Pas besoin de créer un compte sur un site pour que vos données soient collectées. Parfois, le simple fait de résoudre un CAPTCHA ou de cliquer sur une vidéo intégrée à une page web suffit à déclencher des échanges de données avec des services tiers. Ces mécanismes peuvent répondre à des objectifs légitimes, comme la lutte contre les robots, la prévention de la fraude ou la sécurisation des sites web. Mais un paradoxe apparaît : ce qui contribue à protéger un service peut aussi exposer davantage les utilisateurs à la collecte de leurs données personnelles.
Car il n'est pas nécessaire d'avoir une intention malveillante pour provoquer une fuite de données. Une erreur humaine, une mauvaise configuration ou une faille de sécurité peuvent suffire à exposer des informations parfois très sensibles. Ainsi, même lorsqu'une entreprise agit de bonne foi, les données qu'elle collecte et conserve peuvent représenter un risque pour les personnes concernées. Ce risque est d'autant plus difficile à appréhender lorsque la collecte s'effectue en arrière-plan, par l'intermédiaire de services tiers dont les utilisateurs ignorent parfois jusqu'à l'existence.
Ces acteurs, que l'on pourrait qualifier d'« invisibles », interviennent sur de nombreux sites web afin de fournir des fonctionnalités, de mesurer l'audience, de prévenir la fraude ou de reconnaître certains appareils. Grâce à différentes techniques d'identification, notamment le fingerprinting — ou empreinte numérique du navigateur et de l'appareil —, ils peuvent distinguer un appareil et associer plusieurs interactions à un même profil, sans qu'un compte utilisateur soit nécessairement créé auprès d'eux.
Certes, ces services ne connaissent pas toujours directement votre nom ou votre adresse e-mail. Ils peuvent se contenter d'identifiants techniques ou de données présentées comme anonymes ou pseudonymisées. Cependant, une adresse IP, une empreinte numérique ou d'autres caractéristiques techniques peuvent contribuer à distinguer un appareil et, lorsqu'elles sont associées à des informations complémentaires, faciliter l'identification d'une personne.
Le risque ne se limite donc pas aux données directement identifiantes. Des informations qui semblent inoffensives lorsqu'elles sont isolées peuvent devenir beaucoup plus révélatrices lorsqu'elles sont croisées avec d'autres données. Si plusieurs organisations subissent des fuites de données, des rapprochements entre leurs bases peuvent, dans certaines circonstances, permettre de relier des identifiants techniques à des informations personnelles. Les progrès des outils d'analyse, notamment ceux fondés sur l'intelligence artificielle, peuvent faciliter certains de ces rapprochements, sans pour autant garantir qu'une réidentification sera toujours possible.
Imaginons un exemple concret. Vous visitez le site A, qui fait appel à un service tiers B. Ce dernier recueille certaines informations techniques sur votre appareil, notamment une empreinte numérique. Plus tard, vous créez un compte sur le site C, qui collecte votre adresse e-mail et utilise des techniques permettant également de reconnaître votre appareil. Le service B et le site C subissent ensuite chacun une fuite de données.
Si les informations exposées sont suffisamment compatibles et que l'empreinte numérique est assez stable et distinctive, un rapprochement entre les deux bases peut permettre d'associer les données techniques recueillies par B à l'adresse e-mail détenue par C. Des informations collectées dans un contexte où vous ne vous êtes jamais inscrit auprès du service B pourraient alors être reliées à votre identité.
Cet exemple illustre un risque fondamental de la collecte indirecte : la multiplication des acteurs qui détiennent des fragments de données sur vous peut accroître les possibilités de rapprochement et de réidentification, même lorsque chaque acteur, pris isolément, semble ne disposer que d'informations limitées.