Données personnelles : cette machine invisible qui aspire nos vies privées

Il suffit d’un geste banal — installer une application, passer sa carte Vitale, accepter une fenêtre surgissante — pour alimenter une industrie qui ne vend pas seulement de la publicité, mais des fragments de vie. Derrière l’argument du service pratique ou gratuit, les données personnelles sont collectées, recoupées, revendues et exploitées à grande échelle, y compris lorsqu’elles touchent à la santé, aux convictions religieuses ou aux habitudes les plus intimes.

Le décalage entre la promesse de consentement et la réalité de la collecte apparaît dès les informations les plus élémentaires. Des plateformes spécialisées assurent disposer de dizaines, voire de centaines de millions de coordonnées. L’une d’elles revendiquait une base de 320 millions de contacts, accessible pour 129 euros par mois. Dans l’entourage d’un utilisateur interrogé, environ 80 % des personnes recherchées y figuraient, alors qu’aucune n’avait autorisé la vente de ses données.

Ce marché ne repose pas seulement sur ce que chacun publie volontairement. Une application apparemment anodine peut demander l’accès au carnet d’adresses d’un téléphone, puis aspirer les coordonnées de proches qui n’ont jamais rien accepté.

Vous n’avez pas besoin de donner votre numéro de téléphone sur un site ou sur un service. Ce seront vos contacts qui le feront pour vous.

Jean-Marc Bourguignon, expert en sécurité informatique

Autrement dit, le consentement d’un utilisateur peut suffire à exposer des centaines d’autres personnes.

Le téléphone, premier point d’entrée

Le smartphone concentre cette logique d’absorption continue. Les Français téléchargeraient en moyenne 90 applications sur leur appareil. Or ces services ne se contentent pas de fonctionner : ils communiquent en permanence avec des serveurs de multiples acteurs commerciaux.

Une expérience menée avec un téléphone neuf donne la mesure de cette activité invisible. Dès le premier démarrage, l’appareil s’est connecté à onze serveurs. Après l’installation d’une seule application, 107 communications ont été enregistrées en quelques minutes. Niveau de batterie, opérateur téléphonique, heure d’utilisation, actions effectuées : autant d’informations transmises sans que l’utilisateur en perçoive nécessairement la portée.

Le cas de Facebook illustre la profondeur de ces circuits. Des données lui étaient envoyées alors même qu’aucun compte ni aucune application Facebook n’étaient installés sur le téléphone. La raison tient à la présence de traceurs intégrés dans de nombreuses applications tierces. L’utilisateur croit limiter son exposition ; l’écosystème, lui, continue de le suivre indirectement.

Le problème change d’échelle lorsque ces données permettent d’inférer une religion, une orientation politique ou un état de santé. Une application de lecture de la Bible transmettait des informations à plusieurs sociétés de marketing. En novembre 2020, l’application de prière Muslim Pro aurait, elle, communiqué des données de géolocalisation concernant des millions d’utilisateurs à un intermédiaire travaillant avec l’armée américaine.

La santé, matière première à forte valeur

Les applications de santé exposent des informations encore plus sensibles. Un test sur une application de suivi de grossesse a montré la transmission, à plusieurs partenaires commerciaux, de la date prévue d’accouchement, du début de la grossesse, du poids, de la taille, de la maternité choisie et des contractions. En vingt minutes, une trentaine de lignes de données ont été envoyées à trois entreprises.

Pour l’avocat Gaëtan Goldberg, la règle est pourtant nette : le transfert de données de santé à des partenaires commerciaux suppose un consentement explicite, détaillant la nature des informations recueillies, leur destination, leur usage et les entreprises qui les exploiteront. Sans cela, estime-t-il, « ce traitement est illégal ». En pratique, ce consentement se réduit souvent à l’acceptation d’une politique de confidentialité interminable. L’une d’elles comptait 5 800 mots et demandait plus de 35 minutes de lecture. Le droit prévoit une information ; le dispositif organise surtout son illisibilité.

La pharmacie n’échappe pas à cette logique. Une autorisation accordée en septembre 2018 permettait à des officines de transmettre à IQVIA l’année de naissance, le prénom, le sexe et les médicaments délivrés. Cette entreprise, présentée comme le plus important courtier mondial en données médicales, réalisait alors environ 10 milliards d’euros de chiffre d’affaires annuel. Son système équipait près de la moitié des pharmacies françaises et permettait, via un identifiant unique lié au passage de la carte Vitale, de suivre le parcours d’achat d’un patient d’une officine à l’autre. Selon un commercial, quelque 40 millions de Français pouvaient ainsi être suivis.

L’économie du dispositif dit beaucoup du rapport de force. Le pharmacien recevait six euros par mois et une étude sur ses ventes. Les données, elles, étaient transformées en analyses commerciales vendues au minimum 20 000 euros, parfois jusqu’à 500 000 euros. En 2016, ces études auraient rapporté 63 millions d’euros à la filiale française d’IQVIA. Les patients, eux, sont théoriquement informés et peuvent s’opposer au traitement. Mais sur 200 pharmacies visitées, aucune affiche expliquant cette collecte n’a été trouvée. Le droit d’opposition existe sur le papier ; encore faut-il savoir qu’il y a quelque chose à refuser.

Un cadre légal en retard sur les usages

L’argument de l’anonymisation ne suffit pas davantage à rassurer. Une expérience réalisée à partir d’une base contenant les profils anonymisés de 66 millions de Français a permis d’identifier une personne précise à l’aide de seulement six renseignements ordinaires : région, date de naissance, sexe, situation matrimoniale, niveau d’études et emploi. Une fois le bon profil retrouvé, des milliers d’autres informations devenaient accessibles.

À partir de là, la collecte ne sert plus seulement à décrire, mais à anticiper. Les « j’aime », recherches, courriels, données de géolocalisation, playlists ou mesures d’une montre connectée peuvent être utilisés pour estimer des traits de personnalité, le niveau de stress, les opinions politiques, la religion ou l’orientation sexuelle. Des chercheurs ont ainsi comparé les données de montres Fitbit avec des questionnaires psychologiques : pour une participante, quatre des cinq traits évalués correspondaient ; sur 230 volontaires, certains traits ont été correctement estimés dans environ deux tiers des cas.

Ces outils nourrissent déjà des décisions concrètes. Aux États-Unis, des données issues des réseaux sociaux sont utilisées par certains recruteurs, assureurs et banques pour trier des candidatures, fixer des tarifs ou accorder un crédit. L’évaluation devient silencieuse : l’individu peut être jugé sans savoir qu’il l’est, ni à partir de quelles informations.

Depuis 2018, le RGPD donne pourtant aux citoyens européens des droits d’accès, de rectification, d’opposition et d’effacement. Mais là encore, l’écart entre le texte et la pratique est manifeste. Sur 40 entreprises sollicitées, une seule a répondu dans le délai légal d’un mois. Après quatre mois, 13 avaient transmis des données, 11 affirmaient ne rien détenir et 16 n’avaient toujours pas répondu, dont Google et Facebook. Même les sanctions peinent à suivre : l’amende de 50 millions d’euros infligée à Google pour plusieurs manquements au RGPD représentait moins de quatre heures de revenus pour l’entreprise.

Le cœur du problème n’est donc plus seulement la quantité d’informations aspirées. C’est un modèle économique qui transforme chaque activité humaine en matière exploitable. Communiquer, prier, attendre un enfant, acheter un médicament ou se déplacer deviennent des signaux à capter. Tant que cette collecte restera opaque et que les profits dépasseront largement le coût des sanctions, le consentement invoqué par les acteurs du secteur restera un habillage juridique bien plus qu’un choix réel.