Courtiers de données : qui revend vos données personnelles

Un courtier de données est une société qui achète, recoupe et revend des profils de consommateurs sans jamais avoir été en relation directe avec eux. Trois articles du RGPD vous permettent de reprendre la main : l'article 15 pour connaître l'origine de votre fiche, l'article 21 pour interdire toute prospection, l'article 17 pour en exiger l'effacement.

Un métier dont vous n'avez jamais entendu parler et qui vous connaît

La plupart des gens imaginent que leurs données commerciales appartiennent aux entreprises chez lesquelles ils ont acheté quelque chose. C'est une représentation incomplète. Entre l'endroit où vos informations sont saisies et celui d'où part la sollicitation que vous recevez, il existe un étage intermédiaire, occupé par des sociétés que vous ne connaissez pas et dont vous n'êtes pas client : les courtiers de données, ou data brokers dans le vocabulaire du secteur.

Le pont terminologique le plus juste est celui du commerce de gros. Un grossiste alimentaire n'a jamais cultivé un légume ni servi un client final : il achète en volume, trie, reconditionne, et revend à ceux qui font face au public. Un courtier de données procède de la même manière, avec de l'information sur des personnes. Il acquiert des lots auprès de collecteurs, il les recoupe pour enrichir chaque ligne, puis il commercialise le résultat auprès d'annonceurs, de centres d'appels ou d'autres courtiers. La marchandise, c'est vous, sous une forme réduite à une ligne de tableur.

Ce circuit comporte trois maillons qu'il est utile de distinguer, parce que vos droits ne s'exercent pas au même endroit selon le maillon visé :

• Les collecteurs : sites de jeux-concours, plateformes de tests de produits, comparateurs, formulaires de devis en ligne, questionnaires de satisfaction. Leur modèle économique n'est pas le cadeau annoncé, c'est le formulaire que vous remplissez pour l'obtenir.
• Les intermédiaires : les courtiers proprement dits, qui achètent ces lots, les fusionnent, éliminent les doublons, ajoutent des attributs déduits (tranche d'âge, statut de propriétaire, appétence supposée pour un produit) et revendent le tout par segments.
• Les utilisateurs finaux : annonceurs, sociétés de télémarketing, courtiers en assurance ou en travaux. Ce sont eux que vous entendez au téléphone, et ce sont eux que vous accusez, alors qu'ils sont simplement les derniers de la chaîne.

Cette distinction explique une frustration très répandue. Vous demandez à l'entreprise qui vous a appelé de vous supprimer de ses fichiers, elle s'exécute de bonne foi, et un autre appel arrive trois semaines plus tard. Vous avez traité le point de sortie, pas le stock situé en amont. Tant que la ligne existe chez le grossiste, elle continue d'être vendue à de nouveaux acheteurs.

Le point d'entrée réel : le formulaire qui ne ressemble pas à un contrat

En 2022, la prospection commerciale a constitué l'un des thèmes prioritaires de contrôle de la CNIL, qui s'est intéressée en particulier aux intermédiaires procédant à la revente de données. Les décisions publiées depuis dessinent un schéma d'approvisionnement remarquablement homogène, et il ne passe presque jamais par un piratage : il passe par des formulaires que vous avez remplis vous-même.

Le vecteur dominant est le jeu-concours et le test de produit en ligne. Le principe est éprouvé : une page annonce la possibilité de gagner un appareil ou de tester gratuitement un article, le formulaire demande votre identité, votre adresse, votre téléphone et votre date de naissance, et une case ou un bouton acte la transmission de ces informations à des « partenaires ». La liste de ces partenaires existe, elle est parfois accessible derrière un lien discret, et elle comporte régulièrement des dizaines voire des centaines de sociétés. En cliquant, vous n'avez pas accepté une entreprise, vous avez accepté un catalogue.

L'autorité a documenté avec précision la mécanique visuelle qui rend ce consentement fragile. Dans la sanction prononcée le 15 mai 2025 contre la société SOLOCAL MARKETING SERVICES, condamnée à 900 000 euros, la formation restreinte relève que les données provenaient de formulaires de jeux-concours et de tests de produits, et que la mise en valeur des boutons d'acceptation par rapport aux options de refus faisait obstacle à un consentement libre. Plusieurs millions de personnes étaient concernées. La décision s'accompagne d'une injonction assortie d'une astreinte de 10 000 euros par jour de retard, ce qui donne la mesure du sérieux accordé au sujet.

Ce que les décisions de la CNIL révèlent du fonctionnement interne

L'intérêt de ces décisions dépasse largement les entreprises visées. Elles constituent la seule description publique et vérifiée de pratiques qui, par nature, ne sont jamais exposées au consommateur. Trois enseignements méritent d'être connus avant d'écrire à qui que ce soit.

1. La désinscription ne vaut souvent que pour une base, pas pour la société

Le même jour, la CNIL a sanctionné la société CALOGA à hauteur de 80 000 euros. Le dossier contient un détail que peu de gens soupçonnent : l'entreprise exploitait plusieurs bases de données distinctes, et le mécanisme de désinscription proposé dans ses messages ne permettait pas de sortir de l'ensemble d'entre elles en une seule opération. Autrement dit, vous pouviez vous croire désabonné tout en restant présent dans les autres fichiers de la même société. C'est la raison pour laquelle une demande écrite adressée au délégué à la protection des données est structurellement plus efficace qu'un clic sur un lien de bas de page.

2. La durée de conservation peut se prolonger indéfiniment

Toujours dans ce dossier, un point technique mérite votre attention. La durée de conservation des fiches était recalculée à chaque interaction, y compris à la simple ouverture d'un courriel. Un tel réglage produit un effet en boucle : il suffit qu'un message soit affiché, parfois par un simple aperçu automatique, pour que le compteur reparte à zéro et que la fiche reste active. Vous pouvez ainsi figurer dans une base commerciale pendant des années sans avoir jamais répondu à quoi que ce soit.

3. Le contrôle juridictionnel existe, et il tranche dans les deux sens

En décembre 2023, la CNIL avait sanctionné à 75 000 euros la société TAGADAMEDIA, éditrice de sites de jeux-concours et de tests de produits, pour un recueil du consentement jugé non valable : bouton d'acceptation mis en avant, texte de refus réduit et peu lisible. La société a contesté la décision. Par sa décision n° 492836 du 20 mai 2026, le Conseil d'État a ramené l'amende à 50 000 euros. Le motif mérite d'être lu correctement : la réduction sanctionne un défaut de procédure devant la CNIL, celle-ci ayant substitué un fondement juridique à un autre sans permettre à la société de présenter ses observations sur ce point. Il ne s'agit donc pas d'un blanc-seing donné aux formulaires en cause. Retenez surtout l'enseignement pratique : ce contentieux est technique, il se joue entre professionnels, et vous n'avez pas à attendre son issue pour exercer vos droits.

La règle que les acheteurs de fichiers oublient de vous appliquer

Vendre un fichier de clients ou de prospects n'est pas interdit en France. Cette activité est en revanche encadrée par des obligations précises, que la CNIL rappelle dans sa fiche consacrée à la vente de fichiers clients. Deux d'entre elles vous concernent directement, et leur non-respect est facile à constater depuis votre boîte de réception.

La première pèse sur le vendeur : il doit exclure du fichier cédé les personnes qui se sont opposées à la transmission de leurs données à des fins de prospection, et ne conserver les anciens clients que pendant une durée limitée après la fin de la relation commerciale, en principe trois ans. Un fichier proprement constitué est donc un fichier expurgé.

La seconde pèse sur l'acheteur, et c'est celle qui vous donne une prise immédiate : lorsqu'il acquiert des données auprès d'un tiers, il doit informer les personnes concernées dans le mois qui suit, en précisant notamment l'identité de la source dont proviennent ces données. C'est l'origine de ces messages étranges que vous recevez parfois d'une société inconnue expliquant d'où elle tient votre adresse. Loin d'être une formalité insignifiante, cette mention est un fil que vous pouvez tirer : elle désigne le maillon précédent de la chaîne.

La question qui débloque tout le reste : d'où vient ma fiche ?

La plupart des guides vous invitent à demander la suppression. C'est le bon réflexe, mais commencer par là revient souvent à couper une branche pendant que la racine continue d'alimenter l'arbre. Une demande préalable est nettement plus productive : celle de l'origine des données.

Le droit d'accès prévu par l'article 15 du RGPD ne se limite pas à obtenir la copie des informations détenues. Il oblige l'organisme à vous communiquer les finalités du traitement, les catégories de données, les destinataires ou catégories de destinataires, la durée de conservation, et, lorsque les données n'ont pas été collectées auprès de vous, toute information disponible quant à leur source. La CNIL rappelle dans sa fiche sur le droit d'accès que la réponse doit intervenir dans les meilleurs délais et au plus tard sous un mois, ce délai pouvant être porté à trois mois pour les demandes complexes, à condition que vous en soyez informé pendant le premier mois. En l'absence de réponse ou en cas de réponse incomplète, une plainte peut être déposée auprès de l'autorité.

Concrètement, la réponse vous indique quel maillon précède celui auquel vous écrivez. Vous remontez alors d'un cran, vous répétez la demande, et vous finissez généralement par identifier le collecteur d'origine, c'est-à-dire ce jeu-concours rempli il y a quatre ans ou ce formulaire de devis pour des fenêtres. Traiter ce point-là évite que la même fiche ne soit revendue à de nouveaux acheteurs six mois plus tard. C'est la même logique d'inventaire que celle décrite dans notre guide pour retrouver et supprimer vos anciens comptes en ligne : on ne réduit pas une exposition qu'on n'a pas cartographiée.

Vos trois leviers, du plus rapide au plus définitif

Une lettre efficace ne demande pas une chose, elle en demande trois, dans un ordre qui verrouille chaque étape. Voici ce que chacune produit réellement.

• Article 15, le droit d'accès : il vous fait connaître le contenu exact de la fiche, ses destinataires et son origine. C'est votre outil de renseignement, et le seul moyen de savoir jusqu'où votre profil a circulé.
• Article 21, le droit d'opposition : appliqué à la prospection commerciale, il est absolu. Vous n'avez ni motif à donner ni justification à fournir, et l'organisme doit cesser immédiatement le traitement à cette fin. C'est le levier le plus rapide, celui qui arrête les sollicitations pendant que le reste se règle.
• Article 17, le droit à l'effacement : il vise la disparition de la fiche elle-même. C'est le seul des trois qui empêche une revente ultérieure, car une fiche conservée en base reste une fiche commercialisable. Notre récapitulatif de vos droits RGPD expliqués détaille les limites et les exceptions applicables.

Précision utile pour éviter une déception : ces trois droits s'exercent responsable de traitement par responsable de traitement. Une suppression obtenue chez un courtier ne vaut pas chez son concurrent, et n'empêche pas non plus une nouvelle collecte si vous remplissez un formulaire le mois suivant. Le sujet n'est pas juridiquement compliqué, il est arithmétiquement lourd.

La procédure, dans l'ordre où elle fonctionne

Les étapes ci-dessous se suivent, chacune fournissant l'information nécessaire à la suivante. Comptez un cycle d'environ un mois par maillon remonté.

• Dressez la liste des expéditeurs : conservez pendant deux semaines tous les courriels commerciaux non sollicités et notez les appels reçus. Le pied de page des messages mentionne presque toujours une raison sociale, souvent différente de la marque affichée en objet. C'est cette raison sociale qui vous intéresse.
• Écrivez au délégué à la protection des données : l'adresse figure dans la politique de confidentialité du site de la société, généralement sous la forme dpo@ suivi du nom de domaine. Un envoi par courriel suffit, la lettre recommandée n'est utile qu'en cas de litige. Notre lettre type RGPD de suppression de données fournit le formalisme attendu.
• Datez et archivez : conservez une copie de chaque envoi avec sa date. Le délai d'un mois court à compter de la réception de votre demande, et c'est cette date que la CNIL vous demandera en cas de plainte.
• Remontez à la source indiquée : dès que la réponse nomme le fournisseur du fichier, adressez-lui la même demande. C'est l'étape que presque personne ne franchit, et c'est pourtant celle qui coupe l'alimentation.
• Saisissez la CNIL en cas de silence : passé le délai, une plainte en ligne est gratuite et ne nécessite pas d'avocat. Joignez la copie de votre demande initiale et la preuve de son envoi. L'absence de réponse constitue en elle-même un manquement.
• Refermez la porte d'entrée : réservez une adresse alias aux inscriptions commerciales, aux jeux-concours et aux demandes de devis. Votre adresse principale, celle qui commande la réinitialisation de vos comptes bancaires, cesse alors d'être une monnaie d'échange.

Pourquoi la démarche manuelle finit par s'essouffler

Il faut être honnête sur la difficulté, car elle est structurelle et non psychologique. La France ne dispose pas d'un registre public obligatoire des courtiers de données, contrairement à certains États américains où l'enregistrement est une condition d'exercice. Il n'existe donc pas de liste officielle à laquelle se référer : l'identification se fait par recoupement, à partir des sollicitations reçues, des mentions d'origine communiquées et de la connaissance du secteur.

S'ajoute un phénomène de réalimentation permanente. Les fichiers ne sont pas des objets stables : ils sont reconstitués en continu à partir de nouvelles collectes, de fusions de bases et parfois d'ensembles issus de fuites, ces derniers venant enrichir des profils commerciaux existants avec des informations que vous n'aviez transmises à personne. Nous avons décrit ce recyclage dans notre article expliquant comment savoir si votre adresse e-mail est concernée par une fuite. Une suppression obtenue aujourd'hui ne vous protège donc pas d'une réapparition dans un lot constitué l'an prochain.

Enfin, la réglementation avance sur un terrain voisin sans traiter celui-ci. Le régime du démarchage téléphonique bascule vers le consentement préalable, comme nous l'avons analysé dans notre article sur la fin du démarchage téléphonique en août 2026. C'est une avancée réelle sur le canal d'appel, mais elle ne fait disparaître aucun fichier existant. Le stock reste constitué, il change simplement d'usage : moins d'appels, davantage de courriels, de courriers et de ciblage publicitaire.

Traiter le stock plutôt que les symptômes

Il y a une différence de nature entre se défendre contre les sollicitations et réduire la quantité d'informations disponibles à votre sujet. La première approche se renouvelle indéfiniment, la seconde produit un effet cumulatif. Moins votre profil est complet dans les bases commerciales, moins il vaut cher, moins il circule, et moins il alimente les tentatives de fraude qui reposent sur l'exactitude des détails.

C'est le périmètre sur lequel EffaceData travaille. Nous recherchons les courtiers susceptibles de détenir une fiche à votre nom, nous formulons pour vous les demandes fondées sur l'article 17 du RGPD, nous assurons le suivi des réponses et les relances quand le délai d'un mois est dépassé, puis nous surveillons la réapparition de vos informations dans les fuites publiées. Le travail juridique n'est pas complexe pris isolément. Ce qui décourage, c'est sa répétition, et c'est précisément la part que nous prenons en charge.

Avertissement : Ceci n'est pas un conseil juridique. Cet article est fourni à titre d'information en cybersécurité et reflète l'état des textes et des décisions publiées connu au 13 août 2026. Les sanctions et décisions citées portent sur des situations particulières, sont rapportées telles qu'elles ont été publiées par les autorités concernées, et ne préjugent d'aucune issue dans un cas individuel. Les délais et modalités d'exercice des droits peuvent évoluer. Pour votre situation, rapprochez-vous d'un professionnel du droit ou des services officiels compétents.