Les réglages techniques limitent ce qui sera collecté demain. Ils ne font rien pour les données qui circulent déjà, assemblées en profils et revendues d'une entreprise à l'autre. C'est le domaine des courtiers en données, un secteur discret dont le métier est de collecter, croiser et louer des informations personnelles. Cette fiche complète le guide consacré à la protection de la vie privée sur internet par le volet juridique : d'où viennent ces données, ce que le droit européen vous permet d'exiger, comment formuler une demande efficace et que faire si elle reste sans réponse.
Qui sont les courtiers en données
Le terme recouvre plusieurs métiers. Les loueurs de fichiers proposent aux annonceurs des listes de coordonnées sélectionnées selon des critères d'âge, de lieu de résidence ou de consommation, pour des campagnes postales, téléphoniques ou par e-mail. Les fournisseurs de segments d'audience vendent aux régies publicitaires des catégories de personnes, amateurs de randonnée, jeunes parents, propriétaires récents, construites à partir de la navigation et des achats. Les spécialistes de la résolution d'identité relient entre eux les identifiants d'une même personne, cookie, identifiant publicitaire, adresse e-mail transformée en code, pour qu'un annonceur puisse la reconnaître partout.
Aux États-Unis, ces acteurs fournissent aussi des données de solvabilité, d'emploi ou de location. En France, ce volet est très différent : il n'existe pas d'agence privée de notation du crédit des particuliers comparable aux agences américaines, et les seuls fichiers bancaires de ce type, comme le fichier des incidents de remboursement des crédits, sont tenus par la Banque de France dans un cadre légal strict. Les courtiers actifs en Europe relèvent donc surtout du marketing, ce qui ne les rend pas inoffensifs : un profil commercial détaillé expose aux sollicitations, aux arnaques ciblées et aux fuites de données.
D'où viennent vos données
Dans la plupart des cas, vous avez donné vos coordonnées vous-même, sans mesurer à qui. Les sources les plus courantes sont les suivantes :
- les formulaires qui comportent une case d'accord pour recevoir les offres des partenaires, parfois formulée de manière ambiguë ;
- les jeux-concours, dont l'objet réel est souvent la collecte de coordonnées qualifiées ;
- les programmes de fidélité, qui associent votre identité à l'historique détaillé de vos achats ;
- les abonnements à des magazines, des associations ou des services, dont les fichiers peuvent être loués ;
- les données publiques ou rendues publiques, annuaires, profils de réseaux sociaux, avis en ligne ;
- la navigation, par les cookies et les pixels qui alimentent les segments publicitaires, et par l'adresse e-mail utilisée pour vous connecter aux sites.
Ce dernier point est devenu central depuis le recul des cookies tiers. Votre adresse e-mail, transformée en une suite de caractères par un calcul mathématique, sert d'identifiant commun à tous les sites qui la reçoivent. Le calcul donne toujours le même résultat pour la même adresse : il ne protège donc pas l'identité, il la rend seulement moins lisible. Utiliser des adresses différentes selon les usages, par exemple grâce aux alias que proposent plusieurs messageries, casse ce rapprochement.
Vos droits, article par article
Le RGPD s'applique à tout organisme qui traite vos données, y compris quand il les a obtenues sans passer par vous. Une entreprise qui reçoit vos données d'un tiers doit vous en informer d'elle-même, au plus tard dans le mois qui suit, ou lors de son premier contact avec vous. Au-delà de cette obligation, vous disposez des droits suivants.
| Droit | Article du RGPD | Ce que vous obtenez |
|---|---|---|
| Accès | Article 15 | Une copie de vos données, leur source, leurs destinataires, la finalité et la durée de conservation |
| Opposition | Article 21 | L'arrêt de toute prospection commerciale, sans avoir à vous justifier |
| Effacement | Article 17 | La suppression de vos données, notamment après une opposition ou un retrait du consentement |
| Retrait du consentement | Article 7 | La fin des traitements fondés sur un accord, aussi simplement qu'il a été donné |
| Rectification | Article 16 | La correction de données inexactes |
L'organisme dispose d'un mois pour répondre, délai qu'il peut prolonger de deux mois en cas de complexité, à condition de vous en informer et de vous expliquer pourquoi dans le premier mois. La démarche est gratuite. L'organisme ne peut exiger une pièce d'identité qu'en cas de doute raisonnable sur votre identité, et non par principe. Le droit d'opposition à la prospection est absolu : l'entreprise n'a pas à apprécier vos raisons, elle doit cesser.
Un modèle de demande
Adressez la demande au délégué à la protection des données de l'entreprise, dont les coordonnées figurent dans sa politique de confidentialité, ou à défaut à son service client. Un e-mail suffit ; conservez-en une copie datée. Le texte suivant couvre l'accès, la source et l'opposition en une seule fois.
Objet : demande d'accès et opposition, articles 15 et 21 du RGPD
Madame, Monsieur,
En application de l'article 15 du règlement général sur la protection des données, je vous demande de me communiquer l'ensemble des données personnelles me concernant que vous détenez, la source dont vous les tenez, les destinataires auxquels vous les avez transmises et leur durée de conservation.
En application de l'article 21, je m'oppose à tout traitement de mes données à des fins de prospection commerciale, y compris leur transmission à des partenaires, et vous demande de les effacer dès que l'opposition aura été prise en compte, conformément à l'article 17.
Je vous rappelle que vous disposez d'un délai d'un mois pour répondre. Mes coordonnées, pour me retrouver dans vos fichiers : nom, prénom, adresse e-mail et, le cas échéant, adresse postale ou numéro de téléphone concernés.
Remonter la chaîne
La réponse à la question de la source est souvent la plus utile. Si l'entreprise indique avoir obtenu vos coordonnées auprès d'un partenaire, adressez la même demande à ce partenaire, et ainsi de suite. Cette remontée révèle fréquemment un jeu-concours oublié ou une case cochée lors d'un achat, et l'opposition exercée à la source tarit tous les flux qui en découlent. Les données issues de la navigation se traitent différemment : refusez le consentement sur les bannières, bloquez les cookies tiers et installez un bloqueur de pistage, pour que les segments ne soient plus alimentés.
Démarchage téléphonique, courrier et e-mail
Chaque canal obéit à des règles propres. Pour l'e-mail, la prospection d'un particulier exige son consentement préalable, sauf s'il est déjà client et que les offres portent sur des produits analogues. Pour le téléphone, une loi du 30 juin 2025 a fait basculer le démarchage vers un régime de consentement préalable, applicable depuis le 11 août 2026 : un professionnel ne peut plus vous appeler à des fins commerciales sans votre accord, sauf pour un contrat en cours d'exécution, et la liste d'opposition Bloctel a été supprimée. Pour le courrier postal adressé, la liste Robinson, gérée par la profession du marketing direct, permet de demander à ne plus recevoir de prospection de ses adhérents, et l'autocollant Stop Pub sur la boîte aux lettres vise les imprimés non adressés.
Sur un smartphone, les applications constituent une autre source importante de données revendues, en particulier la localisation. Les réglages correspondants sont détaillés dans la fiche sur la vie privée sur smartphone.
Si l'entreprise ne répond pas
Sans réponse dans le délai, ou face à une réponse incomplète, vous pouvez saisir la CNIL. La plainte est gratuite et se dépose en ligne sur son site ; joignez-y la copie de votre demande et des éventuels échanges. La CNIL ne traite pas chaque plainte par une sanction, mais elle intervient auprès de l'organisme, et les plaintes répétées contre un même acteur nourrissent ses contrôles. Ses sanctions récentes dans le secteur publicitaire, comme celle de 40 millions d'euros prononcée en 2023 contre la régie Criteo, montrent que le manque de preuve du consentement est pris au sérieux.
Les services payants de suppression
Des services proposent, contre abonnement, de contacter les courtiers en votre nom. Ils sont surtout conçus pour le marché américain, où les droits sont plus faibles et dispersés entre États. En Europe, ils présentent deux limites : ils couvrent mal les acteurs locaux, et ils exigent que vous leur confiez vos données et un mandat. Les droits du RGPD sont gratuits et opposables ; exercés directement auprès des quelques entreprises qui vous sollicitent le plus, ils donnent un résultat plus solide.
À retenir
Demandez la source de vos données à ceux qui vous sollicitent, opposez-vous à la prospection et remontez la chaîne jusqu'à l'origine. Un mois de délai, aucune justification à fournir, aucun coût : le RGPD est l'outil le plus efficace contre les courtiers, et le seul qui agit sur le passé.