« Avec vingt informations, on arrive à détecter l’appartenance politique d’une personne, si une femme est enceinte ou si un mari trompe sa conjointe », affirme Nathalie Devillier, experte en droit du numérique pour la Commission européenne, à Ouest France. Interrogée en 2022, elle est aussi membre du Collège numérique France 2030.
Ce constat repose sur un mécanisme simple. Les cookies, ces traceurs installés à chaque visite d’un site, alimentent des profils numériques de plus en plus précis. Un internaute qui cherche un livre, une paire de chaussures ou un batteur accepte souvent tout sans ouvrir la longue liste de partenaires publicitaires proposée dans les paramètres, des noms comme 1agency, AdsWizz Inc. ou Adtriba GmbH. Quelques heures plus tard, la même paire de chaussures s’affiche dans son fil Facebook.
Des segments d’audience vendus au prix fort
Ces courtiers en données agrègent des milliers d’informations issues de centaines de partenariats pour construire des profils fournis. Deux atouts leur permettent d’aller loin : un nombre de profils très élevé, et les cookies acceptés qui livrent une quantité d’informations considérable.
Devillier illustre le procédé : elle indique qu’ils peuvent dire qu’ils ont tant de profils qui sont des mineurs et qui jouent beaucoup à la XBox, et d’autres profils de mineurs qui jouent beaucoup à telle autre console de jeux, avant d’aller vendre ces données à XBox.
Des session replay scripts permettent même de rejouer la session d’un internaute, déplacements de souris compris, pour comprendre « le processus psychologique, mental, qui vous a amené à cliquer sur X et pas sur Y », précise-t-elle.
Mouhamadou Seck, ancien acheteur d’encarts publicitaires ayant travaillé avec des courtiers en données pour des entités internationales et françaises, a vu ce marché de l’intérieur. Les courtiers proposaient des segments d’audience, certains créés sur mesure pour une marque, d’autres déjà prêts à la vente, comme shoppers, travelling family ou sport addict, chacun affiché avec son prix.
Passer du temps sur des sites de danse ou de vente de ballerines suffisait par exemple à basculer dans cette dernière catégorie.
Depuis, Seck a changé sa manière d’utiliser internet. « Désormais, j’utilise le moteur de recherche Qwant, ou Firefox focus, au lieu de me servir de Google Chrome […]. Je n’ai pas plus de cinq applications sur mon smartphone, j’utilise plusieurs adresses e-mail, afin que mes données ne puissent pas être regroupées », explique-t-il.
Une vente de données qui ne dit jamais son nom
Les conditions générales d’utilisation évoquent rarement le mot « vente », lui préférant partage ou échange. Pourtant les données sont bien vendues, selon Laure Landes-Gronowski, avocate associée spécialisée en IT & Data protection au cabinet Agil’IT, interrogée par l’édition du soir en 2022. Elle relève qu’il n’est pas certain que l’on ne se ferait pas retoquer par la Cnil pour autant, en l’absence de précision relative à la vente des données.
La collecte du consentement pose aussi problème : elle doit être recueillie par le site visité, puisque le tiers qui va par la suite exploiter les données n’est pas encore présent lors de ce consentement, explique l’avocate. Ce consentement initial « est rarement aussi large que l’utilisation qui sera faite des données ultérieurement », ajoute l’avocate.
Les données peuvent ensuite être revendues ou échangées entre courtiers, jusqu’à permettre de faire correspondre des identifiants d’ordinateur et de cookies avec une adresse mail laissée ailleurs, de quoi identifier individuellement l’internaute.
Prêt refusé, poste écarté
Ces profils intéressent aussi les banques, les assurances, les mutuelles et les entreprises recruteuses. Devillier pointe une conséquence concrète : rien ne garantit que dans six mois, on ne refuserait pas un prêt, une extension de mutuelle, ou même un emploi, parce que l’entreprise aurait eu accès à […] des éléments de comportements économiques, d’état de santé, censé être protégé par le Code de la santé publique.
Le droit à l’oubli, encadré depuis 2018
Face à cette collecte, le règlement général sur la protection des données (RGPD), entré en vigueur en 2016, offre un recours. Transposé en droit français par la loi relative aux données personnelles, adoptée par l’Assemblée nationale le 14 mai 2018, il regroupe deux droits sous l’appellation droit à l’oubli : l’effacement et le déréférencement.
Pour faire valoir le premier, il faut contacter le délégué à la protection des données de chaque service, dont l’adresse figure normalement dans les mentions légales. Devillier prévient qu’il ne suffit pas de lui envoyer un mail pour demander la suppression de ses données.
« Il faut lui demander clairement de supprimer chaque donnée. » Sur Facebook, cela suppose de réclamer la suppression de chaque photo, chaque commentaire, chaque j’aime. Une astuce consiste à demander d’abord l’exercice du droit d’accès : le service est alors obligé d’envoyer chaque trace laissée sur son site, à renvoyer ensuite avec la demande d’effacement.
Le déréférencement, lui, permet de demander aux moteurs de recherche de désindexer certains liens. La démarche doit être répétée sur chaque moteur où l’information apparaît. Devillier conseille de taper déréférencement, le nom du moteur concerné et le mot-clé Cnil dans la barre de recherche pour trouver le formulaire adéquat.
Six méthodes pour effacer sa présence en ligne
Au-delà du cadre légal, plusieurs pistes concrètes existent. La plateforme YourDigitalRights.org facilite les demandes de suppression auprès de courtiers comme Acxiom, Experian ou Criteo, en s’appuyant sur le RGPD. Depuis 2014, une décision de la Cour de justice de l’Union européenne oblige Google et Bing à respecter le droit au déréférencement, la Cnil restant l’organisme de recours en France, même si les informations retirées des résultats de recherche demeurent sur les sites d’origine.
La loi Informatique et Libertés permet aussi d’exiger d’un site qu’il retire des informations publiées sans consentement, via sa rubrique mentions légales ; en cas de refus, la Cnil peut être saisie. Sur Facebook, Instagram ou X, chaque post, photo ou conversation peut être supprimé, et la fermeture complète d’un compte efface définitivement les données associées après 30 jours si l’utilisateur ne se reconnecte pas.
Des services comme DeleteMe ou Justdelete.me accélèrent enfin ce nettoyage en contactant directement les sites concernés, après une vérification sur Have I Been Pwned? pour savoir si des identifiants ont déjà fuité.
