Comment les courtiers en données s'enrichissent sur notre dos ?
C'est un business assez obscur, pour être honnête. La plupart des internautes ne connaissent même pas le terme « data broker » — et pourtant, ces entreprises en savent probablement plus sur nous que nos propres amis. Voici comment fonctionne le marché invisible de la vie privée, et pourquoi le RGPD seul ne suffit pas à le faire reculer.
Les data brokers sont des entreprises qui collectent vos historiques d'achat, clics, géolocalisations et interactions sociales pour les revendre sous forme de profils ciblés. Un internaute moyen est ciblé par plusieurs centaines de traqueurs par jour (CNIL). Le RGPD permet de demander la suppression, mais il faut contacter chaque courtier individuellement — d'où l'intérêt des services automatisés comme Sheeldy.
Le grand marché invisible de la vie privée
Quand vous naviguez, vous laissez des traces. Beaucoup de traces. Les courtiers en données (data brokers) sont des entreprises dont l'unique modèle économique consiste à aspirer ces miettes d'informations, à les croiser et à les revendre sous forme de profils ultra-ciblés. Selon la CNIL, un internaute moyen est ciblé par des centaines de traqueurs chaque jour.
Le vrai problème, c'est qu'on a l'impression d'avoir donné notre accord en cliquant sur « Accepter » sur un bandeau de cookies rédigé de façon incompréhensible. Sauf que les données sont souvent revendues en cascade : vous donnez votre mail à un site e-commerce, il atterrit chez un courtier, qui le revend à des annonceurs, des recruteurs, des assureurs ou même des agences de marketing politique.
La revente en cascade : un seul mail, dix courtiers
Le mécanisme est simple, et c'est ce qui le rend si efficace. À chaque étape, votre donnée prend de la valeur parce qu'elle est enrichie par d'autres sources :
- Collecte : vous donnez votre email pour profiter d'une remise de 10 % sur un site e-commerce.
- Partage commercial : ce site partage votre profil avec son partenaire publicitaire pour mesurer ses campagnes.
- Agrégation : un courtier croise cet email avec votre historique d'achat, votre localisation approximative récupérée via une app météo, et votre âge supposé via votre activité Facebook.
- Revente : le courtier vend ce profil enrichi à plusieurs régies publicitaires, qui le revendent à leur tour aux annonceurs finaux.
- Recyclage : votre profil finit dans des bases de données utilisées pour la prospection commerciale, le scoring de crédit informel, ou pire — du démarchage abusif.
À chaque étape, vous perdez le fil. Et c'est précisément pour ça que le RGPD prévoit un droit à l'effacement : pour permettre de remonter cette chaîne et la couper.
Les types de données collectées
Si vous pensez que « juste votre email » ne vaut pas grand-chose, regardez ce qu'un courtier peut associer à cet identifiant :
| Catégorie | Exemples concrets | Source typique |
|---|---|---|
| Identité | Nom, prénom, date de naissance, sexe, situation familiale | Formulaires, registres publics |
| Contact | Email, téléphone, adresse postale, comptes sociaux | E-commerce, fidélité, fuites de données |
| Financier | Tranche de revenu estimée, historique d'achat, comportement crédit | Banques partenaires, programmes de fidélité |
| Comportement | Sites visités, recherches, durée de session, appareils utilisés | Cookies tiers, SDK applications mobiles |
| Géolocalisation | Lieux fréquentés, trajets domicile-travail, voyages | Apps météo, GPS, Wi-Fi public |
| Inférences | Centres d'intérêt, opinions politiques supposées, santé, orientation | Modèles statistiques croisant tout ce qui précède |
Ce dernier point est le plus problématique : les data brokers ne se contentent pas de revendre ce que vous leur avez donné. Ils inférent des choses sur vous à partir de corrélations statistiques. Vous pouvez vous retrouver classé « probablement enceinte », « probablement en recherche d'emploi », ou « probablement endetté » sans jamais l'avoir déclaré.
Le RGPD, un bouclier suffisant ?
Sur le papier, le Règlement Général sur la Protection des Données (RGPD) en Europe est strict. Vous avez le droit de demander l'effacement de vos données (article 17), un droit d'accès (article 15), un droit d'opposition (article 21). Et les sanctions peuvent monter jusqu'à 4 % du chiffre d'affaires mondial.
Mais dans les faits, bon courage. Essayer de contacter chaque courtier un par un relève du parcours du combattant, sachant qu'ils sont des milliers :
- Trouver le formulaire : chaque courtier a sa propre page (souvent enterrée), son propre format de demande, sa propre exigence de pièce d'identité.
- Prouver son identité : il faut souvent envoyer une copie de pièce d'identité — ce qui crée paradoxalement une nouvelle exposition.
- Relancer : la loi prévoit un délai de 30 jours. En pratique, beaucoup de courtiers ne répondent pas et il faut faire une réclamation auprès de la CNIL.
- Recommencer : 6 mois plus tard, vos données peuvent réapparaître chez un autre courtier qui les avait achetées avant suppression.
C'est pour ça que la lutte contre le spam et la pub abusive doit se faire en amont, en utilisant des outils de masquage (alias email, boucliers virtuels) pour que ces courtiers n'aient que des données factices à se mettre sous la dent — et en automatisant les demandes RGPD chez les acteurs majeurs.
Reprendre le contrôle, concrètement
Trois actions concrètes, classées par effort/impact :
1. Refuser systématiquement les cookies tiers
Un clic sur « refuser tout » au lieu de « accepter tout » sur chaque bandeau. C'est gratuit, ça prend deux secondes, et ça coupe la première source de collecte. La CNIL impose depuis 2021 que le bouton « refuser » soit aussi accessible que le bouton « accepter ».
2. Utiliser des alias email
Au lieu de donner votre vraie adresse, créez un alias unique pour chaque service. Si un site se fait pirater ou revend votre mail, vous savez immédiatement d'où vient la fuite, et vous pouvez désactiver l'alias sans toucher à votre boîte principale.
3. Déclencher les demandes RGPD chez les courtiers majeurs
C'est ce que Sheeldy automatise : nous contactons les principaux data brokers (français et internationaux) pour exiger la suppression de vos données à votre place, suivons les délais légaux, et relançons en cas d'absence de réponse. Sans engagement, à partir de 5 €/mois.
Questions fréquentes
Qu'est-ce qu'un data broker (courtier en données) ?
Combien de data brokers possèdent mes données ?
Le RGPD suffit-il à protéger contre les data brokers ?
Comment les data brokers obtiennent-ils mes données ?
Comment limiter l'exposition aux courtiers en données ?
En résumé
Les data brokers prospèrent dans l'invisibilité. Comprendre leur business model — collecte massive, croisement, revente en cascade — est le premier pas pour s'en protéger. Le RGPD donne les bons outils légaux, mais leur exercice manuel reste hors de portée pour un internaute seul. C'est exactement pour ça que des plateformes comme Sheeldy existent : pour transformer un droit théorique en effacement réel.