Le YouTubeur espagnol Carles Tamayo a de nouveau touché une corde sensible, avec son style décontracté, drôle et incisif habituel. Dans le dernier épisode de Se nos ha ido de las manos (« Cela nous a échappé »), une série documentaire diffusée pour la première fois sur la télévision publique espagnole en avril 2026, il examine comment les entreprises achètent et vendent des données personnelles.

L’épisode, intitulé El activo eres tú (« L’actif, c’est vous »), pose une question dérangeante : qui détient nos données, et qu’en fait-on ? Et à quoi sommes-nous prêts à renoncer en échange de la promesse d’un service gratuit ? Après avoir reçu des appels indésirables d’entreprises qui en savaient trop sur lui, Tamayo a transformé sa propre société de production en courtier en données pour voir de l’intérieur comment les données personnelles sont collectées et échangées.

Voici comment fonctionne le commerce des courtiers en données, et quels droits le GDPR (règlement général sur la protection des données) vous confère.

Ce qu’est un courtier en données et comment il gagne de l’argent

Un courtier en données est une entreprise qui collecte, analyse et vend des informations sur des personnes et des organisations. Ce qui rend ces informations précieuses pour les acheteurs, c’est la façon dont elles peuvent être combinées et analysées. Habitudes, centres d’intérêt, données de localisation et autres signaux peuvent être assemblés, de plus en plus avec l’aide de l’IA, pour former quelque chose d’exploitable. Les courtiers en données vendent la matière première qui permet de dresser le profil de presque n’importe qui.

Dans le reportage de Tamayo, par exemple, un courtier en données lui propose des informations sur des personnes ayant récemment eu un bébé. Ces nouveaux parents avaient communiqué leurs informations à l’hôpital en échange de leur participation à un tirage au sort de produits pour nouveau-nés.

Les courtiers en données collectent généralement des adresses e-mail, des adresses IP(nouvelle fenêtre), une localisation approximative, les achats en ligne, les recherches sur internet, les centres d’intérêt sélectionnés dans une application et les appareils utilisés.

Vous êtes-vous déjà demandé, en recevant un appel d’un opérateur téléphonique (ou de n’importe quelle entreprise), où elle avait bien pu obtenir votre numéro ? C’est plus simple que vous ne le pensez. Les cookies, les applications mobiles et les formulaires en ligne peuvent collecter vos informations et les transmettre à des courtiers en données. Les sources hors ligne aussi, comme les cartes de fidélité, les tirages au sort et les registres publics.

Ce que sont les cookies et à quoi ils servent

Vous les avez vus sur chaque site internet que vous visitez : une petite fenêtre pop-up vous demandant d’accepter ou de refuser les cookies. Vous la survolez probablement, vous acceptez les cookies(nouvelle fenêtre) et passez à autre chose, sans jamais vous demander ce que sont réellement les cookies(nouvelle fenêtre) ni ce que vous venez d’autoriser les entreprises à faire de vos données.

Les cookies sont de petits fichiers qu’un site internet stocke dans votre navigateur pour mémoriser des informations sur votre visite. Ceux qui intéressent les courtiers en données sont les cookies publicitaires, conçus pour établir des profils comportementaux et diffuser des publicités personnalisées.

Mais vous pouvez désormais être suivi par des méthodes qui vont bien au-delà des cookies. L’empreinte numérique du navigateur, par exemple, crée une signature unique à partir des caractéristiques de votre appareil, tandis que le suivi inter-sites suit votre activité d’un site internet à l’autre. Sur mobile, les identifiants publicitaires font quelque chose de similaire en associant votre comportement à un identifiant persistant.

Refuser les cookies améliore la protection de votre vie privée, sans pour autant la garantir pleinement. Et dès que vous commencez à vous demander où vont vos données, qui les détient et comment elles sont utilisées, vous en venez forcément à vous demander si le commerce de vos données est même légal.

Comment le GDPR vous protège

Le GDPR est le règlement de l’Union européenne qui encadre la façon dont les organisations et les entreprises collectent, utilisent, partagent et stockent les données personnelles de toute personne se trouvant dans l’UE. Il s’applique aussi aux entreprises établies hors de l’UE qui ciblent des personnes qui s’y trouvent. En Espagne, le respect de ces règles est contrôlé par l’Agence espagnole de protection des données (AEPD), qui traite également les plaintes lorsqu’une entreprise porte atteinte à ces droits.

Le GDPR consacre plusieurs droits fondamentaux :

Droit d’accès : savoir quelles données personnelles une entreprise détient sur vous, ce qu’elle en fait, à qui elle les a transmises et où elle les a obtenues. Vous pouvez aussi en demander une copie.

Droit de rectification : faire corriger des informations inexactes ou obsolètes.

Droit à l’effacement : connu sous le nom de « droit à l’oubli », il vous permet de demander la suppression de vos données lorsque l’entreprise n’en a plus besoin, lorsque vous retirez votre consentement ou vous opposez à leur utilisation, ou lorsqu’elles ont été traitées de manière illicite.

Droit d’opposition : refuser certains types de traitement, comme l’utilisation de vos données à des fins publicitaires. Pour le marketing direct, ce droit est absolu : dès que vous vous y opposez, l’entreprise doit cesser.

Droit à la portabilité des données : recevoir les données personnelles que vous avez fournies à une entreprise dans un format structuré, couramment utilisé et lisible par machine, afin de pouvoir les transférer à un autre prestataire. Ce droit s’applique lorsque l’entreprise traite vos données sur la base de votre consentement ou d’un contrat, par des moyens automatisés.

Le GDPR confère aux personnes des droits opposables, assortis d’amendes, mais beaucoup ignorent qu’elles peuvent exercer ces droits gratuitement. Une entreprise ne peut facturer des frais ou refuser que si la demande est manifestement infondée ou excessive.

Comme le montre le reportage de Tamayo, il existe un large fossé entre les garanties offertes par la loi et ce que le citoyen moyen sait de la protection de ses informations personnelles. Ce fossé rend plus difficile l’utilisation des outils juridiques à leur disposition et la reprise du contrôle de leurs données.

Comment faire valoir vos droits GDPR face aux courtiers en données

Les droits ci-dessus ne servent à rien si vous ne les exercez pas. Aucun d’eux ne nécessite d’avocat ni de formulaire spécial : un message au contact chargé de la protection des données de l’entreprise suffit.

Demandez d’où viennent vos données. Si une entreprise vous contacte alors que vous ne lui avez jamais fourni vos informations, demandez-lui sa source. Au titre du droit d’accès, elle doit vous répondre, et cette réponse mène souvent directement à un courtier en données.

Envoyez une demande d’accès. Demandez à l’entreprise ou au courtier quelles données il détient sur vous, ce qu’il en fait et à qui il les a transmises, et demandez-en une copie. La demande est gratuite et l’entreprise doit répondre sous un mois. Elle peut prolonger ce délai de deux mois pour les demandes complexes, mais doit vous en informer.

Opposez-vous et demandez l’effacement. Dans le même message, vous pouvez vous opposer à l’utilisation de vos données à des fins marketing et demander leur suppression. L’entreprise doit aussi transmettre la suppression à tous ceux auxquels elle a transmis vos données, sauf si cela est impossible ou exigerait un effort disproportionné.

Inscrivez-vous sur la Lista Robinson. En Espagne, les entreprises qui envoient du marketing direct doivent consulter cette liste d’opposition publicitaire avant de vous contacter. L’inscription est gratuite.

Déposez une plainte auprès de l’AEPD. Si une entreprise vous ignore, refuse sans motif valable ou dépasse le délai, vous pouvez déposer une plainte gratuite auprès de l’Agence espagnole de protection des données.

Limiter ce que les courtiers en données peuvent collecter dès le départ

Vos droits GDPR permettent de nettoyer ce qui existe déjà. Quelques habitudes simples réduisent la quantité de nouvelles données qui parviennent aux courtiers.

Passez en revue les autorisations de vos applications et désactivez tout accès dont une application n’a pas besoin pour fonctionner, en particulier celles qui accèdent à votre localisation, vos contacts ou vos photos.

Refusez les cookies non essentiels. Sur les sites internet de l’UE, refuser doit être aussi simple qu’accepter, et cela bloque les cookies publicitaires qui alimentent les profils comportementaux.

Restez déconnecté des sites internet et des services lorsque vous ne faites que naviguer. Lorsque vous êtes connecté à Google, YouTube, Amazon ou à un site d’actualités, tout ce que vous recherchez, regardez, lisez ou achetez est rattaché à votre compte. Naviguer déconnecté donne moins de prise aux entreprises pour vous associer.

Utilisez un navigateur axé sur la protection de la vie privée, comme Firefox ou Brave, qui bloquent de nombreux traqueurs par défaut. Vous pouvez aussi explorer des navigateurs web européens alternatifs axés sur la protection de la vie privée.

Passez à Proton Mail, notre service de messagerie privé et sécurisé, qui ne peut pas lire vos messages et ne scanne pas votre boîte de réception à des fins de publicité, de suivi ou de surveillance. Il bloque aussi les pixels de suivi, que les spécialistes du marketing utilisent généralement pour savoir quand vous ouvrez un message (entre autres indicateurs).

Utilisez un VPN(nouvelle fenêtre) pour masquer votre adresse IP aux sites internet, aux applications et aux réseaux publicitaires, afin qu’ils ne puissent pas s’en servir pour estimer votre localisation ou relier votre activité d’un site à l’autre. Proton VPN dispose aussi d’une fonctionnalité appelée NetShield, qui bloque les publicités et les traqueurs avant qu’ils ne se chargent. Il applique une politique de non-journalisation (no log)(nouvelle fenêtre) auditée indépendamment, et ne conserve donc aucune trace de votre activité en ligne.

Utilisez un gestionnaire de mots de passe chiffré pour créer des mots de passe robustes et uniques, afin qu’un compte compromis n’expose pas les autres. Proton Pass vous offre aussi des alias hide-my-email pour les newsletters, les tirages au sort et les boutiques en ligne. Si l’un d’eux commence à recevoir des spam, vous pouvez voir qui l’a peut-être partagé ou divulgué, puis désactiver l’alias.

Comme le montre clairement le reportage de Tamayo, les courtiers en données font partie d’un modèle économique bâti sur nos données. Mais le GDPR et les outils qui protègent notre vie privée nous donnent les moyens de reprendre le contrôle. L’objectif n’est pas de disparaître d’internet, mais de décider consciemment qui est autorisé à accéder à nos données, et pour quelle raison.