Vos données personnelles, monnaie d'échange : enquête sur un marché que les entreprises vous cachent

Il y a quelques semaines, Martine, 54 ans, abonnée depuis dix ans chez un grand opérateur téléphonique français, reçoit un appel d'une mutuelle qu'elle n'a jamais contactée. L'interlocuteur connaît son prénom, son âge approximatif, et sait qu'elle est à la recherche d'une couverture santé complémentaire — une démarche qu'elle n'avait mentionnée nulle part, sinon lors d'un questionnaire de satisfaction envoyé par son opérateur six mois plus tôt. Coïncidence ? Probablement pas.

L'histoire de Martine illustre une réalité que les entreprises s'emploient à rendre invisible : vos données personnelles constituent une ressource économique de premier plan, dont la valorisation se fait bien souvent dans l'ombre de clauses contractuelles illisibles.

Un marché colossal, une opacité soigneusement entretenue

Le marché mondial des données personnelles est estimé à plus de 200 milliards de dollars par an. En France, les secteurs les plus actifs dans la collecte et la monétisation de ces informations sont, sans surprise, les télécommunications, les services bancaires et les assurances — trois industries qui entretiennent avec leurs clients des relations longues, denses en informations sensibles.

Concrètement, que collectent-ils ? Bien davantage que votre simple adresse e-mail. Les opérateurs télécoms disposent de vos habitudes de navigation, de la localisation de votre téléphone, de la liste de vos contacts, du volume et de la nature de vos communications. Les banques connaissent vos revenus, vos dépenses récurrentes, vos crédits en cours, vos comportements d'épargne. Les assureurs, eux, croisent ces données avec votre état de santé déclaré, votre situation familiale, vos antécédents de sinistres.

Ces informations, agrégées et profilées, sont d'une valeur inestimable pour les annonceurs, les courtiers en données (data brokers) et les entreprises partenaires. La question n'est pas de savoir si elles sont exploitées commercialement. Elle est de savoir dans quelle mesure vous en avez été informé — et si vous avez réellement consenti.

Le consentement : une fiction juridique bien commode

Le Règlement général sur la protection des données (RGPD), entré en application en mai 2018, a posé des exigences claires : le consentement doit être libre, spécifique, éclairé et univoque. Il ne peut être déduit du silence, d'une case précochée ou d'une formulation noyée dans quarante pages de conditions générales.

Pourtant, les pratiques observées sur le terrain racontent une tout autre histoire. Plusieurs opérateurs proposent, lors de la souscription d'un abonnement, une case à décocher — et non à cocher — pour refuser le partage de données à des fins commerciales. D'autres intègrent cette autorisation dans un accord global portant sur des dizaines de clauses distinctes, rendant toute opposition pratique quasi impossible.

La Commission nationale de l'informatique et des libertés (CNIL) a sanctionné plusieurs acteurs majeurs pour ces pratiques. En janvier 2022, Google écopa d'une amende record de 150 millions d'euros, et Facebook de 60 millions, précisément pour avoir rendu le refus des cookies plus complexe que leur acceptation. En 2023, c'est TikTok qui fut visé pour des manquements similaires. Mais pour chaque entreprise sanctionnée, combien poursuivent leurs pratiques sans jamais être inquiétées ?

Les courtiers en données : l'intermédiaire que vous ne connaissez pas

Entre l'entreprise qui collecte vos données et celle qui les exploite, il existe souvent un acteur invisible : le data broker. Ces sociétés spécialisées achètent, agrègent et revendent des bases de données constituées à partir de sources multiples — réseaux sociaux, programmes de fidélité, formulaires en ligne, données publiques.

En France, plusieurs centaines de ces courtiers opèrent légalement ou dans une zone grise réglementaire. Leurs clients sont aussi bien des marques cherchant à affiner leur ciblage publicitaire que des organismes de crédit évaluant la solvabilité d'un demandeur, ou des employeurs vérifiant discrètement le profil d'un candidat.

Ce qui est particulièrement préoccupant, c'est la granularité des profils ainsi constitués. Une étude publiée en 2023 par l'association Données Libres révélait que certains courtiers disposent, pour chaque individu, de plusieurs centaines d'attributs : revenus estimés, état de santé probable, orientations politiques déduites, habitudes de consommation, niveau d'endettement supposé. Des informations que vous n'avez jamais explicitement fournies, mais qui ont été inférées à partir de vos comportements numériques.

Quels risques concrets pour les consommateurs ?

La commercialisation illicite de données personnelles n'est pas qu'une question de principe. Elle engendre des préjudices tangibles :

• La discrimination tarifaire : certaines compagnies d'assurance ajustent leurs primes en fonction de profils comportementaux obtenus via des tiers, sans que l'assuré en soit informé.
• Le démarchage abusif : comme dans le cas de Martine, vos coordonnées peuvent alimenter des campagnes commerciales agressives menées par des entreprises avec lesquelles vous n'avez aucune relation.
• Les risques de fraude : une base de données volée ou revendue à des acteurs malveillants peut alimenter des tentatives d'hameçonnage ciblé, d'usurpation d'identité ou de fraude bancaire.
• La manipulation comportementale : des profils psychographiques détaillés permettent de concevoir des messages publicitaires ou politiques extrêmement personnalisés, exploitant vos fragilités et biais cognitifs.

Reprendre le contrôle : vos droits et les démarches à entreprendre

Le RGPD vous confère des droits substantiels que vous pouvez exercer dès aujourd'hui :

Le droit d'accès (article 15 du RGPD) : toute entreprise détenant vos données est tenue de vous communiquer, sur simple demande, la liste exhaustive des informations qu'elle possède sur vous, leur origine et les destinataires éventuels.

Le droit à l'effacement (article 17) : vous pouvez exiger la suppression de vos données lorsqu'elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, ou lorsque vous retirez votre consentement.

Le droit d'opposition (article 21) : vous pouvez vous opposer à tout moment au traitement de vos données à des fins de prospection commerciale. Cette opposition est absolue et ne peut être conditionnée à aucune justification de votre part.

Le droit à la portabilité (article 20) : vous pouvez récupérer vos données dans un format structuré et les transférer vers un autre prestataire.

Pour exercer ces droits, adressez un courrier recommandé avec accusé de réception au délégué à la protection des données (DPO) de l'entreprise concernée. En cas de non-réponse dans le délai d'un mois, ou de réponse insatisfaisante, saisissez la CNIL via son formulaire en ligne (cnil.fr). La procédure est gratuite et accessible à tous.

Signalez également toute pratique suspecte sur la plateforme SignalConso, qui permet d'alerter les autorités compétentes de manière simple et traçable.

Pour une régulation à la hauteur des enjeux

Les textes existent. Les sanctions aussi, du moins en théorie. Mais leur application reste trop sporadique pour modifier durablement les comportements des acteurs économiques les plus puissants. Consommateur en Danger milite pour un renforcement des moyens alloués à la CNIL, pour des contrôles proactifs — et non uniquement réactifs — et pour une obligation de transparence renforcée sur les flux de données entre entreprises partenaires.

Vos données ne sont pas une contrepartie implicite à l'utilisation d'un service. Elles sont le reflet de votre vie privée. Il est temps que la loi — et ceux qui sont chargés de la faire respecter — en prennent toute la mesure.