«Data brokers», la main invisible du marché

Mary Ebeling est sociologue à l'université Drexel de Philadelphie. Fin 2010, après une douzaine de démarches, elle a déjà dépensé 25.000 dollars (environ 22.470 euros) pour essayer de donner la vie. Après de multiples tentatives, de l'insémination artificielle à la fécondation in vitro, elle parvient finalement à tomber enceinte. Malheureusement, elle perd le fœtus en mars 2011. Et en faisant une fausse couche, elle donne vie sans le savoir à un «bébé marketing», un double numérique fantomatique doté d'une vie artificielle. Dans les mois qui suivent cet épisode tragique, elle reçoit des centaines d'emails, publicités ou coups de téléphone, l'enjoignant à acheter des couches, à s'abonner à tel magazine, à investir dans une poussette ou des vêtements pour le nourrisson. Bien décidée à tirer au clair cet assaut commercial qui la tourmente, elle découvre qu'Experian, l'un des leaders mondiaux de la gestion du risque de crédit, a inscrit son nom dans l'une de ses immenses bases de données.

Mary Ebeling y figure en tant que mère ayant accouché en mars 2011 dans le «Newborn Network» de l'entreprise, le fichier des nouveau-nés, que cette dernière commercialise auprès des industriels de la puériculture. La sociologue, qui a raconté cette expérience douloureuse dans un livre, explique que «trop occupée à être une patiente, [elle] ne pensait pas au sort de toutes les données produites par [son] corps, persuadée que ces informations partagées dans l'intimité du cabinet de [son] médecin étaient en sécurité». Pendant son enquête, elle ne cessera de se heurter à des portes closes, trouvant sur son chemin des acteurs peu enclins à ouvrir leurs immenses registres.

Plus récemment, une journaliste américaine du Washington Post, Gillian Brockell, a vécu le même traumatisme. Après avoir perdu son enfant, elle a rédigé une terrible lettre ouverte en décembre 2018: «Chères entreprises technologiques, je sais que vous étiez au courant de ma grossesse. C'est ma faute, je n'ai pas résisté à ces mots clés sur Instagram: #30semaines, #babybump. J'ai même cliqué une fois ou deux sur des publicités ciblées proposées par Facebook. Que voulez-vous, je suis votre utilisatrice idéale. Vous avez probablement lu mes remerciements aux amies qui sont venues à ma baby shower. Vous m'avez probablement vue chercher une robe de grossesse à carreaux et de la peinture pour le berceau sur Google. J'imagine qu'Amazon vous a donné ma date d'accouchement, le 24 janvier, quand j'ai finalisé ma commande. Mais vous ne savez pas que j'ai tapé “bébé qui ne bouge pas” dans le moteur de recherche? Vous n'avez pas remarqué mes trois jours de silence sur les réseaux sociaux, inhabituels pour moi? Vous n'avez pas relevé les 200 emojis en pleurs postés par mes amis? Vous ne savez pas traquer ces signaux? [...] Je vous en supplie, entreprises technologiques: si vos algorithmes sont suffisamment intelligents pour réaliser que j'étais enceinte, ils doivent être suffisamment malins pour savoir que mon bébé est mort.»

Ces drames intimes montrent bien que nous sommes tous de Petits Poucets numériques, qu'on le veuille ou non. Ici, le consentement importe peu, et les résultats sont aussi effrayants quand ils sont exacts que lorsqu'ils se trompent. Quotidiennement, nous semons nos trajets sur Google Maps ou nos habitudes de consommation sur Amazon. Mon navigateur Web n'a pas attendu mon retour d'un voyage dans l'Arctique pour m'inonder de propositions de croisières polaires. Si nous avons collectivement fait l'expérience de la publicité ciblée –sur les réseaux sociaux ou dans nos boîtes mail–, nous ignorons trop souvent qu'elle est mise en œuvre par une catégorie d'acteurs qui suit nos traces sans relâche, œuvrant à combler les angles morts de nos existences aléatoires.

On les appelle data brokers en anglais, courtiers en données en français. À la différence des têtes de pont du capitalisme numérique, nous les connaissons peu. Mais eux savent tout de nous, y compris nos comportements hors ligne, loin des ordinateurs. En ce sens, ils sont éminemment complémentaires des grandes plateformes familières auxquelles ils viennent s'adosser. Ils savent où nous vivons, notre statut marital, si nous possédons telle carte de fidélité, ils connaissent la marque de notre voiture ou notre patrimoine financier et sont capables de déterminer à quelle fréquence nous allons faire nos courses au supermarché. «Sur internet, personne ne sait que vous êtes un chien», postulait le New Yorker dans un célèbre dessin publié en 1993 et représentant deux canidés en train de naviguer sur le Web. Aujourd'hui, sur internet, tous les courtiers en données savent que vous possédez un labrador. Avec ces informations, ils assemblent des bases de données démesurées, édifices chancelants qu'ils commercialisent à des entreprises soucieuses de calibrer leur offre publicitaire.

Ils s'appellent Axciom, Experian, Equifax, Datalogix, Epsilon, certains sont français, comme Criteo ou Weborama. D'autres, comme AddThis, racheté pour 175 millions de dollars par le géant Oracle, traquent nos pérégrinations strictement numériques, lisant en permanence par-dessus notre épaule. Certains spécimens sont d'un genre encore plus particulier: ainsi, Foursquare, réseau social démodé sur lequel on signalait sa présence dans un café ou un parc avec pour objectif d'en devenir le «maire» numérique, est-il devenu un courtier en données de première importance par la grâce de nos milliards de check-in inutiles.

Désormais, l'entreprise, qui dégage 100 milliards de dollars de chiffre d'affaires, revend ses précieuses informations spatiales à Uber, Twitter, Apple ou Microsoft, chez qui elle a intégré sa technologie de géolocalisation. Mais tous ces acteurs disparates et puissants partagent un point commun: ils préfèrent naviguer sous la surface^[1]. Indispensables à la bonne marche des grands réseaux sociaux qui sont d'abord d'immenses régies publicitaires, ils prétendent exceller dans le découpage de la population en segments démographiques.

Cotée à la Bourse de Londres, Experian dégage un chiffre d'affaires de plus de 4,5 milliards de dollars, sériant la population –y compris celle de la France– en catégories soigneusement ordonnées. «Baptisés de la lettre A à la lettre M, ces groupes hiérarchisent des familles et des individus en fonction de leur localisation, de leurs revenus, de leurs dépenses et de leurs comportements», nous apprenait une enquête informée du magazine GQ en jan-vier 2016. A02? Les «cadres expérimentés en pleine réussite». .J42? «Célibataires multi-métiers éco-concernés».

Axciom, autre poids lourd du secteur, a ses «banlieues laborieuses», à l'intérieur desquelles on trouve les «familles nombreuses sport et télé» ou les «artisans sorties et placements». Pour 40 centimes d'euros, car tout est à vendre, ces aspirateurs à données peuvent acquérir un numéro de carte grise; en déboursant un peu plus de 300 euros, ils obtiendront une base Insee de ménages ciblés. Experian, Axciom et tous les autres en sont persuadés, plus on possède d'informations sur quelqu'un, plus on peut prédire son comportement. Ainsi, en collectant méthodiquement les éléments constitutifs de notre identité, elles dressent un profil. Est-ce vraiment nous? La question importe finalement peu, dans la mesure où cette récolte permanente suffira bientôt à conditionner nos modes de vie.

Les publicités ciblées reçues par les mères endeuillées véhiculent une certaine conception de la maternité, nécessairement nourricière. Si je regarde d'énormes motos sur internet, cette lubie fait-elle de moi un individu à risques à qui on serait susceptible de refuser un crédit immobilier? Si tel est le cas, vais-je modifier mon comportement en conséquence? À ce titre, la pression constante exercée par les data brokers est l'une des formes les plus sournoises de contrôle social. Encore faut-il en avoir connaissance. Construite à l'écart du débat public dans les années 1970, cette industrie artisanale n'a pas attendu les réseaux sociaux pour émerger, «grossissant au contact de la presse et de la vente par correspondance, qui possédaient déjà de grands gisements de données», comme l'explique Kevin Mellet, chercheur en sociologie économique au département de sciences sociales d'Orange Labs^[2].

En France, La Poste, à travers sa filiale Mediapost, peut se vanter de posséder «une base, actualisée mensuellement, de plus de 15 millions de foyers français, validée sur le terrain par des postiers qui doivent vérifier votre pièce d'identité au moindre geste». Aux États-Unis, profitant de la réglementation des données bancaires –avec le Fair Credit Reporting Act en 1970– puis de la dérégulation des marchés financiers, les data brokers sont devenus des intermédiaires incontournables, agents invisibles d'un marché complexe et opaque.

La Federal Trade Commission (FTC), le gendarme américain de la concurrence, s'est intéressée à eux en 2014 et a publié un rapport en forme d'injonction à la transparence. L'autorité indépendante, qui a étudié neuf data brokers différents, a ainsi relevé des chiffres faramineux: l'un ajoutait 3 milliards de nouvelles informations chaque mois, quand un autre possédait jusqu'à 3.000 données différentes sur chaque consommateur américain. En relevant l'impérieuse nécessité de protéger les citoyens à l'heure où ils n'ont jamais autant été analysés, la commission s'inquiétait des faibles progrès réalisés en vingt ans. En faisant des recherches pour son livre, la journaliste américaine Julia Angwin a déterminé qu'elle était fichée par 212 courtiers. Parmi eux, moins de la moitié –92– lui offrait la possibilité d'être retirée des bases de données. À une condition: qu'elle accepte de fournir d'autres informations en prouvant son identité, avec un permis de conduire par exemple.

Ce rapport de force faussé est rendu encore plus difficile par le fonctionnement même de ces entreprises. En effet, la plupart des data brokers ne se contentent pas de fournir des kits publicitaires clés en main à des clients intéressés; ils obtiennent la plupart de leurs informations en les acquérant auprès d'autres data brokers. Axciom échange avec Epsilon, Epsilon revend à Experian, et ainsi de suite. Non seulement ce ruissellement ininterrompu condamne toute tentative de contrôle à l'échec, mais il dessine l'idéologie inquiétante du capitalisme de surveillance, cette société de traces où il est impossible de se cacher.

Le site américain Motherboard, du groupe Vice, a récemment mis au jour un de ces circuits de collecte. En offrant 300 dollars à un hacker, ils ont réussi à géolocaliser un téléphone, une capacité prérogative normalement réservée aux forces de l'ordre. Cette surveillance à la petite semaine est rendue possible par les grands opérateurs téléphoniques –T-Mobile, AT&T, Sprint–, qui revendent les données de géolocalisation de leurs clients à des courtiers en données. Qui les revendent à des courtiers en données. Qui les revendent à d'autres courtiers en données. Qui les revendent au journaliste de Motherboard. À la suite de cette enquête accablante, les opérateurs télécoms ont promis de réviser leurs pratiques et de civiliser ce Far West numérique, ce qui prouve au moins une chose: c'est un secteur qui se régule par la force et par le scandale.

Mise à jour - L'Insee nous a contacté pour précise «qu'il n'existe pas de “base Insee de ménages” commercialisable telle quelle. Les données personnelles que recueille ou détient l’Insee pour des traitements statistiques font l’objet de règles et de mesures strictes garantissant leur sécurité et leur confidentialité. Elle ne peuvent donner lieu à aucune communication qui permettrait une identification directe ou indirecte d'une personne ou même, sans pouvoir l'identifier, d'obtenir des informations à son sujet; elles sont couvertes par le secret statistique.»