On vous vend sans que vous le sachiez

Difficile de passer à côté : cette semaine, les données fiscales de 678 000 Français (particuliers et professionnels) ont été mises en vente sur le dark web. Puis une deuxième fuite, sur le cadastre. Puis une troisième, sur les successions.

Le sujet a été largement couvert par les médias, et par des spécialistes de la cybersécurité. Vous regardez sans doute la scène avec une forme d’impuissance. Je vous propose cette semaine d’aborder un thème connexe, mais sur lequel vous avez plus de pouvoir.

Vous ne pouviez rien faire pour empêcher le piratage des données du fisc. Mais il existe une autre catégorie de dossiers sur vous. Ceux-là, vous pouvez les faire disparaître, et presque personne ne le fait. Regardons ça.

Les entreprises dont vous n’avez jamais entendu le nom

En ce moment même, des entreprises dont vous n’avez jamais entendu le nom détiennent un dossier sur vous : adresse, revenus estimés, situation familiale, habitudes d’achat. On les appelle les courtiers en données. Vous n’êtes pas leur client : vous êtes leur marchandise. Un seul d’entre eux, People Data Labs, revendique des fiches sur plus de 1,5 milliard de personnes, avec des centaines de millions de numéros de téléphone.

Chaque copie de vos informations qui traîne quelque part, c’est une fuite de plus qui attend son pirate. Rappel qui n’en est plus un au vu de l’actualité : quand un voleur de données connaît votre adresse, le prénom de vos proches et vos derniers achats, son coup de fil du « faux conseiller bancaire » devient très difficile à détecter.

La bonne nouvelle : en Europe, ces données vous appartiennent

Vous pouvez exiger la suppression de ces profils, gratuitement.

Le RGPD vous donne le droit à l’effacement (son article 17). Concrètement :

Vous écrivez au courtier, souvent un simple e-mail à son adresse « privacy » ou « dpo ».
Vous invoquez l’article 17 et demandez la suppression de vos données.
L’entreprise a quelques mois pour s’exécuter
Silence ou refus injustifié ? La plainte à la CNIL est gratuite et se fait en ligne.

Signe des temps, la Californie, patrie des courtiers, vient d’ouvrir un guichet unique de suppression.

Le problème : comment savoir qui possède vos données ? Comment déterminer la liste des courtiers ?

Il existe des services (payants) qui le font à votre place

Vous avez peut-être entendu parler d’Incogni, de DeleteMe ou d’Optery. Ces services font une chose : ils envoient ces demandes de suppression à votre place, à des centaines de courtiers d’un coup, et les renouvellent dans le temps (car les courtiers reconstituent souvent leurs bases).

Ils n’ont aucun pouvoir que vous n’avez pas. Ils vous vendent du temps et de la régularité. Ça peut valoir le coup si vous voulez vous simplifier la vie : comptez environ 8 €/mois pour Incogni en formule annuelle, avec l’avantage d’une vraie couverture européenne. Mais payez en connaissance de cause, pas par crainte de ne pas pouvoir le faire seul. Sur les formules premium, vous pouvez en plus donner des pages web spécifiques à supprimer, et ils s’en chargent pour vous.

Le geste de la semaine

Cherchez votre nom sur le web. Repérez un annuaire ou un site web qui vous liste.
Trouvez son adresse de contact « vie privée ».
Envoyez une demande d’effacement au titre de l’article 17 du RGPD. Un paragraphe suffit, des modèles existent en ligne.

Attention quand même : n’apparaitront dans les résultats de recherche que les bases de données publiques. La plupart des brokers ne rendent pas disponibles les profils qu’ils ont collectés. D’où l’approche par des services payants si vous le souhaitez.

L’actualité des cyberattaques ne va sans doute pas ralentir, facilitées par l’IA. Essayez de limiter la diffusion de vos données au maximum. Votre véritable date de naissance est-elle utile pour un site de e-commerce ? Votre e-mail doit-il être toujours le même ? Et votre adresse postale sur un site américain de vente de services digitaux ?

Pas de la parano digitale. De l’hygiène numérique.

Vu cette semaine (en bref)

L’interdiction des réseaux sociaux avant 15 ans ne s’appliquera pas à la rentrée. Je vous en parlais il y a deux semaines : le Conseil constitutionnel a rendu sa décision le 14 août, et il a censuré le texte. Pas sur le principe, les Sages reconnaissent qu’on peut limiter l’accès des mineurs. Sur la méthode : une interdiction trop large, aucune distinction selon l’âge ou la maturité, aucune place laissée à la décision des parents, et surtout aucune garantie sérieuse sur la vérification d’âge. Car pour prouver qu’un internaute a plus de 15 ans, il faut bien collecter quelque chose. Retour à la case départ.
ChatGPT enregistre désormais vos clics et vos frappes clavier. Sauf en Europe. La nouvelle fonction « Computer History » de l’application Mac construit une mémoire de tout ce que vous faites sur votre ordinateur, stockée en clair sur le disque. OpenAI conseille elle-même de la couper pour vos conversations privées et vos apps bancaires. Elle n’est pas disponible dans l’Union européenne. Quand on vous dit que le RGPD « freine l’innovation », c’est ce genre d’innovation qu’il freine. Pas plus mal selon moi.
Le même jour : Meta au tribunal, OpenAI lance ChatGPT pour ados. Mardi 18 août, 29 États américains ont ouvert leur procès contre Meta, accusé d’avoir conçu Facebook et Instagram pour rendre les jeunes accros. Quelques heures plus tard, OpenAI lançait sa version de ChatGPT pour les 13-17 ans, avec contrôles parentaux et garde-fous renforcés. Le procès dure six semaines, je vous tiens au courant, il pourrait être historique.

À la semaine prochaine,

Guillaume

Sources :

La fuite des impôts, vous n'y pouviez rien. Celles-là, si.