, des contrôles et des ajustements, puis une évaluation par un professionnel indépendant. Le champ couvre Passport et les services comparables d'authentification sur plusieurs sites.

La plainte expose les accusations de la FTC ; l'accord inscrit les obligations acceptées par Microsoft sans admission des faits contestés. Le passage décisif est opérationnel : nommer la personne responsable, tenir les procédures, tester les protections, permettre un examen externe. Une promesse de confidentialité sur la page d'accueil avait désormais une liste de tâches derrière elle.

Documents originaux