02 · Empreinte numérique

Les data brokers : comment vos données personnelles circulent-elles ?

Des informations publiées en ligne, communiquées à des services ou issues de fichiers professionnels peuvent être collectées, rapprochées et réutilisées par des entreprises spécialisées. Comprendre cette circulation aide à mieux exercer ses droits.

Comprendre les acteurs

Qu'est-ce qu'un data broker ?

Un data broker, ou courtier en données, est une entreprise qui collecte ou obtient des informations auprès de plusieurs sources, les organise et peut les enrichir, les analyser ou les transmettre à d'autres organismes. Certains commercialisent des fichiers ou des profils ; d'autres fournissent des services d'analyse, de vérification ou de ciblage.

À distinguer : tous les acteurs qui traitent des données ne sont pas des data brokers. Un réseau social, un annonceur, un fournisseur d'annuaire ou un service de mesure d'audience peut traiter des données pour ses propres besoins ou ceux de partenaires, sans exercer exactement la même activité. Les rôles et responsabilités dépendent des opérations réellement effectuées.

Comment les données sont-elles collectées ?

Les sources sont variées et peuvent être combinées. Une entreprise peut notamment obtenir des données :

Sources accessibles en ligne

Annuaires, sites professionnels, petites annonces, publications publiques, registres et pages web. Des outils automatisés peuvent extraire certaines informations, une pratique souvent appelée web scraping.

Formulaires et services numériques

Informations communiquées lors d'une inscription, d'un achat, d'une demande de devis, d'un jeu-concours ou de l'utilisation d'un service, selon les informations et autorisations recueillies.

Partenaires et fichiers commerciaux

Données transmises ou mises à disposition par des entreprises, éditeurs de services, agences ou fournisseurs de fichiers, dans le cadre de relations contractuelles.

Informations déduites ou enrichies

Des données peuvent être rapprochées pour compléter un profil : activité professionnelle, centres d'intérêt supposés, catégories de consommation ou zone géographique.

Applications et environnement publicitaire

Certains acteurs de l'écosystème publicitaire reçoivent des identifiants ou signaux liés à l'utilisation de services, sous réserve des règles applicables aux traceurs et aux données personnelles.

Fichiers et données historiques

Des informations anciennes, des changements de coordonnées ou des données issues de fichiers accessibles dans un cadre légal peuvent être conservés et actualisés, avec des niveaux de fiabilité variables.

Quelles informations peuvent être regroupées ?

Selon les sources et les finalités, les fichiers peuvent contenir des coordonnées, des informations professionnelles, des données relatives à des achats ou à des centres d'intérêt, des caractéristiques démographiques, une zone géographique ou des identifiants techniques. Certaines informations sont déclarées par la personne ; d'autres sont observées, rapprochées ou déduites.

Un profil n'est pas nécessairement exact ni à jour. Une homonymie, une donnée ancienne ou une association erronée peut conduire à attribuer à une personne une information qui concerne quelqu'un d'autre. Les données sensibles au sens du RGPD font l'objet de protections renforcées et ne peuvent pas être traitées librement.

À quoi servent ces profils ?

Prospection commerciale : identifier des prospects, enrichir des fichiers de contacts ou sélectionner des publics auxquels proposer des produits et services ;
Segmentation et analyse : regrouper des personnes selon des critères pour étudier des comportements ou des marchés ;
Vérification et prévention de la fraude : contribuer à certaines vérifications d'identité ou évaluations de risques, dans un cadre qui doit être justifié et proportionné ;
Publicité et mesure : aider certains acteurs à choisir des audiences ou à mesurer des campagnes, sous réserve des règles applicables.

La présence d'une donnée dans une source publique ne signifie pas qu'elle peut être collectée, combinée, vendue ou réutilisée sans limite. La finalité poursuivie, la base légale, l'information des personnes et le respect de leurs droits restent déterminants.

Pourquoi cette circulation peut-elle poser problème ?

La multiplication des intermédiaires rend parfois difficile de savoir qui détient une information, d'où elle provient et à qui elle a été transmise. Une donnée communiquée dans un contexte précis peut être réutilisée dans un autre contexte que la personne n'avait pas anticipé.

Les risques comprennent notamment la prospection insistante, la perte de maîtrise sur ses coordonnées, des profils inexacts, des décisions fondées sur des informations erronées ou une exposition accrue lorsque plusieurs éléments sont réunis. Les données peuvent aussi être conservées plus longtemps que prévu ou circuler entre plusieurs partenaires.

Quels sont vos droits en France et dans l'Union européenne ?

Lorsqu'un data broker traite des données permettant de vous identifier, le RGPD peut s'appliquer, même si les informations proviennent de sources accessibles au public. Le fait qu'une donnée soit visible en ligne ne la fait pas sortir automatiquement du champ de la protection des données personnelles.

Selon la situation, vous pouvez notamment demander :

Le droit d'accès : savoir si un organisme traite vos données, obtenir une copie et demander les informations disponibles sur leur origine, les finalités et les destinataires ;
La rectification : faire corriger des informations inexactes ou incomplètes ;
L'effacement : demander la suppression lorsque les conditions prévues par le RGPD sont réunies ;
La limitation : demander, dans certains cas, que l'utilisation des données soit temporairement restreinte ;
L'opposition : vous opposer à certains traitements fondés sur l'intérêt légitime. Pour la prospection commerciale, vous pouvez vous opposer à tout moment à l'utilisation de vos données à cette fin.

Lorsqu'un organisme n'a pas recueilli directement les données auprès de vous, il doit en principe vous fournir les informations prévues par le RGPD, notamment sur leur source, sous réserve des exceptions prévues par le règlement. Les modalités exactes dépendent du traitement et de sa base légale.

Étape 1

Identifier l'organisme qui vous contacte

Consultez les mentions de confidentialité du message, du site ou du formulaire. Relevez le nom de l'entreprise, ses coordonnées et, si possible, celles de son délégué à la protection des données.

Étape 2

Demander l'origine et l'utilisation des données

Demandez quelles données sont détenues, d'où elles proviennent, à quelles fins elles sont utilisées, quelle base légale est invoquée et à quels destinataires elles ont été communiquées.

Étape 3

Exercer les droits adaptés à votre situation

Demandez la rectification ou l'effacement lorsque les conditions sont réunies. Si vos données sont utilisées pour de la prospection, exercez clairement votre droit d'opposition à cette finalité.

Étape 4

Conserver une trace de vos démarches

Gardez une copie de votre demande, la date d'envoi et la réponse reçue. En principe, l'organisme doit répondre dans un délai d'un mois, sous réserve des prolongations prévues par le RGPD.

En cas de réponse insuffisante : si l'organisme ne répond pas dans le délai applicable ou si sa réponse ne vous satisfait pas, vous pouvez déposer une réclamation auprès de la CNIL. Une demande adressée à un data broker ne garantit pas la suppression d'une information publiée sur le site d'origine : les démarches peuvent devoir être effectuées séparément auprès de chaque responsable concerné.

Ressources officielles pour aller plus loin

Cette page présente des informations générales sur les courtiers en données et le droit applicable en France et dans l'Union européenne. Elle ne constitue pas un avis juridique personnalisé. Les obligations dépendent notamment du rôle de chaque organisme, des données traitées, des finalités et des circonstances.