Qui sont les courtiers en données et que collectent-ils

Vous n’avez presque certainement jamais signé de contrat avec un courtier en données, jamais visité l’un de leurs sites volontairement, ni jamais transmis vos informations directement à l’un d’eux. Pourtant, beaucoup d’entre eux détiennent un dossier détaillé sur vous. Cette leçon explique ce que sont ces entreprises, d’où provient leurs données selon l’étude de la Federal Trade Commission américaine elle-même, et pourquoi l’absence de relation directe avec vous est au cœur du fonctionnement de ce secteur.

Ce qu’est un courtier en données

Dans une étude approfondie de 2014 portant sur neuf grands courtiers en données, la FTC a défini ce secteur comme « des entreprises dont l’activité principale consiste à collecter des informations personnelles sur les consommateurs à partir de sources variées, puis à agréger, analyser et partager ces informations, ou des informations qui en sont dérivées », généralement à des fins de marketing, de vérification d’identité ou de détection de fraude. La conclusion centrale du rapport est ce qui distingue ce secteur d’une entreprise ordinaire avec laquelle vous traitez : les courtiers en données « collectent, conservent, manipulent et partagent généralement une grande variété d’informations sur les consommateurs sans jamais interagir directement avec eux ». En conséquence, note la FTC, « les consommateurs ignorent souvent leur existence, et encore plus la diversité des pratiques auxquelles ils se livrent ».

D’où viennent réellement les données

L’étude de la FTC a révélé qu’aucun des neuf courtiers ne collectait de données directement auprès des consommateurs. Leurs données provenaient plutôt de trois types de sources :

• Sources gouvernementales : les données démographiques du Bureau du recensement américain, les registres judiciaires et de faillite, les licences professionnelles et de loisirs, les registres de biens immobiliers et d’inscription électorale, ainsi que les registres de véhicules à moteur là où la loi le permet.
• Autres sources publiques : les annuaires téléphoniques, les articles de presse, et tout ce que les particuliers publient publiquement sur internet, y compris certaines plateformes de réseaux sociaux et blogs, en partie collecté par des robots d’indexation automatisés.
• Sources commerciales : les détails d’achat des détaillants et des sociétés de vente par catalogue, les listes d’abonnés à des magazines, les listes de clients de sites où les gens s’inscrivent ou se connectent, et — surtout — des données achetées à d’autres courtiers en données.

Ce dernier point compte : la FTC a constaté que sept des neuf courtiers étudiés achètent ou vendent des données entre eux, et que la majorité des données d’origine commerciale proviennent en réalité de courtiers entièrement extérieurs à l’étude. Comme le formule le rapport, cela rend « pratiquement impossible pour un consommateur de déterminer comment un courtier en données a obtenu ses données », puisqu’un même élément a pu passer par toute une chaîne d’entreprises avant d’atterrir chez celui qui détient votre dossier.

Des faits bruts, et les suppositions construites par-dessus

Les courtiers en données ne se contentent pas de stocker des faits que quelqu’un leur a donnés, comme un nom ou une adresse. La FTC a constaté qu’ils créent aussi des « données dérivées » : des déductions que le courtier tire des faits bruts. Son rapport donne des exemples concrets tirés du secteur étudié — déduire un intérêt pour la navigation de plaisance à partir d’un permis bateau, ou une fidélité à une marque à partir de l’achat de deux voitures du même constructeur. Les courtiers regroupent ensuite les personnes en segments nommés construits à partir de ces déductions, certains clairement orientés vers des produits, d’autres construits autour de l’origine ethnique, du revenu, de l’âge ou de sujets de santé, avec des noms de segments que le rapport de la FTC cite directement, comme « Intérêt pour le diabète » et des catégories combinant faible revenu et groupes ethniques spécifiques. Le rapport a constaté qu’un seul des neuf courtiers maintenait à lui seul environ 3 000 segments de données de ce type pour presque chaque consommateur américain.

Les courtiers en données collectent et stockent des milliards d’éléments de données couvrant presque chaque consommateur américain.

Federal Trade Commission, Data Brokers: A Call for Transparency and Accountability (2014)

Un courtier de l’étude a déclaré une base de données couvrant 1,4 milliard de transactions de consommateurs et plus de 700 milliards d’éléments de données agrégés, avec environ trois milliards de nouveaux enregistrements ajoutés chaque mois. La FTC a aussi constaté que certains courtiers conservent ces données indéfiniment, même une fois obsolètes, car elles peuvent encore servir plus tard à vérifier une identité — une pratique de conservation que le rapport signale comme un risque de sécurité en soi, puisqu’un profil stocké volumineux est aussi une cible plus précieuse en cas de violation de données chez le courtier.

Un exemple précis et visible : les sites de recherche de personnes

Une catégorie de courtiers en données est facile à observer par soi-même : les sites de recherche de personnes. Les recommandations aux consommateurs de la FTC les décrivent comme des sites qui « collectent des informations personnelles nous concernant à partir de sources variées, les compilent dans un rapport, et vendent ces rapports à quiconque est prêt à payer », en s’appuyant sur d’autres courtiers en données, des profils publics de réseaux sociaux, et des registres publics gouvernementaux tels que les biens immobiliers, les inscriptions électorales, les permis de conduire et les casiers judiciaires. Un rapport sur vous provenant de l’un de ces sites peut inclure votre âge, votre historique d’adresses, les membres de votre famille, et vos antécédents civils ou pénaux, visible par quiconque paie pour l’obtenir — y compris des personnes que vous préféreriez ne pas voir vous retrouver.