Qu'est-ce qu'un courtier de données ? Définition et droits

Un courtier en données, c'est quoi concrètement ?

Imaginez que votre téléphone sonne pour une offre d'assurance que vous n'avez jamais demandée. Ou que vous recevez un message publicitaire d'une société dont vous ignorez tout. Souvent, une chaîne d'entreprises se cache derrière : certaines collectent vos coordonnées, d'autres les achètent, d'autres encore les utilisent.

Un courtier en données (data broker en anglais) est l'un des maillons de cette chaîne. C'est une entreprise qui collecte des données personnelles et les revend ou les transmet à d'autres. La CNIL, l'autorité française qui veille à la protection des données personnelles, parle d'un écosystème comportant de nombreux intermédiaires, que l'on appelle courtiers en données.

Cet article s'appuie sur deux textes de la CNIL : une sanction prononcée contre une société du secteur, et une page consacrée à la réutilisation de données publiquement accessibles pour du démarchage commercial. Nous n'allons pas plus loin que ce que ces textes disent.

Deux façons de collecter vos données

Les documents de la CNIL décrivent deux cas très concrets.

Les jeux-concours et les tests de produits

La société sanctionnée, TAGADAMEDIA, exploite principalement des sites de jeux-concours et de tests de produits. Vous remplissez un formulaire pour participer. Vos données sont ensuite transmises à des partenaires de la société pour de la prospection commerciale, c'est-à-dire pour vous proposer des produits ou des services.

Le point important : en cochant ou en cliquant, vous pensez participer à un concours. Vous donnez peut-être, sans bien le voir, l'autorisation de transmettre vos données à d'autres.

Les annonces et les annuaires en ligne

La seconde source décrit des sociétés qui récupèrent des données d'internautes sur des sites web. Les plaintes reçues par la CNIL visent par exemple des sociétés qui collectent des numéros de téléphone figurant dans des annonces entre particuliers ou dans des annuaires en ligne.

Elles utilisent pour cela des logiciels d'extraction (web scraping en anglais). Ces outils collectent automatiquement des coordonnées dans les espaces publics d'Internet. La CNIL cite deux exemples :

• les sociétés spécialisées dans la « pige immobilière » : elles consultent les annonces en ligne, relèvent les coordonnées de ceux qui les ont publiées, puis vendent ces listes à des agences immobilières ou à des sociétés de services qui démarchent ensuite ces personnes ;
• les sociétés qui collectent pour leur propre compte les données d'un secteur géographique dans les annuaires en ligne, puis font elles-mêmes du démarchage, par exemple pour vendre des produits d'assurance.

« Public » ne veut pas dire « libre d'usage »

C'est l'idée la plus utile à retenir. Beaucoup de gens pensent : « Mon numéro est sur une annonce, donc n'importe qui peut s'en servir. » La CNIL dit le contraire.

Ces données, même publiquement accessibles, sont des données personnelles. Elles ne sont donc pas librement réutilisables par tout responsable de traitement. Elles ne peuvent pas non plus être réexploitées à l'insu de la personne concernée.

La CNIL donne un exemple parlant. Un particulier qui dépose une annonce sur un site de ventes entre particuliers ne s'attend pas raisonnablement à être prospecté par un professionnel. Ses données ne peuvent donc pas être traitées à cette fin sans son consentement.

Ce que le droit impose à ces acteurs

Le cadre est le règlement européen sur la protection des données, le RGPD. D'après les deux textes, voici ce qu'il demande à une société qui réutilise des données pour du démarchage.

• Un consentement valable. Il doit être libre, spécifique, éclairé et univoque. Accepter de façon générale les conditions d'utilisation d'un service ne suffit pas à constituer un consentement spécifique.
• Une information claire. La société doit fournir les informations prévues à l'article 14 du RGPD, notamment la source des données, au plus tard lors de la première communication avec la personne. Cette information doit être concise, compréhensible et facile d'accès.
• Le respect du droit d'opposition. Une société ne doit pas démarcher les personnes qui se sont déjà opposées à ses sollicitations. Pour le démarchage téléphonique, les logiciels doivent éviter de collecter les données des personnes inscrites sur des listes anti-prospection ou sur Bloctel.
• Une collecte limitée. Les données collectées doivent se réduire au strict nécessaire. La CNIL demande une vigilance particulière pour les informations sensibles, comme la santé, la religion ou l'orientation sexuelle.
• Un cadre contractuel avec les prestataires. Quand un prestataire agit comme sous-traitant, le contrat doit respecter l'article 28 du RGPD.

La CNIL a constaté, lors de contrôles menés en 2019, plusieurs manquements : l'absence d'information des personnes démarchées, en particulier sur la source des données, le défaut de consentement avant un démarchage par message électronique ou par automate d'appel, et le non-respect du droit d'opposition.

Ce que la sanction contre TAGADAMEDIA a montré

Le 29 décembre 2023, la CNIL a sanctionné TAGADAMEDIA d'une amende de 75 000 euros. Elle lui reprochait notamment d'avoir collecté des données de prospects sans consentement valide, à cause de l'apparence trompeuse de ses formulaires.

Selon la CNIL, deux détails posaient problème :

• le bouton pour accepter était mis en valeur, contrairement à celui pour refuser ;
• le texte était incomplet et affiché en taille réduite.

Ces choix incitaient fortement à accepter la transmission des données aux partenaires. Un nouveau formulaire, transmis pendant la procédure, ne permettait toujours pas de recueillir un consentement valide selon la CNIL.

La CNIL a aussi relevé un manquement à l'article 30 du RGPD. Le registre des activités de traitement de la société, partagé avec une seconde société, ne précisait pas laquelle des deux était responsable du traitement. Elle a enfin demandé à la société de mettre en place un formulaire de collecte conforme dans un délai d'un mois, sous peine de 1 000 euros par jour de retard.

Une précision sur la suite. Par une décision du 20 mai 2026, le Conseil d'État a ramené l'amende à 50 000 euros. Sa raison est de procédure : la formation restreinte de la CNIL avait remplacé un manquement à l'article 5 du RGPD, retenu dans le rapport de sanction, par un manquement à l'article 6, sans que la société puisse présenter ses observations sur ce point.

Pourquoi cela vous concerne

Participer à un jeu-concours, publier une annonce ou figurer dans un annuaire en ligne : ces gestes ordinaires correspondent aux situations décrites par la CNIL. Vos coordonnées peuvent ensuite servir à vous démarcher par téléphone ou par message, parfois par des sociétés dont vous n'avez jamais entendu parler.

Les textes de la CNIL montrent que ces pratiques existent et qu'elles font l'objet de contrôles et de sanctions. Ils ne permettent pas, en revanche, de savoir qui détient quelles informations sur vous.

Ce que vous pouvez faire

Voici des gestes simples, qui découlent de ce que la CNIL rappelle.

1. Lire les formulaires avec attention. Si un bouton « accepter » est très visible et que l'option de refus est discrète, ou si le texte est minuscule, prenez le temps de lire avant de cliquer. C'est précisément ce que la CNIL a sanctionné.
2. Vous inscrire sur une liste anti-prospection. La CNIL cite Bloctel et les listes proposées par les opérateurs téléphoniques pour le démarchage par téléphone.
3. Vous opposer au démarchage. Le RGPD prévoit un droit d'opposition (article 21). Une société ne doit pas démarcher une personne qui s'est déjà opposée à ses sollicitations.
4. Demander d'où viennent vos données. Une société qui vous contacte doit vous informer de la source des données, au plus tard lors du premier contact.
5. Savoir ce qui est visible à votre sujet. C'est le point de départ pour décider quoi faire ensuite.

Ce que l'analyse Remove Me peut vous montrer, et ce qu'elle ne montre pas

L'analyse de Remove Me est gratuite et ne demande aucun compte. Vous saisissez vos informations. Le service cherche ensuite dans les résultats web publiquement visibles, dans les fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données. Il vous présente un bilan, que vous déverrouillez avec un code à 6 chiffres reçu par e-mail.

Deux limites à garder en tête :

• Un bilan vide ne prouve pas qu'aucune information n'existe à votre sujet. L'analyse ne voit que ce qui est publiquement accessible ou déjà connu.
• Remove Me n'envoie pas encore de demandes d'effacement à votre place. Le bilan vous aide à voir, pas à effacer.

Pour garder la main, le plus simple est de commencer par voir ce que le web sait de vous.