Lexique — Fiche terminologique

Définition : courtier en données personnelles

Un data broker, ou courtier en données, est une société qui collecte, rassemble et commercialise des informations personnelles concernant les consommateurs. À partir de nombreuses sources, ces entreprises sont capables de créer des profils très détaillés sur des millions de personnes, souvent sans qu'elles en aient conscience ni qu'un contact direct ait lieu. Ces profils sont ensuite vendus ou transmis à d'autres organisations à différentes fins.

Fiche terminologique
Terme
Courtier en données personnelles
Équivalent anglais
Data broker
Synonymes courants
Courtier en données, revendeur de données
Nature de l'activité
Collecte, agrégation et revente de profils
Qualification RGPD
Responsable de traitement
Relation avec la personne
Généralement aucune
Publié le 30 août 2026 · Mis à jour le 30 août 2026 · Rédigé par l'équipe Sheeldy

Ce que recouvre le terme courtier en données personnelles

L'expression désigne une catégorie d'entreprises, et non un métier réglementé : aucun agrément particulier n'est requis pour exercer, et aucune inscription à un registre professionnel ne permet de les recenser. Ce qui les définit tient à leur modèle économique : la donnée personnelle n'est pas un sous-produit de leur activité, elle est leur activité.

Un courtier en données ne vend généralement pas des enregistrements isolés, mais des segments : des groupes de personnes réunies par une caractéristique déduite — « propriétaires susceptibles de déménager », « parents de jeunes enfants », « profils sensibles au crédit à la consommation ». Ces segments sont construits par recoupement, à partir de sources qui, prises séparément, paraissent anodines.

C'est ce recoupement qui fait la valeur du profil, et qui explique qu'une entreprise avec laquelle vous n'avez jamais eu le moindre échange puisse connaître votre adresse, votre tranche de revenus estimée et la composition de votre foyer. Pour une approche plus générale de ces acteurs, voyez notre page c'est quoi un data broker ? ; pour le détail de leurs mécanismes de revenus, notre analyse comment les courtiers en données s'enrichissent sur notre dos.

Les principales sources utilisées pour collecter les données

Trois familles de sources alimentent l'essentiel des bases. Aucune ne suppose votre accord explicite auprès du courtier lui-même : toutes passent par des intermédiaires.

  1. L'activité en ligne

    Historique des sites visités, clics, recherches effectuées, durée de consultation de certaines pages ou encore activités sur les réseaux sociaux. Une partie de ces informations peut être récupérée grâce aux cookies, pixels et autres dispositifs de traçage.

  2. Les achats et comportements de consommation

    Cartes de fidélité utilisées en magasin, transactions effectuées par carte bancaire, abonnements à des services ou à des publications permettent de déterminer les habitudes et préférences des consommateurs.

  3. Les sources publiques

    Les data brokers peuvent également exploiter différentes informations disponibles dans des registres publics : données de recensement, documents d'état civil, listes électorales, permis de conduire ou informations immobilières.

Le fonctionnement de chacun de ces canaux, ainsi que les données qu'il livre concrètement, est détaillé dans notre guide comment les data brokers obtiennent mes informations ?

Une quatrième source, rarement citée : le rachat de fichiers entre courtiers. Un acteur enrichit sa base avec celle d'un confrère, puis revend l'ensemble. C'est ce qui rend la traçabilité difficile — et pourquoi une demande d'accès, qui oblige à révéler l'origine des données, est souvent plus utile qu'une demande d'effacement isolée.

Qui achète ces données ?

Les acquéreurs ne sont pas des curieux isolés, mais des organisations qui intègrent ces profils dans des décisions commerciales, financières ou de recrutement.

Types d'acheteurs, objectifs poursuivis et usages concrets
Type d'acheteur Objectif principal Exemple d'utilisation
Marques et annonceurs Publicité ciblée Identifier les personnes susceptibles d'être intéressées par des produits sportifs, par exemple un consommateur considéré comme un amateur de fitness disposant de revenus élevés.
Banques et assurances Analyse des risques Utiliser certaines informations sur le profil ou les habitudes d'une personne pour évaluer un dossier de crédit ou déterminer le montant d'une assurance.
Plateformes de recrutement et particuliers Recherche d'informations Constituer des rapports contenant notamment d'anciennes adresses, des numéros de téléphone ou des informations sur l'entourage familial.

Une industrie qui manque de transparence

L'un des principaux problèmes liés aux data brokers est l'opacité de leurs pratiques. Les particuliers savent rarement quelles informations sont détenues à leur sujet, quelles entreprises les ont récupérées ou encore comment ces données sont analysées et utilisées.

En Europe, le RGPD (Règlement Général sur la Protection des Données) permet toutefois aux citoyens de mieux contrôler leurs informations personnelles. Dans certaines situations, chacun peut notamment demander à une entreprise de communiquer les données qu'elle possède sur lui et solliciter leur suppression.

À ne pas confondre. Un courtier en données exerce une activité continue et volontaire ; une fuite de données est un incident subi. Les deux se rejoignent néanmoins lorsqu'un fichier issu d'une fuite vient enrichir une base commerciale : vérifier son exposition est donc un préalable utile avant d'engager des demandes d'effacement.

Les obligations du courtier au regard du RGPD

Un courtier en données qui décide seul de constituer et de commercialiser ses bases est un responsable de traitement au sens du règlement. Cette qualification n'est pas théorique : c'est elle qui fait peser sur lui des obligations précises, et qui rend vos demandes opposables.

Article 6

Une base légale

Aucun traitement sans fondement : consentement, intérêt légitime dûment mis en balance, ou autre base prévue par le règlement. L'absence de base rend le traitement illicite.

Article 14

Vous informer

Quand les données n'ont pas été collectées auprès de vous, le courtier doit vous informer — finalités, catégories de données, source, destinataires — en règle générale dans le mois.

Article 15

Donner accès

Communiquer, sur demande, les données détenues, leur origine et les destinataires auxquels elles ont été transmises. C'est le levier le plus efficace face à l'opacité.

Articles 17 et 21

Effacer et cesser

Supprimer les données lorsque leur conservation n'est plus justifiée, et cesser tout profilage ou prospection sur simple opposition de votre part — sans avoir à vous justifier.

Faire supprimer ses informations des bases des courtiers

La procédure tient en quatre temps. L'ordre compte : commencer par l'accès plutôt que par l'effacement vous donne la liste des acteurs suivants à contacter.

  1. Demander l'accès avant l'effacement La demande d'accès (article 15) oblige le courtier à révéler quelles données il détient, d'où elles viennent et à qui il les a transmises. C'est cette réponse qui vous indiquera les autres acteurs à contacter.
  2. Demander l'effacement et l'opposition Formulez ensuite une demande d'effacement (article 17) assortie d'une opposition au profilage et à la prospection (article 21), adressée au délégué à la protection des données de la société.
  3. Remonter la chaîne des destinataires Reprenez la liste communiquée à l'étape 1 et adressez la même demande à chacun : une donnée effacée chez un courtier peut subsister chez ceux à qui il l'a revendue.
  4. Relancer, puis saisir la CNIL Notez la date de chaque envoi et relancez au terme du délai d'un mois. En l'absence de réponse ou en cas de refus non motivé, déposez une plainte auprès de la CNIL.

Menée à la main, cette démarche se compte en dizaines de courriers et en mois de relances. C'est précisément ce que Sheeldy prend en charge : identification des courtiers, envoi des demandes aux DPO, relances programmées et suivi du statut de chaque dossier. Si vous préférez agir vous-même, notre guide se désabonner des data brokers détaille la marche à suivre.

Questions fréquentes

Quelle est la définition d'un courtier en données personnelles ?
Un courtier en données personnelles est une société qui collecte, rassemble et commercialise des informations concernant les consommateurs. À partir de nombreuses sources, elle constitue des profils détaillés qu'elle vend ou transmet ensuite à d'autres organisations, sans qu'un contact direct avec les personnes concernées ait nécessairement eu lieu.
Un courtier en données est-il un responsable de traitement au sens du RGPD ?
Oui, dès lors qu'il détermine lui-même les finalités et les moyens du traitement, ce qui est le cas lorsqu'il constitue et commercialise ses propres bases de profils. Il assume donc l'intégralité des obligations du règlement : base légale, information des personnes, sécurité, et respect des droits d'accès, d'effacement et d'opposition.
Un courtier doit-il me prévenir qu'il détient des données sur moi ?
En principe oui. L'article 14 du RGPD impose au responsable de traitement qui n'a pas collecté les données auprès de la personne concernée de l'informer, en règle générale dans un délai maximal d'un mois, en précisant notamment les finalités, les catégories de données et la source dont elles proviennent. Des exceptions existent, notamment lorsque cette information exigerait des efforts disproportionnés, mais elles doivent être justifiées.
Comment savoir quels courtiers détiennent mes informations ?
Il n'existe pas de registre unique consultable. La méthode praticable consiste à exercer son droit d'accès auprès des acteurs les plus probables — régies publicitaires, agrégateurs marketing, sites de recherche de personnes, revendeurs de fichiers — puis à suivre les réponses, chaque réponse indiquant en principe l'origine des données et les destinataires auxquels elles ont été transmises.
Quelle différence entre un courtier en données et une régie publicitaire ?
Une régie publicitaire vend des espaces publicitaires et diffuse des campagnes. Un courtier en données vend la donnée elle-même, ou les segments d'audience construits à partir d'elle. Les deux activités se recoupent souvent au sein d'un même groupe, ce qui explique qu'un acteur puisse être à la fois diffuseur et revendeur de profils.
Combien coûte une demande de suppression auprès d'un courtier ?
Rien. L'exercice des droits prévus par le RGPD est gratuit. Le responsable de traitement ne peut facturer des frais raisonnables, ou refuser de donner suite, que dans le cas de demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, et c'est à lui qu'il revient de démontrer ce caractère.
Que faire si le courtier ne répond pas à ma demande ?
Conservez la preuve de votre envoi et sa date, puis relancez à l'expiration du délai d'un mois. En l'absence de réponse ou en cas de refus non motivé, vous pouvez saisir la CNIL d'une plainte, en joignant votre demande initiale et les échanges éventuels.

Lexique associé

Responsable de traitement
Entité qui détermine les finalités et les moyens d'un traitement de données personnelles, et à qui incombent les obligations du RGPD.
Donnée d'enrichissement
Information ajoutée à un profil existant pour le compléter : revenu estimé, composition du foyer, centres d'intérêt déduits.
Pixel de suivi
Image invisible ou fragment de code inséré dans une page ou un email, permettant d'enregistrer la consultation et d'alimenter un profil publicitaire.
Segment d'audience
Groupe de personnes partageant des caractéristiques déduites, vendu comme unité commerciale par les courtiers en données.

À lire ensuite

Analyse
Comment les courtiers en données s'enrichissent sur notre dos
Mode d'emploi
Se désabonner des data brokers, étape par étape
Guide pratique
Exercer ses droits RGPD auprès d'un DPO
Hub
Toutes les fuites de données récentes en France
Méthode
Le grand ménage de vos données personnelles
Sources et méthodologie Fiche rédigée par l'équipe Sheeldy, éditeur d'un service d'effacement de données personnelles. Le cadre juridique cité est celui du Règlement (UE) 2016/679 (RGPD), en particulier ses articles 6, 12, 14, 15, 17 et 21, ainsi que les ressources publiées par la CNIL sur le responsable de traitement et le profilage. Les exemples d'usage sont illustratifs et ne visent aucune entreprise en particulier. Ce contenu a une vocation d'information générale et ne constitue pas un conseil juridique. Une erreur, une précision à apporter ? Écrivez à contact@sheeldy.com.