Courtier en données

Un courtier en données ou courtier en information (data broker en anglais) est une personne ou une entreprise spécialisée dans le courtage de données, c'est-à-dire dans la collecte et la vente ou revente de données, et en particulier de données personnelles (telles que les revenus, l'origine ethnique, les convictions politiques, les préférences sexuelles ou religieuses, le métier, le salaire et les revenus, les crédits et les dettes, l'état de santé, les comportements d'achats, de loisirs (ex. : golf, cuisine, course à pied, chasse, tir, etc.) ou encore des données de géolocalisation). Certains courtiers ses sont spécialisés, par exemple dans les données sur les entreprises.

Ces données provenaient autrefois essentiellement de sources et documents publics « papier », et parfois de sources privées dont par exemple des contrats de vente ou de licence, etc.

Ce métier a été bouleversé par l'arrivée de l'Internet, qui a ouvert un marché mondial de milliards de dollars. Ce marché est controversé car opaque, peu règlementé, impliquant de manière intriquée les grandes plateformes en ligne, les réseaux sociaux, des opérateurs télécoms, des banques, des assureurs, des officines, de grandes agences de publicité et médias. Les données personnelles y sont massivement collectées, agrégées, classées, annotées et vendues pour une variété croissante d'utilisations, souvent sans respect de la vie privée, de la sécurité, et sans le consentement éclairé des utilisateurs, ou avec un consentement forcé ou caché dans une discrète autorisation de collecte des données mentionnée dans les conditions générales d'utilisation, presque toujours acceptées sans être lues. Un grand nombre de gens partagent leurs données sans même le savoir.

Les sources

Les données provenaient autrefois en partie de sources publiques (ex. : bans de mariage, cadastre, licences professionnelles, carte grise, articles de journaux, journaux officiels de nominations, résiliations, etc.).

Elles sont aujourd'hui principalement extraites du Web par des logiciels (depuis l'avènement d'Internet dans les années 1990), et comme l'a montré le scandale Facebook-Cambridge Analytica - Aggregate IQ, elles peuvent parfois inclure dans le big data des croisements de données de recensements, de listes électorales, et de données plus confidentielles volées dans les comptes personnels de millions d'utilisateurs de sites de réseaux sociaux.

Une partie de ces données, dont certaines issues de rapports judiciaires ou d'historiques d'achats en ligne peuvent être utilisées, maintenant par des intelligences artificielles (Ripon pour le premier cas référencé, qui a influencé les électeurs lors de l'élection de Donald Trump, et qui a permis le Brexit). Ces données peuvent être utilisées pour la prévention ou détection de fraudes, mais aussi pour des vérifications d'antécédents par les employeurs, des locataires, des groupes militaires et de renseignement, etc. Mais exactement les mêmes données peuvent être détournées avec des intentions malveillantes comme l'a montré le cas de Ripon.

Législation

Des lois ont commencé à restreindre et encadrer la collecte d'informations sur les individus, mais le législateur peine à suivre l'évolution très rapide de l'Internet, et en particulier celle du traçage algorithmique. Aux États-Unis, malgré les inquiétudes et alertes de l'administration : en 2023, aucune loi fédérale protège le citoyen contre les courtiers en données. D'autres États et l'Union européenne ont commencé à en promulguer.

Dans l'Union européenne, c'est le RGPD qui est la principale règlementation des opérations des courtiers en données.

Alors que dans les pays occidentaux (et en chine ?) la précision des information collectées sur les gens ne cesse de croitre, et que le fichage tend à se généraliser (Acxiom prétend ainsi disposer de données sur 2,5 milliards de personnes différentes), il est reproché aux courtiers en données de gagner beaucoup d'argent avec des données illégitimes car souvent non consenties, parfois sensibles ou critiques, et de manquer de transparence et d'éthique.

Généralités

L'expression « courtier en informations » est parfois abrégé en IB ou DB, et certains courtiers s'auto-désignent de manière plus ou moins floue comme « agents d'information » ou « agents de données », fournisseurs de données, vendeurs ou revendeurs d'informations ou de donnée, courtiers en données syndiquées, ou sociétés de produits d'information. Par ailleurs, certains consultants en information, documentalistes, indépendants ou sous-traitants et autres spécialistes de l'information se présentent également parfois aussi comme « courtiers en information ».

Histoire

L'information se collecte, s'analyse et se vend depuis longtemps, au moins depuis l'antiquité. Mais le « courtage » tel qu'il existe aujourd'hui est né à la fin du XIX^e siècle en occident, dans le contexte du capitalisme, et plus précisément du marketing et des besoins des grands assureurs.

Puis avec l'Internet et plus encore depuis l'apparition des intelligences artificielles, le pouvoir de l'information a extraordinairement augmenté, lui donnant une valeur croissante.

Par exemple, le scoring de crédit date des années 1950, époque à laquelle le courtage de ce type d'informations est devenu un nouveau métier. Mais l'activité de courtage d'informations n'est devenue largement connue, et spécifiquement règlementée qu'à partir des années 1990.

Formation des courtiers en données

Dans les années 1970, les « courtiers en information » étaient souvent titulaires d'un diplôme en bibliothéconomie ; depuis la fin du XX^e siècle, ce sont plutôt des diplômées en sciences, en droit, en commerce, voire en médecine ou dans d'autres disciplines. Et la frontière entre les termes professionnel de l'information et courtier en information est devenue plus floue.

En 1977, Kelly Warnken a publié un premier annuaire d'informations payant, suivi du Journal of Fee-Based Information Services en 1979, et du livre The Information Brokers: How to Start and Operate Your Own Fee-based Service en 1981.

Vers la fin du XX^e siècle, les développements de l'informatique et de l'Internet, l'augmentation de la puissance de traitement des ordinateurs et la baisse des coûts de stockage des données ont permis aux entreprises de collecter, d'analyser, de stocker et de transférer de grandes quantités de données sur les individus et diverses entité.
Une nouvelle sorte de courtiers de données en est née, bien qu'en 2021 on ne recensait toujours pas de diplôme universitaire requis pour ce nouveau métier où certaines personnes peuvent avoir un baccalauréat en commerce ou en marketing, tandis que d'autres ont une formation en Science des bibliothèques ou de data scientist.

Exemples de data brokers (ou courtiers en données)

Ils se présentent souvent comme prestataires pour les études de marché, l'expertise marketing, la mesure d'audience, etc.

Voici un échantillon représentatif de grands, moyens et petits, anciens et jeunes courtiers en données.

• Nielsen : avec 13 000 employés dans 57 pays en 2022, cette société anonyme de droit anglais se présente comme leader dans la mesure d'audience, mais fait aussi du profilage de consommateurs (consommation de médias, comportement d'achat) et produit des données démographiques, le tout principalement au service d'annonceurs, de médias et de spécialistes du marketing. Une plateforme « Nielsen Marketing Cloud » permet aux clients d'y collecter, organiser et activer des données pour se créer une vue complète de leurs consommateur-cible. Nielsen a été rachetée en 2022 par un un consortium de capital-investissement (composé d'Evergreen Coast Capital Corp. qui est une société affiliée d'Elliott Investment Management L.P., et de Brookfield Business Partners L.P., ainsi que de partenaires institutionnels ; Nielsen annonce l'approbation par les actionnaires d'une transaction avec le consortium dirigé par Evergreen et Brookfield ; La transaction devrait être conclue en octobre 2022.
• Acxiom fournit des données et des analyses sur 700 millions de personnes dans le monde (en 2014), pour des campagnes marketing et pour la détection de fraudes, avec en 2014 plus de 3 000 segments de données ; presque tous les américains étaient déjà décrits dans cette base.
• Experian, spécialisé dans les données de crédit (surveillance du crédit, rapport de crédit annuel ; experian CreditLock ; rapports ; scores FICO, compréhension et amélioration des cotes de crédit), pour la notation de crédit, la vérification d'identité et le marketing ciblé
• Equifax, qui détient et vend des données concernant plus de 800 millions de personnes et dont les revenus étaient estimés à 3,1 milliards de dollars en 2016) ; avec Experian et TransUnion, ils forment le Big 3 de l'évaluation et du scoring du crédit à la consommation.
• Corelogic fournit des données et des services analytiques aux entreprises et aux gouvernements. Spécialité : crédit immobilier, informations liées à la propriété (historique des ventes, prêts hypothécaire, évaluations immobilières), profilage des consommateurs, analyse de données financières et « intelligence d'affaires ». Créé après 1990, le groupe avait déjà en 2014 plus de 795 millions de transactions immobilières historiques, plus de quatre-vingt-treize millions de demandes de prêt hypothécaire et des données spécifiques aux propriétés couvrant plus de quatre-vingt-dix-neuf pour cent des propriétés résidentielles aux États-Unis, dépassant au total 147 millions d'enregistrements
• Exact Data, créée en1999, qui se dit leader dans l'industrie du marketing direct multicanal, spécialisée dans le comportement des consommateurs, et dans la vente de listes d'adresses, de téléphones et de courriels.
• Datalogix fournit aux entreprises des données marketing sur presque tous les foyers américains et plus d'un billion de dollars en transactions de consommation. En 2012, Facebook a annoncé un partenariat avec Datalogix pour mesurer la fréquence à laquelle le milliard d'utilisateurs de Facebook voient un produit annoncé sur le site social, puis finalisent l'achat dans un magasin de détail physique.
• eBureau fournit des services de notation et d'analyse prédictives aux spécialistes du marketing, aux sociétés de services financiers, aux détaillants en ligne et autres. eBureau affirme disposer de milliards de dossiers de consommateurs et pouvoir prédire si une personne sera un client rentable ou risque de frauder. En 2014, sa base de données était complétée par plus de trois milliards de nouveaux enregistrements chaque mois.
• ID Analytics vend des analyses de données (personnelles ou non), surtout à des fins de vérification d'identité pour la détection de transactions risquant d'être frauduleuse. En 2014, sa base de données comprenait des centaines de milliards de points de données agrégés (1,1 milliard d'éléments d'identité uniques) et elle couvrait 1,4 milliard de transactions de consommateurs.
• Intelius fournit des données pour la vérification des antécédents et des informations publiques. En 2014, ses bases de données comptaient plus de vingt milliards d'enregistrements.
• PeekYou utilisait en 2014 une technologie brevetée analysant le contenu de plus de soixante sites de médias sociaux, sources d'information, pages d'accueil et plateformes de blogs pour fournir aux clients des profils de consommateurs détaillés.
• Rapleaf, racheté par LiveRamp, lui-même racheté par Acxiom en mai 2014, est un « agrégateur de données » qui possède au moins un point de données associé à plus de quatre-vingts pour cent de toutes les adresses e-mail des consommateurs américains. En 2014, Rapleaf complète les listes de diffusion avec l'âge, le sexe, l'état civil et trente autres points de données du propriétaire de l'adresse e-mail.
• Recorded Future s'est spécialisé dans la reconstitution des historiques d'achats des individus et d'entreprises sur Internet, pour prédire leurs comportements futurs de consommateurs. En mai 2014, Recorded Future avait accès à des informations provenant de plus de 502 591 sites Internet ouverts.

Éléments de définitions, prestations

Le courtage d'informations est généralement défini comme l'activité d'achat et de vente d'informations, cette dernière étant alors considérée comme une marchandise.

La Federal Trade Commission (États-Unis) parle d'« entreprises collectant des informations, y compris personnelles, sur les consommateurs, à partir d'une grande variété de sources dans le but de revendre ces informations à leurs clients à diverses fins, y compris la vérification de l'identité d'un individu, la différenciation des dossiers, la commercialisation des produits et la prévention de la fraude financière »

Gartner définit un courtier d'informations comme « une entreprise regroupant des informations issues de diverses sources, les traitant pour les enrichir, les nettoyant ou les analyser, et les concédant sous licence à d'autres organisations ». Il indique que les données sont « concédées sous licence pour des utilisations particulières ou limitées » plutôt que vendues à un client.

Services

Le courtier vend des données, mais il offre d'autres services, tels que le nettoyage, la classification et l'analyse des données (et la rédaction de rapports à leur sujet) ; il peut créer des bases de données pour ses clients ; ou mettre à jour les clients chaque fois que de nouvelles informations apparaissent sur un sujet ou une personne spécifique. Les clients font appel à eux pour gagner du temps et de l'argent.

Les courtiers sont plutôt des « chercheurs secondaires » qui trouvent et agrègent ou croisent des informations sur des sujets très variés et souvent commercialement stratégiques (ex. : concurrence économique, marchés, personnes et produits). Certains font aussi des enquêtes en produisant alors de la donnée primaire, qu'ils analysent et synthétisent pour produire des corpus de données, et ils le font de plus en plus à l'aide d'intelligences artificielles. Les courtiers peuvent peuvent capter tout ce qu'ils peuvent trouver sur Internet, agréger cette donnée, créer des profils (ou « persona ») et croiser ces données avec des informations provenant de diverses autres sources. Les courtiers en informations se spécialisent souvent dans un domaine spécifique (études de marché, statistiques ou données scientifiques, fourniture de données pour l'entrainement d'une intelligence artificielle, etc.

Les clients

Ce sont des industries, des médias, des réseaux sociaux et des professions, notamment du secteur manufacturier, d'institutions financières, de partis politiques, d'agences gouvernementales, des banquiers ou assureurs voulant vérifier la solvabilité ou le risque de leurs clients, des chercheurs en sciences sociales et en économie, des historiens…, et parfois des organisations à but non lucratif à la recherche de bénévoles et/ou de fonds ; des agents immobiliers voulant faire des recherches de titres fonciers. La publicité, la détection de la fraude et l'atténuation des risques sont trois raisons souvent invoquées par les clients de courtiers en données, et ce sont trois catégories retenues par la Federal Trade Commission. Les courtiers en informations doivent soigneusement contrôler leurs clients pour éviter que les criminels n'obtiennent et utilisent des données à des fins criminelles : les sociétés de courtage américaines Lexis-Nexis et ChoicePoint ont toutes deux été trompées par de faux clients, ce qui a conduit dans un cas à un vol d'identité à grande échelle.

Sources exploitées

Autrefois il s'agissait de recensements, d'annuaires, de listes de changements d'adresse, de listes électorales, de dossiers relatifs aux véhicules à moteur, de comptes publics, des répertoires de brevets et de copyright, etc.

Mais l'Internet est maintenant exploité pour y récupérer, de manière souvent opaque, et parfois illégale, les données fournies par les utilisateurs (plus ou moins contraints à les fournir) et les sites de réseaux sociaux, les articles et émissions des médias, les données des tribunaux, les historiques d'achats des consommateurs, les listes des personnes les plus recherchées, voire les listes de surveillance des terroristes, les enregistrements des transactions par carte bancaire, les autorités sanitaires et les historiques de navigation sur le Web.

Le « pistage en ligne » s'est généralisé, facilité par les cookies et une multitude de logiciels installés sur la plupart des sites web et applications mobiles. Ils documentent les activités des utilisateurs, leur nombre et le rythme des clics, les pages et publicités vues vues, le temps passé sur un site et même les déplacements de la souris. Ces donné semblent anodines, mais une fois agrégées et croisées avec le contenu des pages visitées et les habitudes de la personne, elles permettent un profilage individuel parfois extrêmement précis, classant les individus dans diverses catégories (par exemple selon les intentions d'achats faciles à évaluer pour ceux qui achètent beaucoup ou prioritairement en ligne). Certains courtiers achètent aussi des informations sensibles auprès d'autres sociétés (société émettrice de cartes de crédit par exemple). Les entreprises comme Google ou des réseaux sociaux comme facebook recueillent des milliards de données sur leurs utilisateurs, dont certaines renseignent les courtiers sur nos sujets de prédilection, ceux qui nous affectent, nous émeuvent ou nous mettent en colère, sur nos réseaux de relations. Les courtiers en apprennent ainsi très long sur ceux qui répondent aux quizz (méthode indirectement utilisée par exemple par Cambridge Analytica), et sur ceux qui font des tests de QI en ligne, ou répondent à certains sondages non réalisés par les instituts de sondage officiels.

Données personnelles collectées

Une myriade de données sont collectées, triées et vendues par les courtiers pour construire des centaines de millions de profils individuels.

Elles vont des communications quotidiennes d'un individu, à des données plus spécialisées telles que les enregistrements de produits, les données sur les brevets et les droits d'auteur, des données de crédit social et de réputation en ligne.

Les données collectées varient selon les pays (lesquels protègent différemment les données personnelles et sensibles). Elles incluent le plus souvent des identifiants (IP, nom/alias, sexe/genre, âge, adresse(s), adresse(s) mail (et parfois un historique des adresses), numéro de sécurité sociale, numéro de permis de conduire et de carte grise ; cartes de fidélité, profession et historique des empois, études, affiliation religieuse ; intérêt technologique ; statut de futur ou nouveau parent ; affiliation politique ; utilisation des médias sociaux ; attributs de la propriété immobilière ; revenu du ménage ; propriété ou leasing de véhicule(s), bateau de loisir… ; nouveau déménageant, locataire/propriétaire ; poids ; valeur nette ; utilisations de(s) carte(s) de crédit ; attirance pour les réductions de prix ; information sur les banques et assurances, les revenus, actifs financiers tels que des biens mobiliers et immobiliers, intérêts, dettes et type de prêt immobilier ; casier judiciaire, condamnations, jugements, faillites ; habitudes d'investissement ; habitudes de loisirs et vacances ; achats de luxe ; origine ethnique ; motard, automobiliste, cycliste ; santé (handicap, taux de cholestérol, fumeur / présence de fumeurs dans le ménage, consommateur d'alcool, de drogue, intérêt pour le diabète, lunettes, lentilles ou lentilles de contact, médicaments…), niveau de diplôme ou diplôme en préparation pour les étudiants ; enfants en âge scolaire ; jeux d'argent ; achats ou possession d'armes et de munitions ; statut de propriétaire/locataire d'un logement (ou logement de fonction) ; incapacité d'achat ; assurance… et bien d'autres informations d'identification, et sur la formation, la profession, la propriété, les conjoints, parents et enfants, etc. et depuis quelques années sur les réseaux sociaux fréquentés (pseudos, comptes, profils, URL, réseaux d'amis et de liens…)

Ces informations sont parfois périmées, biaisées, superficielles, fausses ou hypothétiques.

L'industrie de la publicité dit s'intéresser aux profils et catégories de consommateurs, plutôt qu'aux informations personnelles sur un individu. Des informations issues des registres de propriété, de déclarations de revenus, et de divers types d'annuaires peuvent être achetées contre une somme modique, ou acquises gratuitement. Les acteurs qui transfèrent ces données peuvent avoir une certaine responsabilité, notamment en termes de ciblages malveillants, dont de harcèlement criminel et de violence domestique.

Agrégation : les données brutes, secondaires ou tertiaires sont regroupées pour créer des profils individuels ou d'entités, souvent constitués de milliers d'informations organisées à partir d'un profil de base (âge, origine ethnique et géographique, religion, sexe, taille, poids, statut marital, état civil, profil social, religieux, politique, psychologique, militant ou non, affiliations socio-professionnelles et politique, profession présente et passées, revenu du ménage, valeur nette d'une personne, statut d'accession à la propriété, habitudes d'investissement, préférences en matière de produits, intérêts liés à la santé, etc.) Les courtiers vendent ensuite le droit d'utiliser ces profils à d'autres organisations (entreprises, officines, partis politiques, gouvernements…) qui les recherchent, principalement pour cibler la publicité, le marketing (y compris marketing politique) à l'intention de groupes et sous-groupes spécifiques ou pour vérifier l'identité d'une personne, à des fins diverses incluant la recherche de disparu ou la détection de fraude ou à des fins plus malveillantes. Les données de géolocalisation sont inclues dans les ressources marketing d'Acxiom. Experian et Oracle annoncent également des services de marketing géolocalisé. Les courtiers peuvent être travailleurs indépendants ou employés de très grandes entreprises comme LexisNexis ou ProQuest.

Traçabilité de la donnée

Un rapport basé sur l'étude entamée en 2012 de neuf courtiers en données (Acxiom, Corelogic, Datalogix, eBureau, ID Analytics, Intelius, PeekYou, Rapleaf et Recorded Future) note que « Plusieurs couches de courtiers de données se fournissent des données les uns aux autres : les courtiers de données fournissent des données non seulement aux utilisateurs finaux, mais également à d'autres courtiers de données. Les neuf courtiers en données étudiés obtiennent la plupart de leurs données auprès d'autres courtiers en données plutôt que directement d'une source originale. Certains de ces courtiers en données peuvent à leur tour avoir obtenu les informations auprès d'autres courtiers en données. Sept des neuf courtiers en données étudiés par la Commission se fournissent mutuellement des données. Par conséquent, il serait pratiquement impossible pour un consommateur de déterminer comment un courtier en données a obtenu ses données ; le consommateur devrait retracer le chemin des données via une série de courtiers en données ». « Les courtiers en données collectent et stockent des milliards d'éléments de données couvrant presque tous les consommateurs américains (…) et presque toutes les transactions domestiques et commerciales aux États-Unis ». Parmi neuf courtiers en données étudiés, l'un avait une base de données sur 1,4 milliard de transactions de consommateurs et plus de 700 milliards d'éléments de données agrégés ; Un autre courtier avait une base de donéne couvrant un billion de dollars de transactions de consommation ; et un autre courtier ajoutait à sa data base trois milliards de nouveaux enregistrements chaque mois. L'un d'entre eux disposait de 3 000 segments de données par personne, et ce pour presque tous les consommateurs américains. En croisant ces milliards de données grâce à des algorithmes et des IA, ces courtiers en déduisent des conclusions sur chaque personne, incluant des inférences potentiellement sensibles : les courtiers en données déduisent la psychologie et les intérêts et des consommateurs à partir des données qu'ils collectent (ex. : on suppose qu'un client qui achète trois fois de suite une voiture d'une même marque a probablement une loyauté/fidélité pour cette la marque). Des catégories apparemment anodines (ex. : « Propriétaire de chien », « Passionné d'activités hivernales » ou « Répondant aux commandes par correspondance » prennent une importance commerciale quand elles sont croisées. Les catégories croisant l'origine ethnique et le niveau de revenu (ex. : « Urban Scramble » et « Mobile Mixers », qui chacune inclut une grande majorité de Latinos et d'Afro-Américains à faibles revenus) sont sensibles et éthiquement douteuses car porteuses de biais et décourageant la mixité sociale. La catégories « Rural éternel » (hommes et femmes célibataires de plus de 66 ans avec « un faible niveau d'éducation et une faible valeur nette ») est opposée à celle des « Mariés sophistiqués » (couples trentenaires de la « classe moyenne supérieure… sans enfants. »). La commission souligne aussi d'autres catégories potentiellement sensibles liées à la santé (ex. : « Futur parent », « Intérêt pour le diabète » et « Focus sur le cholestérol »). Les courtiers en données et/ou ses clients peuvent ensuite eux-mêmes profiter des fonctionnalités d'enregistrement et de cookies des sites Web pour happer les consommateurs en ligne via des publicités, de la propagande et des messages injonctifs adapté à leur profil et à leur humeur du moment, sur Internet et en fonction de leurs activités hors ligne. Le client du courtier en données pourra alors faire de la publicité auprès de ce consommateur sur Internet aussi longtemps que son cookie restera sur le navigateur du consommateur.

Liens entre courtage de données et renseignement

Dans le contexte des mutations du renseignement, des liens existent, multiples et complexes, entre le courtage en données et le renseignement économique, stratégique, militaire, etc.

• Le courtage en données peut être une source d’information pour le renseignement, à propos de données sur les profils, les préférences, les réseaux ou les activités d'individus ou d'entités. Inversement, le courtage de données peut aussi être une menace pour le renseignement et le pays, en exposant les données sensibles ou confidentielles du pays ou des agents, des sources, des méthodes ou des opérations du renseignement… Ainsi, les courtiers en données Cambridge Analytica et Aggregate IQ ont pu exploiter, avec l'aide d'une intelligence artificielle (Ripon) les données de dizaines de millions d'utilisateurs de Facebook pour influencer les élections américaines de 2016 et le référendum sur le Brexit, en utilisant des techniques de manipulation psychologique. Autre exemple : on a découvert début 2020 que la start-up américaine controversée de reconnaissance faciale (et courtier en données) Clearview AI avait créé une base de données de plus de trois milliards de visages à partir d'images légalement ou illégalement aspirées sur des sites publics et les réseaux sociaux, pour ensuite vendre ou louer son service de reconnaissance faciale à des armées, agences gouvernementales, services de police, des entreprises privées ou des individus malveillants. En 2023, l'entreprise affirme disposer de « plus de 40 milliards d'images dans notre base de données des forces de l'ordre - la plus grande au monde, et de loin »
• Le renseignement peut être un client du courtage en données ; ou il peut infiltrer les réseaux et bases de données des courtiers. Ainsi, selon le lanceur d'alerte Edward Snowden, la NSA avait accès à des données collectées par Google, Facebook et Apple (dont e-mails, SMS, appels téléphoniques, historiques de navigation et géolocalisations) et pouvait ainsi surveiller des citoyens du monde entier, y compris américains.

Aux États-Unis

Les data brokers aux États-Unis sont principalement Acxiom, Experian, Epsilon, CoreLogic, Datalogix, Intelius, PeekYou, Exactis et Recorded Future. En 2012, Acxiom prétendait détenir des fichiers sur environ 500 millions de consommateurs actifs dans le monde, avec environ 1 500 points de données par personne et, en 2023, Acxiom (rebaptisé LiveRamp) prétend détenir des fichiers sur 2,5 milliards de personnes et plus de 3 000 points de données. par personne. La société Oracle affirme être en relation commerciale avec 80 sociétés de courtage de données. Le département américain de la Sécurité intérieure a acheté des données de localisation de téléphones portables et des données de services publics à des courtiers en données pour faciliter les expulsions. Et le FBI a acheté des données personnelles auprès de Venntel. Dans ces deux cas, dans ce pays, aucune autorisation ou mandat n'est nécessaire pour acquérir des données « obtenues commercialement ». Après la crise des subprimes et durant la pandémie de Covid-19, ces données ont été très utilisées pour la vérification des antécédents (utilisées dans les demandes de loyer/logement et d'emploi) et accélérer les expulsions de personnes pour impayés de loyer.

En 2012, Spokeo, un site Web de recherche de personnes, a payé 800 000 $ d'amende à la Federal Trade Commission des États-Unis pour violation du Fair Credit Reporting Act.

En 2017, Cambridge Analytica a fourni à sa consoeur canadienne, Aggregate IQ les profils psychologiques de 220 millions de citoyens américains, sur la base de 5 000 ensembles de données distincts, une autre source faisant état de 230 millions. Le scandale a éclaté quand on a découvert que 270 000 utilisateurs de Facebook avaient consenti à partager leurs données, et surtout que les informations personnelles de plus de 80 millions de comptes Facebook avaient été piratés par Cambridge Analytica.

En 2018, les entreprises américaines ont dépensé 19 milliards de dollars pour acquérir et analyser des données sur les consommateurs, selon l' Interactive Advertising Bureau.

En 2021, The Pillar a dénoncé un prêtre catholique en se basant sur des données achetées à un courtier en données, incluant des données provenant d'un site de rencontres homosexuelles (Grindr)

Problèmes de confidentialité et règlementation

La loi protège bien moins la confidentialité des informations aux États-Unis que dans l'Union européenne. Mais en Europe, les courtiers en données semblent toujours s'efforcent de contourner le RGPD (règlement général sur la protection des données, en vigueur depuis 2018). Ce RGPD veut que les données ne puissent être collectées pour être réutilisées que sur l'une des six bases juridiques, et sur la base d'un « intérêt légitime » (expression vague souvent abusivement utilisé et/ou mal interprété). Le consentement explicite des utilisateurs est requis pour le stockage des informations. En outre, le traitement des données liées aux opinions politiques et aux convictions religieuses est interdit, sauf si un consentement éclairé de la personne concernée a été préalablement donné. Aux États-Unis, les particuliers ne peuvent généralement pas savoir quelles données un courtier détient sur eux, ni comment il les a obtenues, ni comment elles sont ou seront utilisées. Aucune loi fédérale autorise ou permet aux consommateurs de voir, d'apporter des corrections ou de refuser les données compilées par les courtiers. Les fichiers de donnés sur les individus sont généralement vendus sous forme de listes ; des exemples cités dans les témoignages au Congrès américain incluent des listes de survivants de viol, de personnes âgées atteintes de démence, de personnes financièrement vulnérables, de personnes vivant avec le VIH, de policiers (avec adresse personnelle), d'alcooliques et de personnes souffrant de dysfonction érectile.

Les grands courtiers en données permettent théoriquement aux consommateurs de lire et corriger certaines informations, à des degrés divers, et/ou de se désinscrire de la divulgation de leurs informations sur leur plateforme. Dans les faits, les tests de vérification montrent que cela reste difficile ou sans effet.

Appels à une règlementation aux États-Unis

Une étude (2007) de l'université de Californie, a demandé et analysé les pratiques de partage d'informations dans 86 entreprises, montrant que souvent, le modèle de partage était de type non-participatif et donc incompatible avec les attentes des consommateurs. Les auteurs recommandent que la législature de l'État de Californie oblige les entreprises à divulguer leurs politique de partage d'informations personnelles, avec un langage clair et sans ambiguïté, et à envisager de créer une méthode centralisée et conviviale permettant aux consommateurs de refuser que leurs données personnelles soient partagée à des tiers.

Un projet de loi américaine sur la responsabilité et la confiance en matière de données (introduit en 2009 par le représentant Bobby Rush [D-IL1] le 30 avril 2009, HR 2221 contenait un certain nombre d'exigences en matière d'audit et de vérification de l'exactitude des données détenues par les courtiers d'informations, ainsi que des mesures supplémentaires en cas de faille de sécurité. Ce projet donnait aussi aux personnes identifiées les moyens et la possibilité d'examiner et de corriger les données les concernant. Il a été adopté par la Chambre des représentants des États-Unis lors du 111^e Congrès des États-Unis, mais n'a pas passé le cap du Sénat américain. Il a été relancé par le 112^e Congrès des États-Unis en 2011 sous le nom de HR 1707 puis abandonné après avoir été renvoyé au comité.

En 2009, la Federal Trade Commission des États-Unis avait également recommandé au Congrès américain de créer une droit du consommateurs à voir les informations que les courtiers en données détiennent à leur sujet. Cette recommandation a tété renouvelée dans des rapports ultérieurs en 2012 et 2014. En 2013, le Government Accountability Office des États-Unis a également demandé au Congrès d'envisager une législation, sans effets à ce jour face au lobby des data brokers. En octobre 2019, le gouverneur de Californie Gavin Newsom a signé la loi d'action AB 1202. Ce projet de loi « exigerait que les courtiers en données s'inscrivent auprès du procureur général et lui fournissent certaines informations. Le projet de loi définirait un courtier en données comme "une entreprise qui collecte et vend sciemment à des tiers les informations personnelles d'un consommateur avec lequel l'entreprise n'a pas de relation directe, sous réserve d'exceptions spécifiées”. Cette loi vise à lever le « manteau d'invisibilité » de cette activité (courtier d'informations non enregistrés, non règlementés et non suivis) ; elle doit aussi règlementer l'achat de données auprès de tiers et donner une traçabilité des informations échangées avec et par des courtiers de données. Elle doit mieux protéger la vie privée des consommateurs, et légalement définir cette profession, avec des périmètres d'enregistrement (excluant certaines données critiques pour le consommateur).

Les grandes sociétés de courtage de données, rien qu'en 2020 ont dépensé 29 millions de dollars en lobbying pour faire pression sur le Gouvernement et les États américains afin qu'ils ne touchent pas aux privilèges des courtiers.

Critiques, droits des consommateurs et violations

Un comité sénatorial américain a publié en 2013 un bilan de l'industrie du courtage de données : A Review of the Data Broker Industry: Collection, Use, and Sale of Consumer Data for Marketing Purposes, concluant qu'« Aujourd'hui, un large éventail d'entreprises connues sous le nom de « courtiers en données » collectent et conservent des données sur des centaines de millions de consommateurs, qu'elles analysent, conditionnent et vendent généralement sans l'autorisation ou la participation des consommateurs. » Les principales conclusions du Comité sont :

• les courtiers en données collectent, de manière opaque, un énorme volume d'informations, détaillées, relatives à des centaines de millions de consommateurs ;
• ces courtiers vendent des produits qui identifient les consommateurs financièrement vulnérables ;
• les produits de courtage de données fournissent des informations sur le comportement hors ligne des consommateurs afin d'adapter la sensibilisation en ligne des spécialistes du marketing ;
• ces courtiers en données opèrent derrière un voile de secret.

Ces courtiers ont été critiqués pour avoir permis le développement de graves biais et discriminations en matière de prix, de services et d'opportunités. Seuls certains d'entre eux évitent de profiler les enfants et adolescents pour certains produits. Des courtiers en données vendant des services « d'atténuation des risques de fraude dans les transactions commerciales » peuvent par exemple signaler à un vendeur que les informations personnelles d'un demandeur sont celles d'une personne de moins de 18 ans et que la transaction pourrait être frauduleuse.

Ainsi, un rapport de la Maison-Blanche (mai 2014) montrait que les recherches sur le Web incluant des prénoms à apparence noire, tels que Jermaine, étaient plus susceptibles de donner lieu à l'affichage d'annonces incluant le mot « arrestation », par rapport aux recherches sur le Web incluant des prénoms à apparence blanche. comme Geoffrey. Un courtier en données a vendu à un annonceur les coordonnées de victimes de viol, et de supposés alcooliques, et personnes souffrant de dysfonctionnement érectile (pour 79 euros par 1 000 contacts). Outre lors du scandale Facebook-Cambridge Analytica/Aggregate IQ, l'acquisition illégale de données personnelles à grande échelle est parfois mise à jour.

En novembre 2023, une étude publiée par l'Irish Council for Civil Liberties (ICCL, organisation dédiée aux libertés civiles et aux droits de l'homme) dénonce les pratiques de ces « courtiers ».
Selon l'ONG ils menacent la démocratie en raison d'une collecte, d'un traitement et d'usages des données des internautes et mobinautes, opaques, et de plus en plus conçues et utilisées pour la surveillance de tous sur le Web. L'ICCL dénonce notamment le fait que les courtiers peuvent vendre les données à n'importe quelle entreprise et à des particuliers, alors que le classement de ce big data s'apparente de plus en plus à un fichage si détaillé que l'anonymisation des données n'est plus assurée. L'usage malveillant de ces données devient facile, comme l'a montré le scandale Facebook-Cambridge Analytica-Aggregate IQ.

En France, Le Figaro est sanctionné en juillet 2021 par la CNIL et condamné à 50 000 euros d'amende pour dépôt de cookies sur son site hors procédure de recueil du consentement préalable des internautes.

Google LLC et Google Ireland Limited ont été condamnés en France à 100 millions d'euros d'amende pour des cookies non essentiels déposés sur les ordinateurs d'utilisateurs du moteur de recherche google.fr sans consentement préalable ni information satisfaisante.

Une FAQ sur les courtiers d'informations en ligne est publiée par Privacy Rights Clearinghouse (PRC), une organisation de consommateurs à but non lucratif aux États-Unis. PRC tient également à jour une liste de courtiers en informations, avec des liens vers leurs politiques de confidentialité, leurs conditions de service et leurs dispositions de désinscription.

De grands courtiers en données ont également fait face à des poursuites judiciaires pour violations de sécurité dues à de mauvaises pratiques de sécurité des données.

Associations professionnelles

L' Association of Independent Information Professionals (AIIP) est une association professionnelle basée à Baton Rouge, en Louisiane. Elle a des membres dans 20 pays et dit représenter à la fois les courtiers primaires et secondaires.

Union européenne

Le métier de courtier de données y est depuis 2018 encadré par le Règlement général sur la protection des données (RGPD) qui impose à ces courtiers de respecter des principes de licéité, de transparence, de finalité, de minimisation, d'exactitude, de limitation, de sécurité et de responsabilité.

France

• Le Parlement a créé en 2020 une mission d'information sur les usages des données personnelles dans le secteur de la santé. Elle a produit des recommandations pour le respect de la vie privée et le consentement des patients.
• Les courtiers peuvent aussi être contrôlés par la Commission nationale de l'informatique et des libertés (CNIL, garante du respect du RGPD). La CNIL a déjà infligé des amendes à plusieurs entreprises ayant collecté et vendu des données personnelles sans le consentement des personnes concernées, dont Google, Amazon, Carrefour ou encore Spartoo.

Dans la fiction

La fiction contemporaine évoque le courtage en données, avec par exemple :

• le Shadow Broker dans la série de jeux vidéo Mass Effect ;
• Nicholas Wayne, Rachel, Elean Duga, Gustav St. Germain, Carol et le président du journal Daily Days dans Baccano! ;
• Izaya Orihara dans la série de light novel Durarara!! ;
• quelques personnages du roman Snow Crash de Neal Stephenson trouvent du travail dans la vente de données en tant que « stringers » pour la Central Intelligence Corporation ;
• les personnages des courtiers d'informations jouent un rôle de premier plan dans les histoires publiées par DC Comics. Le trope du personnage est mieux illustré par le super-héros Oracle, mais le trope est également utilisé plus tard avec les personnages Calculator, Proxy, Chloe Sullivan et Felicity Smoak.

Voir aussi

Bibliographie

Articles

• (en) Lois Beckett, « Everything We Know About What Data Brokers Know About You », sur propublica.org, 13 juin 2014.
• (en) Ian Goldin et Chris Kutarna, « The Ethics of Data Brokering », 2017.
• (en) David C. Crowston et Charles J. Schmidt, « Data Brokerage: A New Business Model for the Data Economy », 2021.
• (en) Richard Smith, « The Data Broker Business Model: A Critical Assessment », 2016.

Livres

• (en) Data Brokering: A Guide to the Business of Data par David C. Crowston et Charles J. Schmidt (2022).
• (en) Data Brokering: The Business of Selling and Buying Personal Information par Ian Goldin et Chris Kutarna (2016).
• (en) The Data Broker Business Model: How Companies Sell Your Personal Information par Richard Smith (2015).

Rapports

• (en) Wolfie Christl et Sarah Spiekermann (2016) rapport « Réseaux de contrôle » (disponible en téléchargement PDF et en livre imprimé).
• (en) Wolfie Christl et al. (juin 2017) Rapport La surveillance par les entreprises dans la vie quotidienne ; Comment des milliers d’entreprises surveillent, analysent et influencent la vie de milliards de personnes. Qui sont les principaux acteurs du suivi numérique d’aujourd’hui ? Que peuvent-ils déduire de nos achats, de nos appels téléphoniques, de nos recherches sur le Web et de nos mentions J’aime sur Facebook ? Comment les plateformes en ligne, les entreprises technologiques et les courtiers en données collectent-ils, échangent-ils et utilisent-ils les données personnelles ? ; | Cracked Labs |Verein zur Förderung kritischer digitaler Kultur ; Gumpendorfer Straße 63b, 1060 Vienne, Autriche ; ZVR : 811164548.
• (en) The Data Broker Industry: A Threat to Privacy and Democracy par Electronic Frontier Foundation (2018).
• (en) The Data Broker Business Model: A Primer par Privacy International (2016).
• (en) The Data Broker Market: A Growing Threat to Privacy par Consumer Federation of America (2015).

Articles connexes

• Big Brother Awards
• Comité d'enquête sur la surveillance électronique de masse de citoyens de l'Union européenne (créé en 2013, à la suite des révélations d'Edward Snowden)
• Contrôle social
• Données personnelles
• Économie de la surveillance
• Renseignement d'origine électromagnétique (Echelon, Frenchelon, etc.)
• Surveillance électronique
• Surveillance globale
• Télésurveillance
• Technologies améliorant la confidentialité
• Vidéosurveillance
• Surveillance en droit français
• Vérification des antécédents
• Veille concurrentielle
• Guerre de l'information
• Profil psychologique
• publicité ciblée
• PeekYou (en), site américain de recherche de personnes
• Lois sur la confidentialité des États-Unis
• Guerre psychologique
• Discrimination par les prix
• Système de crédit social
• Spokeo (en), site de recherche de personnes américaine
• Amazon, une plateforme de commerce électronique
• Facebook, une société de médias sociaux
• OSINT
• Commission nationale de l'informatique et des libertés (CNIL)

Liens externes

• Notice dans un dictionnaire ou une encyclopédie généraliste :

  • Brockhaus
• Notices d'autorité :

  • GND
• (en-US) Douglas MacMillan, « Data brokers are selling your secrets. How states are trying to stop them. », Washington Post, 15 octobre 2019 (ISSN 0190-8286, consulté le 27 novembre 2023).
• (en-US) « How to get data brokers to delete your data », sur Surfshark (consulté le 27 novembre 2023).
• The Data Broker Business Model: How Companies Sell Your Personal Information par Richard Smith (site Web) - https://robots.net/fintech/general-fintech/how-data-brokers-profit-from-your-data-a-guide/.