Comment savoir si mes données ont été vendues ?

Vendues ou fuitées : deux circuits qu'on confond souvent

La question « mes données ont-elles été vendues ? » recouvre en réalité deux phénomènes distincts, qui ne se détectent pas avec les mêmes outils et ne se corrigent pas avec les mêmes démarches.

La fuite est un accident. Un prestataire est piraté, une base mal protégée est aspirée, un compte interne est compromis : les données sortent d'un coup, en volume, et finissent souvent publiées ou revendues sur des forums clandestins. C'est un incident de sécurité, il fait l'objet d'une notification à la CNIL sous 72 heures, et il laisse des traces publiques — c'est ce que recensent les outils de vérification.

La revente est un modèle économique. Un service que vous avez utilisé transmet vos informations à des partenaires commerciaux, ou un courtier en données agrège des sources multiples pour reconstituer un profil qu'il commercialise. Rien n'est piraté, tout se passe par contrat, et l'opération est parfaitement invisible : elle ne laisse ni trace publique, ni notification, ni alerte dans un quelconque outil.

1. Vérifier si vos données ont fuité

C'est la vérification la plus rapide, et le bon point de départ : elle prend une minute et son résultat est daté et documenté. Vous saisissez une adresse email ou un numéro de téléphone, l'outil le compare aux fuites déjà publiées et vous indique dans lesquelles il apparaît.

2. Les six signaux qui trahissent une revente

Faute de trace publique, la revente se repère à ses effets. Pris isolément, aucun de ces signaux ne prouve quoi que ce soit ; réunis, ils constituent un faisceau d'indices suffisant pour savoir où adresser votre demande.

• La sollicitation thématique décalée dans le temps. Vous vous inscrivez sur un site de puériculture, et trois semaines plus tard des sociétés inconnues vous proposent des assurances familiales. Le décalage est la signature : la donnée a fait un détour par un tiers avant de revenir vers vous.
• Le courrier postal nominatif d'une enseigne inconnue. Une adresse postale ne se capte pas au fil d'une navigation : elle a été saisie quelque part, puis transmise. C'est l'indice le plus solide de la liste, et il vous désigne un interlocuteur précis à interroger.
• L'appel commercial déjà renseigné. Le démarcheur sait que vous êtes propriétaire, connaît votre opérateur ou la composition de votre foyer. Il travaille sur un « lead » : un dossier acheté, qui vaut bien plus cher qu'une simple adresse parce qu'il combine une intention datée et des informations détaillées.
• L'erreur de saisie qui voyage. Vous aviez tapé votre nom avec une faute, ou ajouté un prénom fantaisiste, sur un seul site. La même faute réapparaît dans le courrier d'un autre expéditeur. C'est la preuve pratique la plus élégante : un fichier a été copié, et vous savez lequel.
• La personnalisation impossible à justifier. Un message mentionne un achat récent, un déménagement ou un évènement familial que vous n'avez jamais communiqué à son expéditeur. Le message contient plus d'informations que la relation ne peut en expliquer.
• La liste des partenaires de la fenêtre de consentement. Sur la plupart des sites financés par la publicité, le lien discret « partenaires » ou « voir les finalités » déroule plusieurs centaines de sociétés. Chacune est un destinataire potentiel de votre navigation, dès lors que vous avez accepté sans régler.

Deux vérifications complètent utilement ce tableau, et elles sont à votre portée sans rien demander à personne. La politique de confidentialité du service concerné doit comporter une rubrique « destinataires » ou « partenaires » : une formulation aussi large que « nos partenaires commerciaux soigneusement sélectionnés » vous indique que le partage est prévu. Et dans vos paramètres de compte, la case relative au partage avec des tiers à des fins commerciales est souvent cochée par défaut, parfois enfouie deux niveaux sous les préférences d'affichage.

Pour comprendre quelles familles de services alimentent ce marché — applications gratuites, comparateurs de devis, jeux-concours, programmes de fidélité —, notre guide quels sites vendent mes données personnelles détaille chacune d'elles et le geste qui coupe le canal.

3. Piéger le service fautif : la méthode de l'alias

C'est la seule technique qui transforme un soupçon en certitude sans dépendre de la bonne volonté de personne. Le principe est simple : une adresse email différente pour chaque service. Le jour où l'une d'elles reçoit un message d'un tiers, elle désigne sans ambiguïté le service par lequel vos coordonnées sont parties — et vous la désactivez en un clic.

Les alias de redirection proposés par Apple, DuckDuckGo ou les services spécialisés créent des adresses uniques et permanentes qui renvoient vers votre boîte principale. Vous restez joignable, mais chaque correspondant vous connaît sous un identifiant distinct, ce qui casse le rapprochement des profils opéré par les courtiers : sans dénominateur commun, deux fichiers ne fusionnent pas.

Attention toutefois à ne pas confondre les usages : une adresse jetable à durée de vie courte n'est pas un alias permanent, et il ne faut jamais y associer un compte dont vous auriez besoin de récupérer le mot de passe. Nous détaillons cette distinction dans notre guide sur l'adresse mail jetable et les alias.

Limite à connaître : un alias protège l'avenir, il ne retire rien des fichiers déjà constitués autour de votre adresse historique.

4. Obtenir la preuve : la demande d'accès (article 15 du RGPD)

Toutes les pistes précédentes produisent des indices. Celle-ci produit un écrit opposable, et elle est gratuite. En Europe, l'article 15 du RGPD vous donne le droit d'obtenir de toute entreprise qui traite vos données une copie de ces données, mais aussi — et c'est le point décisif pour notre question — deux informations que rien d'autre ne peut vous fournir.

La réponse est due dans un délai d'un mois à compter de la réception de la demande (article 12, paragraphe 3), prolongeable de deux mois pour les demandes complexes, à condition que l'entreprise vous en informe et motive ce report dans le premier mois. L'entreprise peut demander un élément permettant de vous identifier en cas de doute raisonnable sur votre identité (article 12, paragraphe 6), mais la copie d'une pièce d'identité ne doit pas être exigée systématiquement.

Une fois la réponse obtenue, deux droits prennent le relais. L'effacement (article 17) vous permet d'exiger la suppression des données détenues. L'opposition à la prospection commerciale (article 21, paragraphe 2) est plus forte encore : elle n'a pas à être motivée, elle est absolue, et elle doit être honorée sans discussion. En l'absence de réponse dans les délais, la plainte auprès de la CNIL se dépose en ligne, gratuitement, et le silence de l'entreprise constitue en lui-même un manquement.

Le modèle de demande, à copier tel quel

Envoyez-le par email au délégué à la protection des données (souvent dpo@ ou privacy@ suivi du domaine de l'entreprise) ou, pour un courrier papier, en recommandé avec accusé de réception. Conservez la date d'envoi : c'est elle qui fait courir le délai d'un mois.

Objet : Demande d'accès à mes données personnelles (article 15 du RGPD)

Madame, Monsieur,

Je suis destinataire de sollicitations commerciales de votre part, sans avoir
connaissance de vous avoir communiqué mes coordonnées.

En application de l'article 15 du Règlement (UE) 2016/679, je vous demande de
me communiquer :

1. La confirmation que des données à caractère personnel me concernant sont
   traitées, et une copie de ces données ;
2. Les finalités du traitement et la base légale sur laquelle il repose ;
3. Les destinataires ou catégories de destinataires auxquels ces données ont
   été ou seront communiquées (article 15, paragraphe 1, point c) ;
4. Toute information disponible quant à la source de ces données, celles-ci
   n'ayant pas été collectées auprès de moi (article 15, paragraphe 1,
   point g).

Je vous demande par ailleurs, en application de l'article 21, paragraphe 2,
de cesser tout traitement de mes données à des fins de prospection
commerciale, et, en application de l'article 17, de procéder à l'effacement
de l'ensemble des données me concernant que vous détenez, à l'exception de
celles dont la conservation vous est imposée par une obligation légale.

Conformément à l'article 12, paragraphe 3, je vous rappelle que votre réponse
doit m'être adressée dans un délai d'un mois à compter de la réception de la
présente demande. À défaut, je saisirai la Commission nationale de
l'informatique et des libertés.

Nom et prénom : [votre nom]
Adresse email concernée : [votre adresse]
Adresse postale : [votre adresse postale, si vous avez reçu un courrier]
Date : [date d'envoi]

Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations
distinguées.

Adaptez le premier paragraphe si vous avez été client du service : « ayant été client de vos services en [année], je souhaite connaître les destinataires… ».

Limiter les reventes à venir

Enquêter sur le passé et fermer les robinets sont deux démarches complémentaires. Une fois la source identifiée, quelques réglages réduisent durablement ce qui repart : un alias par service pour couper le rapprochement des profils, le refus des traceurs dans les fenêtres de consentement plutôt que l'acceptation par lassitude, la fermeture des comptes dormants qui portent vos données les plus anciennes, et le retrait de la case « partage avec des partenaires » dans les paramètres des services que vous gardez.

Aucun de ces gestes ne retire quoi que ce soit des fichiers déjà constitués : ils agissent sur l'avenir. Vider l'existant suppose la démarche décrite plus haut, service par service, puis courtier par courtier — c'est l'objet de notre guide sur le désabonnement des data brokers.

Questions fréquentes

À lire ensuite