La Colombie a tracé les contacts Covid via les identifiants publicitaires mobiles au lieu de développer une application de traçage

En 2020, Bogotá et le département colombien d'Antioquia devaient tracer les contacts Covid-19, mais les applications de traçage dédiées peinaient partout dans le monde à obtenir des taux de téléchargement et d'adhésion suffisants, ce qui réduisait leur couverture. Les deux gouvernements ont fait appel à l'entreprise locale Servinformación, qui a proposé de renoncer entièrement à une nouvelle application et d'utiliser plutôt l'infrastructure publicitaire mobile déjà présente sur la plupart des téléphones.

Chaque téléphone porte un identifiant publicitaire, attribué par Google ou Apple, que les réseaux publicitaires utilisent pour cibler les utilisateurs à travers les applications. Servinformación a mis ce système d'identifiants en correspondance avec les patients confirmés : chaque semaine, les autorités envoyaient les adresses des patients, et l'entreprise identifiait quels identifiants passaient régulièrement la nuit à ces adresses, puis quels autres identifiants restaient à moins de 10 mètres de ces appareils pendant 30 minutes ou plus. Plutôt que de développer une application, elle a acheté des publicités géociblées et des envois massifs de SMS via des réseaux atteignant déjà ces téléphones, pour avertir d'une exposition possible et renvoyer vers un formulaire d'auto-évaluation des symptômes.

Le système ne nécessitait aucun téléchargement, aucune installation et aucune étape de consentement actif — il fonctionnait sur toute personne dont le téléphone portait déjà l'identifiant publicitaire standard, soit presque tous les possesseurs de smartphone. Les responsables de la santé d'Antioquia ont également utilisé les données de localisation agrégées pour diriger les équipes épidémiologiques vers des pâtés de maisons précis où se concentraient des identifiants exposés, plutôt que de tester à grande échelle.

Réutiliser l'identifiant ad-tech déjà présent sur chaque téléphone au lieu de développer une application que les gens doivent installer

S'appuyer sur les identifiants publicitaires signifiait zéro friction d'adoption — il n'y avait aucune application à télécharger, si bien que la couverture correspondait au nombre de téléphones faisant déjà tourner des applications financées par la publicité, c'est-à-dire presque tous.

La correspondance de proximité à 10 mètres et 30 minutes réutilisait une primitive de ciblage ad-tech existante au lieu d'exiger le développement et le déploiement d'un nouveau logiciel de suivi de localisation.

Le renvoi des résultats via les réseaux publicitaires et les passerelles SMS existants signifiait que le canal de contact était déjà en place et atteignait déjà les téléphones ciblés.

L'agrégation des identifiants exposés par pâté de maisons permettait aux responsables de la santé de cibler géographiquement les équipes de dépistage plutôt que de s'attaquer au problème plus difficile d'identifier et de tester individuellement chaque contact possible.

Lorsque l'adoption est le goulot d'étranglement, vérifiez si l'infrastructure dont vous avez besoin est déjà installée sur les appareils ciblés à une autre fin — cela vaut mieux qu'une application conçue spécialement, puisque personne n'a à donner son consentement.

Au moment où Rest of World a rapporté l'affaire, les responsables d'Antioquia ont déclaré avoir envoyé plus de 411 000 publicités et messages texte depuis avril 2020, suscitant plus de 1 600 appels aux services de santé — un taux de réponse de 0,4 %, juste en dessous de la référence de 0,5 à 0,7 % pour les campagnes de marketing numérique. Des chercheurs en vie privée de la Fondation Karisma et de l'Electronic Frontier Foundation ont averti que la même technique de correspondance d'identifiants pouvait aussi servir à la surveillance, puisque connaître l'adresse du domicile d'un patient permet facilement de déduire quel identifiant publicitaire lui appartient.