Cookies et data brokers : que deviennent vos données personnelles ?

Les data brokers : des intermédiaires qui collectent et commercialisent vos données

Les data brokers, également appelés courtiers en données, sont des entreprises qui collectent, regroupent, analysent ou commercialisent des informations relatives à des personnes. Contrairement à un site sur lequel vous créez volontairement un compte, un courtier peut obtenir des informations vous concernant auprès de nombreuses sources tierces, sans que vous ayez nécessairement interagi directement avec lui.

Leurs sources peuvent inclure des bases de données accessibles au public, des partenaires commerciaux, des formulaires en ligne, des programmes de fidélité, des jeux-concours ou d'autres fournisseurs de données. Selon les informations disponibles et les traitements effectués, un courtier peut rapprocher plusieurs sources pour associer différentes informations à une même personne.

Ces entreprises peuvent ensuite proposer des fichiers de prospection, des segments d'audience, des services d'enrichissement de données ou des analyses destinées à des entreprises. Par exemple, elles peuvent aider un annonceur à identifier des personnes susceptibles d'être intéressées par un produit, à compléter une fiche client ou à mieux cibler une campagne commerciale.

Les données traitées ne sont pas nécessairement limitées à des informations que vous avez directement communiquées. Elles peuvent inclure des coordonnées, des caractéristiques démographiques, des centres d'intérêt supposés ou des informations déduites de différents comportements. La nature exacte des données dépend du courtier, de ses sources et de ses activités.

Tous les data brokers ne vendent pas nécessairement des fichiers directement aux particuliers ou aux annonceurs, et certains fournissent principalement des services d'analyse ou d'enrichissement. Le terme désigne un ensemble d'activités diverses : il faut donc examiner les pratiques de chaque entreprise pour comprendre quelles données elle détient et comment elle les utilise.

Quels traitements les data brokers peuvent-ils effectuer, et quelles données sont concernées ?

• Collecte et agrégation : rassemblement d'informations issues de plusieurs sources, comme des coordonnées, des informations professionnelles ou des données accessibles publiquement.
• Enrichissement de profils : rapprochement de fichiers pour compléter une identité avec des informations provenant d'autres bases de données.
• Segmentation commerciale : classement de personnes selon des critères tels que la tranche d'âge, la zone géographique, les centres d'intérêt supposés ou la probabilité d'être intéressées par une offre.
• Prospection commerciale : fourniture de coordonnées ou de listes de prospects à des entreprises souhaitant réaliser des campagnes de marketing, sous réserve du respect des règles applicables.
• Analyse et profilage : création de catégories ou d'indicateurs à partir de données observées ou déduites, par exemple des habitudes de consommation présumées.
• Rapprochement de données en ligne et hors ligne : association possible d'identifiants numériques, de coordonnées ou d'informations issues de transactions et de fichiers commerciaux.
• Données potentiellement concernées : nom, prénom, adresse e-mail, numéro de téléphone, adresse postale, âge ou tranche d'âge, profession, entreprise, zone géographique, historique d'achats, centres d'intérêt et catégories de consommation supposées.
• Données potentiellement sensibles : certaines entreprises peuvent traiter ou inférer des informations particulièrement délicates. Le traitement de données sensibles est soumis à des règles spécifiques et ne peut pas être considéré comme librement autorisé.

Les fournisseurs de cookies et les vendors publicitaires : suivre, mesurer et personnaliser

Un cookie est un petit fichier enregistré sur votre appareil par un site ou un service. D'autres technologies, appelées traceurs, peuvent également servir à reconnaître un navigateur, mémoriser des préférences ou mesurer une activité. Ces technologies ne sont pas toutes utilisées à des fins publicitaires : certaines sont indispensables au fonctionnement d'un service, tandis que d'autres peuvent servir à l'analyse ou au suivi publicitaire.

Dans l'écosystème publicitaire, le terme vendor désigne généralement une entreprise tierce qui fournit des services liés à la publicité numérique, à la mesure d'audience ou à la personnalisation de contenus. Il peut s'agir, par exemple, d'une plateforme publicitaire, d'un prestataire de mesure d'audience ou d'un intermédiaire chargé de diffuser des annonces. Certains vendors utilisent des cookies ou d'autres traceurs ; d'autres peuvent intervenir sans déposer directement de cookie sur votre appareil.

Lorsqu'un site intègre des outils tiers, certaines informations relatives à votre navigation peuvent être transmises à ces prestataires. Selon la technologie utilisée, les paramètres du site et le cadre juridique applicable, il peut s'agir d'identifiants en ligne, des pages consultées, d'interactions avec des contenus, de données techniques ou de préférences enregistrées. Ces informations peuvent servir à mesurer les performances d'une campagne, à limiter la répétition d'une publicité ou à personnaliser des annonces.

Les données issues de plusieurs sites ou services peuvent parfois être rapprochées afin de reconnaître un même navigateur ou de construire un profil publicitaire. Certaines solutions peuvent également associer des identifiants en ligne à d'autres informations, par exemple une adresse e-mail déjà connue d'un partenaire, lorsque les conditions techniques et juridiques le permettent. Il ne faut toutefois pas supposer que chaque cookie permet d'identifier directement une personne ou que chaque vendor possède l'ensemble de ces informations.

La distinction entre le site visité et les entreprises tierces est essentielle : vous pouvez connaître le site qui affiche une publicité sans connaître toutes les sociétés qui participent à sa diffusion ou à sa mesure. Certaines de ces entreprises peuvent intervenir sur de nombreux sites différents. C'est pourquoi les identifier peut être utile pour comprendre les différentes organisations susceptibles de traiter vos données.

Dans l'Union européenne, les règles applicables dépendent notamment de la nature du traceur et de la finalité du traitement. Certains traceurs nécessitent un consentement préalable, tandis que d'autres peuvent bénéficier d'une exemption sous conditions. Le consentement aux cookies ne dispense pas les entreprises de respecter les autres obligations applicables en matière de protection des données personnelles.

Quels traitements les vendors publicitaires peuvent-ils effectuer, et quelles données sont concernées ?

• Mesure d'audience : analyse de la fréquentation d'un site, des pages consultées, des parcours de navigation ou des interactions avec des contenus.
• Publicité ciblée : utilisation de signaux ou de profils pour sélectionner les annonces susceptibles d'intéresser un utilisateur.
• Reciblage publicitaire : diffusion de publicités liées à des produits ou services précédemment consultés, lorsque les mécanismes utilisés et le cadre juridique le permettent.
• Limitation de la répétition : mesure ou contrôle du nombre de fois qu'une publicité est affichée à un même navigateur ou à un même utilisateur identifiable.
• Attribution des conversions : évaluation des actions réalisées après une publicité, comme une visite, une inscription ou un achat.
• Création et enrichissement de profils : association éventuelle de différents signaux de navigation ou identifiants pour mieux caractériser une audience.
• Personnalisation : adaptation possible des annonces ou de certains contenus en fonction de préférences ou de comportements observés ou déduits.
• Données potentiellement concernées : identifiants de cookies ou de publicité, adresse IP, informations sur le navigateur et l'appareil, pages consultées, horodatages, interactions avec les annonces, identifiants publicitaires mobiles et préférences de consentement.
• Données complémentaires éventuelles : certains services peuvent recevoir des identifiants ou des informations transmises par un site ou un partenaire. La nature de ces données dépend de l'intégration technique et des finalités déclarées.

Quelles sont les différences entre un data broker et un vendor publicitaire ?

La différence principale tient à leur rôle. Le vendor publicitaire fournit généralement une technologie ou un service utilisé dans la diffusion, la mesure ou la personnalisation de publicités en ligne. Le data broker se concentre sur la collecte, le rapprochement, l'enrichissement ou la mise à disposition de données concernant des personnes.

Leurs sources de données peuvent également différer. Un vendor peut recevoir des informations dans le cadre du fonctionnement d'un outil intégré à un site. Un data broker peut, quant à lui, agréger des données issues de plusieurs entreprises, de sources publiques ou de partenaires commerciaux. Ces modèles ne sont toutefois pas exclusifs : un même acteur peut exercer plusieurs activités.

Leur manière d'utiliser les données n'est pas non plus identique. Un vendor peut traiter des données pour mesurer une campagne publicitaire ou sélectionner une annonce. Un data broker peut exploiter des données pour construire des profils, enrichir des fichiers ou fournir des segments à ses clients. Dans certains cas, des données peuvent circuler entre ces deux catégories d'acteurs.

Enfin, il n'existe pas une liste universelle regroupant toutes les entreprises qui peuvent traiter vos données par l'intermédiaire de cookies, ni un registre mondial unique de tous les data brokers. Les annuaires disponibles couvrent généralement un périmètre particulier, un secteur, un dispositif réglementaire ou des entreprises qui se sont inscrites à un programme donné.

Pourquoi contacter ces acteurs lorsque vous demandez la suppression de vos données ?

• La suppression d'un compte sur un site ne garantit pas que toutes les copies de vos données ont disparu des systèmes de ses prestataires ou partenaires. La situation dépend des flux de données, des rôles de chaque organisme et des règles de conservation applicables.
• Un vendor publicitaire peut traiter des identifiants ou des informations de navigation associés à un site que vous avez visité, même si vous n'avez jamais créé de compte chez ce vendor.
• Un data broker peut détenir des informations vous concernant obtenues auprès de tiers, indépendamment de votre relation directe avec lui.
• Vous pouvez demander à un organisme de vous indiquer s'il traite vos données et, lorsque les conditions légales sont réunies, demander leur effacement. Certaines données peuvent néanmoins être conservées lorsqu'une exception légale ou une obligation de conservation s'applique.
• Une demande de suppression n'entraîne pas automatiquement la suppression des données détenues par toutes les autres entreprises de la chaîne. Il peut donc être nécessaire d'identifier et de contacter plusieurs organismes séparément.
• Avant d'envoyer une demande, vérifiez la politique de confidentialité et les coordonnées du responsable du traitement. En Europe, le droit à l'effacement prévu par le RGPD s'applique sous certaines conditions et n'est pas absolu.

Liens utiles :

• CNIL : comprendre les cookies et autres traceurs
• CNIL : règles à respecter pour les cookies
• IAB Europe : Transparency and Consent Framework et rôle des vendors
• IAB Europe : ressources et liste des vendors (Global Vendor List)
• CNIL : exemple de sanction concernant un courtier en données
• CalPrivacy : registre et informations sur les data brokers en Californie
• CalPrivacy : plateforme DROP de demande de suppression auprès des data brokers
• CNIL : exercer ses droits sur ses données personnelles