Données personnelles : un marché opaque prospère sur la captation, la revente et le contournement du consentement

Les données personnelles ne sont plus seulement collectées : elles sont industrialisées, recoupées, échangées et monétisées à grande échelle. En Europe, l’ensemble de l’économie des données représente plusieurs centaines de milliards d’euros. Certains courtiers constituent des profils comportant plusieurs milliers d’attributs par individu : âge, habitudes de consommation, revenus estimés, situation sociale ou encore centres d’intérêt politiques et religieux. Ce volume illustre l’ampleur d’un système dans lequel l’information privée devient une matière première, alors même que le consentement des personnes concernées apparaît souvent difficile à établir.

Sarah Spiekermann, professeure à l’Université d’économie et de commerce de Vienne, où elle dirige l’Institute for Information Systems and Society, cite notamment Acxiom, aujourd’hui intégré à LiveRamp. L’entreprise affirme disposer de données concernant environ 2,5 milliards de personnes et de plusieurs milliers d’attributs par profil. Elle évoque également Experian, présenté dans l’enquête comme détenant des informations sur une très large majorité de la population française. Selon Sarah Spiekermann, ces entreprises « agissent dans l’ombre pour préserver leur business model ». La formule résume un paradoxe central : plus une donnée est sensible et rentable, plus sa circulation tend à devenir invisible.

Des coordonnées revendues à bas prix

Cette logique ne concerne pas seulement des profils publicitaires abstraits. Des plateformes comme Lusha, Kaspr, AeroLeads ou ColdCRM ont commercialisé l’accès à des coordonnées professionnelles et personnelles. Lusha proposait certains contacts pour quelques dizaines de centimes, tandis que ColdCRM revendiquait une base de 320 millions de contacts, accessible au moyen d’un abonnement d’environ 129 euros par mois.

Le problème n’est pas seulement commercial : il touche également à la sécurité. L’enquête retrouve dans ces bases les coordonnées de plusieurs responsables publics, parmi lesquels Bruno Le Maire, Christophe Castaner et Jean-Luc Mélenchon. Le numéro professionnel de Christophe Molmy, alors responsable de la Brigade de recherche et d’intervention de Paris, y figure également. Joint par les journalistes, il précise : « C’est original. C’est mon portable professionnel. C’est un portable du ministère de l’Intérieur. »

Jean-Marie Salanova, alors directeur central de la sécurité publique, confirme lui aussi que le numéro retrouvé est celui de l’administration et qu’il fonctionne normalement sur une « boucle fermée ». La présence de telles coordonnées dans des bases commerciales montre à quel point la frontière entre prospection et exposition de données sensibles peut être franchie.

La CNIL rappelle que la collecte et la transmission d’un numéro de téléphone doivent respecter les principes d’information, de licéité et, selon les circonstances, de consentement ou de droit d’opposition. Or ColdCRM expliquait son fonctionnement par l’échange massif de données : « Nous avons beaucoup de partenaires. Nous échangeons les données avec eux. Ça marche comme ça. » À l’époque de l’enquête, le site présentait peu d’informations permettant d’identifier clairement la société responsable du traitement. Il fermera peu après la diffusion du reportage.

Le téléphone, machine à aspirer les informations

Le plus préoccupant est peut-être la banalité des mécanismes de captation. Jean-Marc Bourguignon, expert en sécurité informatique, rappelle qu’une application apparemment anodine peut demander l’accès au carnet d’adresses. Une personne peut alors voir son numéro récupéré sans l’avoir elle-même communiqué : « Ce seront vos contacts qui le feront pour vous. »

L’analyse présentée dans l’enquête montre qu’un téléphone neuf communique avec plusieurs serveurs dès son premier démarrage. Sur Android, système qui équipe la majorité des smartphones dans le monde, cette circulation s’étend à de nombreux services et traceurs intégrés aux applications.

L’application biblique YouVersion Bible, téléchargée plusieurs centaines de millions de fois, communiquait notamment avec l’outil d’analyse Flurry. Lors du test réalisé pour l’enquête, 107 communications avec des services tiers sont relevées après son ouverture. Des données sont également transmises à des outils liés à Facebook, y compris lorsque l’utilisateur n’est pas connecté à un compte Facebook. Une représentante de l’association Exodus Privacy résume alors le constat : Facebook peut savoir qu’un téléphone utilise cette application biblique.

Le cas est particulièrement sensible parce que les convictions religieuses appartiennent aux catégories particulières de données protégées par le RGPD. Leur traitement est en principe interdit, sauf dans les situations précisément prévues par le règlement. Même lorsqu’une application ne demande pas directement la religion d’un utilisateur, son usage peut permettre d’en déduire certaines convictions.

Santé : un consentement difficile à établir

Le même problème apparaît dans les applications de santé. Ma Grossesse, une ancienne application de Doctissimo, permettait de saisir le poids de l’utilisatrice, la maternité prévue, les contractions ou la date d’accouchement. Lors de l’analyse technique présentée dans l’enquête, plusieurs dizaines de transmissions sont relevées en une vingtaine de minutes vers différents prestataires techniques, parmi lesquels AT Internet, anciennement XiTi, Localytics et Google.

Des informations relatives aux contractions, à la date prévue de l’accouchement ou à l’avancement de la grossesse étaient incluses dans certains flux observés. Ces éléments peuvent constituer des données de santé lorsqu’ils se rapportent à une personne identifiable.

Un avocat interrogé dans le reportage rappelle que les données de santé bénéficient d’une protection renforcée. Leur traitement doit reposer sur l’une des exceptions prévues par le RGPD et respecter des exigences strictes de transparence, de finalité et de sécurité. Lorsqu’un traitement repose sur le consentement, celui-ci doit être explicite, libre, spécifique et éclairé.

Or l’enquête ne relève pas de demande de consentement explicite présentant clairement les données concernées, leurs destinataires et les finalités poursuivies. L’utilisatrice est renvoyée vers une autorisation générale et une politique de confidentialité de plusieurs milliers de mots. Cette longueur et la complexité du document rendent discutable la réalité d’un consentement pleinement éclairé.

Doctissimo affirme alors ne pas transmettre de données sensibles à ses partenaires commerciaux. Les analyses techniques réalisées dans le cadre du reportage montrent néanmoins que certains prestataires reçoivent des informations liées à l’utilisation de l’application. L’écart entre les déclarations de l’éditeur et les flux observés nourrit une critique plus large : dans l’économie des traceurs, l’utilisateur est souvent invité à accepter des règles qu’il ne peut ni comprendre rapidement ni vérifier concrètement.

L’anonymisation, une protection parfois insuffisante

Les acteurs du secteur invoquent fréquemment l’anonymisation. Pourtant, les travaux d’Yves-Alexandre de Montjoye, professeur à l’Imperial College London, montrent que quelques informations peuvent parfois suffire à réidentifier une personne dans un vaste ensemble de données prétendument anonyme.

Dans la démonstration présentée par l’enquête, six caractéristiques permettent de retrouver un individu précis au sein d’une base contenant des millions de profils. L’anonymisation ne constitue donc une protection réelle que lorsqu’elle empêche effectivement et durablement toute réidentification par des moyens raisonnablement disponibles. Dans le cas contraire, il s’agit plutôt de pseudonymisation, et les données demeurent soumises au RGPD.

Cette distinction est particulièrement importante dans le secteur médical. IQVIA, groupe spécialisé dans les données de santé et la recherche clinique, collecte en France des données provenant de milliers de pharmacies et de cabinets médicaux afin de constituer des bases utilisées notamment pour des études destinées à l’industrie pharmaceutique.

À l’époque du reportage, l’entreprise affirme travailler avec environ 10 000 pharmacies. Un représentant explique qu’un identifiant pseudonymisé permet de suivre les délivrances de médicaments d’un même patient d’une pharmacie à l’autre, sans que son nom apparaisse directement dans la base. L’enquête estime qu’environ 40 millions de personnes pourraient être concernées.

Les autorisations accordées par la CNIL imposaient notamment une information des patients et la possibilité d’exercer un droit d’opposition. Lors de visites réalisées dans environ 200 pharmacies, les journalistes déclarent n’avoir trouvé aucune information visible présentant ce dispositif. Philippe Besset, président de la Fédération des syndicats pharmaceutiques de France, reconnaît alors que cette absence d’information n’est pas satisfaisante.

Les inquiétudes soulevées par l’enquête ont depuis reçu un prolongement réglementaire. En mai 2026, la CNIL a infligé une amende de 5 millions d’euros à IQVIA Operations France, notamment pour des manquements concernant l’information des personnes, le respect du droit d’opposition et la conception de certains outils transmettant des données depuis les pharmacies. La CNIL a également considéré que les données concernées étaient pseudonymisées et non véritablement anonymes.

Un cadre légal affaibli par les difficultés d’application

Le RGPD, applicable depuis le 25 mai 2018, doit permettre aux citoyens de mieux contrôler l’utilisation de leurs données. Viviane Reding, ancienne vice-présidente de la Commission européenne à l’origine de la réforme, rappelle que les entreprises ne doivent pas collecter et exploiter des informations personnelles à l’insu des personnes concernées.

Pourtant, lors d’un test réalisé environ deux ans après l’entrée en application du règlement, les journalistes adressent des demandes d’accès à 40 entreprises. Une seule répond dans le délai légal initial d’un mois. Après plusieurs mois, 16 entreprises n’ont toujours pas fourni de réponse complète.

Cédric O, alors secrétaire d’État chargé du numérique, défend un texte « globalement respecté par les entreprises du Net », tout en reconnaissant l’existence de « quelques trous dans la raquette ». Les difficultés observées révèlent néanmoins un déséquilibre structurel : droits complexes à exercer, manque de transparence, faiblesse des moyens de contrôle face au nombre d’entreprises concernées et sanctions parfois limitées au regard du chiffre d’affaires des plus grands groupes.

L’amende de 50 millions d’euros infligée à Google par la CNIL en janvier 2019 pour des manquements aux obligations de transparence et de consentement illustre ce décalage. Elle représentait alors une sanction record prononcée par l’autorité française, mais restait très inférieure au plafond maximal théorique prévu par le RGPD, pouvant atteindre 4 % du chiffre d’affaires annuel mondial de l’entreprise.

Le cœur du problème demeure : lorsque l’exploitation des données rapporte davantage que le coût des sanctions et des mises en conformité, les atteintes au consentement, à la transparence et à la limitation des finalités risquent d’être traitées comme de simples coûts d’activité. Derrière la promesse de services pratiques, de personnalisation et d’innovation se développe ainsi un rapport de force profondément déséquilibré, jusque dans les domaines les plus intimes de la vie privée.