Les courtiers en donnees expliques : comment ils collectent et vendent vos informations personnelles

La plupart d'entre nous avons vecu ce moment troublant ou nos appareils semblent en savoir trop -- quand une recherche anodine conduit a des jours de publicites associees qui nous suivent partout sur internet. Les publicites ciblees ne sont pas seulement agacantes ; elles peuvent etre activement nuisibles pour la democratie, la sante mentale et la vie privee. Elles ont ete utilisees pour cibler par race avec de la desinformation electorale et pour recruter pour des eglises via le geofencing.

Que sont les courtiers en donnees ?

Les grandes entreprises technologiques meritent un examen minutieux pour les violations de la vie privee, mais certaines entreprises operent presque entierement hors des projecteurs, au-dela de la plupart des reglementations, et en dessous du seuil de conscience de la plupart des internautes.

Ces entreprises sont connues sous le nom de courtiers en donnees.

En Europe, les lois sur la vie privee offrent des protections significatives. Aux Etats-Unis, le paysage reglementaire est bien moins restrictif, et les courtiers en donnees peuvent accumuler jusqu'a 1 500 points de donnees sur le citoyen americain moyen.

Les courtiers en donnees (egalement appeles "fournisseurs de donnees", "courtiers en information" ou "prestataires de donnees") collectent les donnees personnelles directement ou les achetent aupres des plateformes de reseaux sociaux, des societes de cartes de credit et de tout site web qui recolte ou partage les donnees utilisateur. C'est une industrie de 200 milliards de dollars avec plus de 4 000 entreprises, et elle continue de croitre rapidement.

Ces entreprises vont des agences de notation de credit comme Equifax, Experian et TransUnion, aux sites de recherche de personnes comme PeekYou, Pipl et Instant Checkmate, en passant par des entites moins connues comme Acxiom, Cuebiq, CoreLogic, LiveRamp et Epsilon. Ce qu'elles partagent toutes, c'est la pratique de collecter des informations personnelles et de les revendre ou les partager avec d'autres entreprises.

Comme l'a decrit un journaliste de WIRED, les courtiers en donnees sont "les intermediaires non reglementes du capitalisme de surveillance" et une "menace pour la democratie."

Alors que la plupart des courtiers en donnees echangent des listes relativement anodines comme "passionnes de Formule 1" ou "futurs parents", certains auraient vendu des listes categoriees comme "victime de viol", "alcoolique" et "personne souffrant de dysfonction erectile".

Comment operent les courtiers en donnees ?

Dans le domaine numerique, la plupart de la collecte de donnees s'effectue via des cookies tiers et des scripts de suivi. Des entreprises autres que le site web que vous visitez placent des cookies pour surveiller votre comportement et vendre ces informations.

Tous les scripts tiers ne sont pas malveillants, et tous les cookies ne sont pas nuisibles. De nombreux sites web ont legitimement besoin de cookies pour les fonctionnalites de connexion. La difference cruciale est que les scripts de suivi des courtiers en donnees vous suivent non seulement au sein d'un seul site, mais de site en site a travers la majeure partie d'internet.

Considerez l'ampleur : le New York Times porte 10 traqueurs publicitaires et 17 cookies tiers. Le site d'Adobe a 21 traqueurs publicitaires et 34 cookies tiers. Meme Surfshark, un VPN qui se presente comme axe sur la vie privee, a 9 traqueurs publicitaires et 3 cookies tiers. Vous pouvez tester n'importe quel site en utilisant l'outil Blacklight de The Markup.

Les courtiers en donnees collectent des points comme les adresses IP (qui revelent la localisation physique), les informations sur l'appareil et les interets de navigation. Ils combinent cela avec d'autres donnees qu'ils detiennent sur vous, vous regroupent avec des profils similaires ("vegan, vivant a Los Angeles, revenus de 65 000 a 90 000 $, celibataire"), et vendent ces listes aux annonceurs.

Les listes particulierement invasives -- personnes avec des conditions medicales specifiques, des preferences sexuelles, des opinions religieuses ou des affiliations politiques -- peuvent etre vendues a pratiquement n'importe qui. Les informations medicales recherchees en ligne ne sont pas protegees par la loi HIPAA. La HIPAA ne couvre que les informations partagees avec les medecins. Rechercher "avortement", "traitements du cancer" ou "therapeute a Seattle" en ligne genere des donnees completement non protegees.

Les applications mobiles peuvent egalement transmettre des donnees a des tiers et a des courtiers sans que les utilisateurs le sachent, y compris des applications lampe de poche gratuites qui transmettent discretement des donnees de localisation.

Zones grises juridiques

Les entreprises de courtage en donnees operent dans des zones grises juridiques. Dans les pays avec des lois strictes sur la vie privee, leurs pratiques peuvent etre techniquement illegales mais persistent neanmoins. La plupart des courtiers en donnees enterrent le consentement au partage de donnees au fond des conditions d'utilisation et des petits caracteres.

Malgre la presentation de leurs pratiques comme parfaitement legales, les courtiers en donnees font regulierement face a des consequences juridiques. En 2021, Epsilon a ete poursuivi par le Departement de la Justice pour 150 millions de dollars pour avoir facilite des escroqueries visant les personnes agees pendant pres d'une decennie.

SafeGraph, un courtier en donnees de localisation au nom ironique, n'a que recemment cesse de permettre les achats de donnees montrant combien de personnes ont visite les centres Planned Parenthood. Ils ont egalement vendu des donnees entierement desagregees au gouvernement americain.

Life360, utilise par plus de 35 millions de personnes comme application de securite familiale, a ete revele pour avoir genere des revenus significatifs en vendant des donnees de localisation precises -- y compris des donnees sur les enfants -- a des dizaines de courtiers en donnees.

Les affirmations de des-identification sonnent creux. Une etude a revele que 99,98 % des Americains pouvaient etre re-identifies en utilisant tout jeu de donnees d'au moins 15 attributs demographiques. Plus on collecte de donnees, plus il est facile d'identifier les individus.

Pourquoi cela devrait vous preoccuper

Meme si vous estimez n'avoir rien a cacher, tout le monde n'a pas le privilege de l'indifference. Les victimes de harcelement, les survivantes de violences conjugales et bien d'autres ont des raisons urgentes d'empecher que leurs donnees soient achetees et vendues. Pourtant, dans de nombreuses juridictions, il n'existe aucune loi federale obligeant les courtiers en donnees a supprimer les donnees sur demande.

Cet ecosysteme de donnees offre egalement aux gouvernements une faille juridique pour contourner les exigences de mandat. Plutot que d'obtenir un mandat judiciaire pour des donnees de surveillance, les agences peuvent simplement les acheter aupres de courtiers en donnees -- de maniere completement legale et sans que le sujet le sache.

Se proteger

Plusieurs mesures peuvent reduire votre exposition : utilisez des navigateurs respectueux de la vie privee comme Brave ou Firefox, utilisez des VPN, refusez les consentements aux cookies lorsque c'est possible, et ajustez les parametres de vos appareils mobiles qui permettent aux applications de suivre votre activite.

Mais le fardeau ne devrait pas reposer uniquement sur les individus. La vie privee numerique devrait etre protegee par defaut par la legislation et l'application de la loi. Dans l'UE, le RGPD impose des bases legales pour le traitement des donnees, bien que l'application reste imparfaite. Meme les bannieres de consentement RGPD utilisent souvent des dark patterns qui rendent le refus deliberement difficile.

Les proprietaires de sites web peuvent agir immediatement en supprimant les scripts de suivi tiers qui envoient des donnees aux courtiers et en passant a des outils d'analyse respectueux de la vie privee qui ne collectent que des donnees anonymisees et agregees.

Selon le Pew Research Center, environ six Americains sur dix estiment qu'il est impossible de vivre au quotidien sans que des donnees soient collectees par les entreprises et les gouvernements.

L'economie de l'internet moderne repose sur ce modele de courtage de donnees. C'est pourquoi tant de sites web populaires et de reseaux sociaux sont gratuits : ils generent des milliards a partir des donnees utilisateur. Plus les gens comprennent comment ce systeme fonctionne, plus la pression peut etre exercee pour une meilleure reglementation federale et une protection des droits a la vie privee numerique.