Un guide pratique de Les courtiers en données expliqués

Ici, le sujet Les courtiers en données expliqués est expliqué avec des exemples pratiques. Sites de recherche de personnes, fournisseurs de données marketing, agrégateurs : les courtiers en données expliqués collectent, déduisent, regroupent et revendent des informations sur des gens avec qui ils n'ont aucune relation.

Les courtiers en données collectent, déduisent, regroupent et vendent des informations sur les personnes, souvent sans relation directe avec elles. L'industrie comprend des sites de recherche de personnes, des fournisseurs de données marketing, des sociétés de données de localisation, des fournisseurs d'évaluation des risques, des générateurs de prospects et des entreprises qui enrichissent les bases de données clients des annonceurs ou des services financiers.

Le problème de la vie privée ne réside pas seulement dans l’existence des données. Souvent, les gens ne savent pas qui possède ces informations, comment elles ont été combinées, si elles sont exactes et comment elles seront utilisées.

Où les courtiers obtiennent des données

Les courtiers en données s'appuient sur de nombreuses sources :

• Dossiers publics tels que les dossiers de propriété, de tribunal, d’électeur, d’entreprise et de licence professionnelle.
• Données commerciales issues des programmes de fidélité, des achats, des abonnements et des enregistrements de garantie.
• Comportement en ligne à partir des pixels, des SDK, des identifiants publicitaires et de la synchronisation des cookies.
• Données de localisation mobile provenant d'applications et de chaînes d'approvisionnement de technologie publicitaire.
• Données autodéclarées provenant d'enquêtes, de quiz, de formulaires pour prospects et de tirages au sort.
• Inférences fondées sur les données démographiques, les quartiers, les appareils, les intérêts et le comportement.

Un seul point de données peut sembler inoffensif. Combinée entre plusieurs sources, elle peut révéler la fourchette de revenus, la composition du ménage, les intérêts en matière de santé, les tendances politiques, l'appartenance religieuse, l'intérêt pour une grossesse, le stress de l'endettement ou les visites dans des lieux sensibles.

Pourquoi c'est important

Les courtiers en données peuvent influencer la publicité, la prévention de la fraude, le marketing du crédit et de l'assurance, la recherche de personnes, la vérification des antécédents, les enquêtes des forces de l'ordre et le ciblage politique. Certains usages sont réglementés. D’autres se situent dans des zones grises où les consommateurs ont peu de visibilité.

La Federal Trade Commission américaine a mis en garde à plusieurs reprises contre l’utilisation abusive de données sensibles. Dans son affaire contre Kochava, le FTC a allégué que l'entreprise vendait des données de géolocalisation précises qui pourraient révéler des visites dans des lieux sensibles tels que des cliniques de santé reproductive, des lieux de culte, des refuges et des centres de désintoxication (FTC c. Kochava). Ce cas illustre pourquoi les données de localisation sont rarement un simple signal marketing.

Le Bureau de protection financière des consommateurs a également proposé de soumettre davantage d'activités de courtage de données aux obligations du Fair Credit Reporting Act lorsque les courtiers vendent des informations utilisées pour des décisions d'éligibilité telles que le crédit, l'emploi ou le logement (proposition du CFPB).

Comment les profils des courtiers de données deviennent inexacts

Les données des courtiers sont probabilistes. Une personne est affectée à un segment en raison d'un quartier, d'un achat, d'une visite sur un site Web ou d'une similitude avec d'autres utilisateurs. Les déductions peuvent être fausses, obsolètes ou trompeuses. Le mal ne se limite pas à l’embarras. Des profils inexacts peuvent affecter les offres, les prix, la sélection, le ciblage ou l'exclusion des opportunités.

Même lorsque les données sont « pseudonymes », elles peuvent toujours être liées. La publicité mobile IDs, les e-mails hachés, le cookie IDs et les graphiques d'appareils peuvent relier les comportements dans différents contextes. Le risque lié à la vie privée augmente lorsque les données quittent le contexte d’origine dans lequel la personne s’attendait à ce qu’elles soient utilisées.

Ce que les individus peuvent faire

Il n’existe pas de solution personnelle parfaite, mais l’exposition peut être réduite :

• Désactivez-vous des principaux sites de recherche de personnes et des courtiers de données lorsqu'ils sont disponibles.
• Limitez les autorisations de localisation des applications et évitez de « toujours autoriser » sauf si nécessaire.
• Réinitialisez la publicité mobile IDs et désactivez la personnalisation des annonces.
• Utilisez la protection contre le suivi du navigateur et bloquez les cookies tiers.
• Évitez les quiz, les formulaires pour prospects et les tirages au sort qui posent des questions inutiles.
• Utilisez des alias de messagerie pour les inscriptions.
• Demandez la suppression en vertu des lois applicables telles que CCPA/CPRA, le cas échéant.

Le fardeau ne devrait pas incomber entièrement aux individus. Les écosystèmes des courtiers sont trop opaques pour que la désinscription manuelle constitue une solution complète.

Ce que les entreprises devraient apprendre

N'achetez pas de données que vous ne pouvez pas expliquer. Si un fournisseur propose des audiences enrichies, des données d'intention, des segments de localisation ou des graphiques d'identité, demandez :

• Quelle est la source originale des données ?
• Quel consentement ou quel avis couvrait la collecte ?
• Les données sensibles sont-elles exclues ?
• Comment la précision est-elle testée ?
• Les gens peuvent-ils accéder, supprimer ou se désinscrire ?
• Les données sont-elles utilisées pour les décisions d’éligibilité ?
• Est-il partagé par la suite ?
• Quelles juridictions sont couvertes ?

Pour l’analyse de sites Web, la leçon est claire : évitez de devenir un petit courtier de données par accident. N'envoyez pas d'e-mails clients, d'utilisateur IDs, URLs complet contenant des données personnelles ou des noms d'événements sensibles à des fournisseurs de publicité et d'analyse, sauf si vous disposez d'une base juridique claire et des attentes de l'utilisateur.

L'analyse axée sur la vie privée comme alternative

Un produit d'analyse axé sur la vie privée ne doit pas enrichir les enregistrements des visiteurs à partir des données des courtiers, vendre des audiences ou créer des profils intersites. Il doit mesurer les performances du site de manière globale : visites, pages, référents, campagnes, objectifs et tendances. Cela donne aux équipes des informations utiles sans rejoindre le marché caché des informations personnelles.

Le courtage de données prospère grâce à l’effondrement du contexte : les informations partagées à un endroit deviennent le carburant de décisions ailleurs. Les mesures axées sur la vie privée résistent à ce modèle en limitant les données à l'objectif que le propriétaire du site peut expliquer.

Drapeaux rouges dans les présentations des fournisseurs

Soyez sceptique lorsqu'un fournisseur promet des audiences « anonymes » mais ne peut pas expliquer les données sources, le processus de désinscription ou les contrôles de ré-identification. Soyez particulièrement prudent avec les segments de localisation précis, les segments d'intérêt en matière de santé, les segments de stress financier, le ciblage au niveau des ménages et les graphiques d'identité qui connectent les e-mails, les appareils et les cookies.

Demandez des workflows de suppression et des droits d’audit. Si un courtier ne peut pas supprimer, corriger ou supprimer des données de manière fiable, vous pouvez hériter de plaintes de personnes qui n'ont jamais su que votre entreprise avait un profil à leur sujet. Pour les marques soucieuses de la vie privée, la règle la plus simple est souvent la meilleure : n’achetez pas de données comportementales que vous seriez mal à l’aise de décrire sur votre page de tarification.

Liste de contrôle du courtier de données d'entreprise

Si un fournisseur apporte des données d'audience externe ou d'enrichissement dans votre pile, faites une pause jusqu'à ce que vous puissiez expliquer la source, le chemin de consentement, le processus de désinscription, les exclusions de données sensibles, les contrôles d'exactitude et le partage ultérieur.

Pour votre propre site internet, évitez de devenir un petit courtier par accident. Supprimez les scripts tiers inutiles, conservez l'agrégation des analyses lorsque cela est possible, réduisez la conservation des données brutes et n'envoyez jamais d'e-mails clients, d'utilisateur IDs ou de contexte de page sensible à des outils de technologie publicitaire sans objectif ni attente clairs.

Questions fréquentes

Qu'est-ce qu'un courtier de données, exactement ?

Un courtier de données collecte, déduit, assemble et vend des informations sur des personnes avec lesquelles il n'a généralement aucune relation directe. Le secteur regroupe des sites de recherche de personnes, des fournisseurs de données marketing, des entreprises de données de localisation, des prestataires de notation de risque, des générateurs de leads et des firmes qui enrichissent les bases clients pour des annonceurs ou des services financiers. Presque personne ne s'inscrit directement auprès de ces entreprises, ce qui fait partie du problème.

Où les courtiers de données obtiennent-ils leurs informations ?

Les sources incluent les registres publics comme la propriété, les tribunaux, les listes électorales, les entreprises et les licences professionnelles, ainsi que les données commerciales issues des programmes de fidélité, des achats, des abonnements et des enregistrements de garantie. Les courtiers récupèrent aussi le comportement en ligne via des pixels, des SDK, des identifiants publicitaires et le cookie syncing, avec les données de localisation mobile et les réponses auto-déclarées de sondages, quiz et formulaires. S'y ajoutent des déductions construites à partir de la démographie, du quartier, des appareils et des habitudes de comportement.

Pourquoi combiner des données isolées augmente-t-il le risque pour la vie privée ?

Une seule donnée peut sembler anodine à elle seule. Dès que les courtiers la croisent avec d'autres sources, l'ensemble ainsi constitué peut révéler une tranche de revenus, la composition du foyer, des intérêts de santé, des orientations politiques, une affiliation religieuse, un intérêt pour une grossesse, un stress financier ou des visites à des lieux sensibles. C'est ce croisement entre contextes qui crée le vrai risque, pas la donnée isolée.

Qu'a reproché la FTC à Kochava dans son procès ?

Dans l'affaire FTC contre Kochava, la Federal Trade Commission a affirmé que l'entreprise vendait des données de géolocalisation précises pouvant révéler des visites à des lieux sensibles comme des cliniques de santé reproductive, des lieux de culte, des refuges et des centres de désintoxication. L'affaire montre que les données de localisation dépassent largement le simple signal marketing.

Comment la proposition du CFPB affecterait-elle les courtiers de données ?

Le Consumer Financial Protection Bureau propose de soumettre davantage l'activité des courtiers de données aux obligations du Fair Credit Reporting Act. Cela s'appliquerait lorsque les courtiers vendent des informations utilisées pour des décisions d'éligibilité comme le crédit, l'emploi ou le logement.

Pourquoi les profils des courtiers de données sont-ils souvent inexacts ?

Les données des courtiers sont largement probabilistes : une personne peut être rattachée à un segment à cause de son quartier, d'un achat, d'une visite de site web ou de sa ressemblance avec d'autres utilisateurs. Ces déductions peuvent être fausses, obsolètes ou trompeuses, et le préjudice dépasse la simple gêne. Il peut influencer les offres, les prix, les filtrages ou les opportunités qu'une personne voit ou non.

Les données pseudonymisées sont-elles vraiment anonymes ?

Pas de façon fiable. Les identifiants publicitaires mobiles, les e-mails hachés, les cookies et les graphes d'appareils peuvent continuer à relier un comportement entre différents contextes, si bien que les données pseudonymisées restent souvent identifiables. Le risque pour la vie privée augmente dès que les données quittent le contexte d'origine où la personne s'attendait à leur usage.

Que puis-je faire personnellement pour réduire mon exposition aux courtiers de données ?

On peut demander son retrait des principaux sites de recherche de personnes quand c'est possible, limiter les permissions de localisation des applications et éviter l'option "toujours autoriser". Réinitialiser l'identifiant publicitaire mobile, désactiver la personnalisation des publicités, utiliser la protection contre le tracking du navigateur, bloquer les cookies tiers et éviter les quiz ou jeux-concours qui demandent des informations superflues aide aussi. Demander la suppression des données au titre de lois comme le CCPA/CPRA reste une option, même si aucune démarche individuelle ne suffit, l'écosystème des courtiers étant trop opaque pour qu'un simple retrait manuel règle le problème.

Quelles questions une entreprise devrait-elle poser avant d'acheter des données d'enrichissement ?

Il faut demander quelle est la source originale des données, quel consentement ou avis a couvert leur collecte, et si les données sensibles sont exclues. Il faut aussi vérifier comment l'exactitude est testée, si les personnes peuvent accéder, supprimer ou refuser leurs données, si celles-ci servent à des décisions d'éligibilité, si elles sont partagées à des tiers, et quelles juridictions sont couvertes.

Quels signaux d'alerte trahissent une offre de fournisseur risquée ?

Il faut se méfier d'un fournisseur qui promet des audiences "anonymes" sans pouvoir expliquer la source des données, le processus de retrait ou les contrôles de ré-identification. Une attention particulière s'impose face aux segments de localisation précise, aux segments d'intérêt pour la santé, aux segments de stress financier, au ciblage au niveau du foyer et aux graphes d'identité reliant e-mails, appareils et cookies. Il vaut mieux aussi demander les procédures de suppression et les droits d'audit avant de s'engager.