Des données sensibles compromises
Un rapport officiel de l'État de Californie a identifié 33 courtiers en données qui ont vendu des informations de localisation d'Américains à des nations qualifiées d'adversaires étrangers, selon des informations révélées cette semaine. Ces sociétés auraient monnayé des données géolocalisées issues d'applications mobiles, de publicités en ligne et d'autres sources, sans le consentement explicite des utilisateurs, exposant potentiellement des milliers de citoyens à des risques de surveillance ou de manipulation.
Les acteurs en cause
Les 33 entités listées incluent des entreprises spécialisées dans la collecte et la revente de données de localisation, souvent utilisées à des fins marketing ou d'analyse de trafic. Parmi elles, certaines seraient connues pour avoir des liens avec des secteurs comme la technologie publicitaire (adtech) ou les services de cartographie. Le rapport ne précise pas les montants exacts des transactions, mais il souligne que ces ventes se sont poursuivies malgré les alertes des autorités américaines sur les risques que représentent ces transferts vers des pays comme la Chine, la Russie ou d'autres nations désignées comme menaces.
Contexte réglementaire
Cette révélation intervient dans un contexte où la protection des données personnelles est au cœur des débats politiques aux États-Unis. La Californie, pionnière en matière de vie privée avec sa loi California Consumer Privacy Act (CCPA), a renforcé ses pouvoirs d'enquête. Les autorités californiennes ont publié cette liste dans le cadre d'une enquête plus large sur les pratiques des courtiers en données (data brokers). Les législateurs fédéraux, de leur côté, peinent à adopter une loi nationale encadrant strictement ces transferts, laissant chaque État agir de manière fragmentée.
Implications pour la sécurité nationale
Les données de localisation peuvent révéler des informations très sensibles : mouvements quotidiens, fréquentation de sites militaires, rendez-vous médicaux, fréquentation de lieux de culte ou de réunions politiques. En les vendant à des adversaires étrangers, ces courtiers auraient indirectement fourni des outils de surveillance de masse, permettant potentiellement de cibler des employés du gouvernement, des militaires, des journalistes ou des opposants politiques. Des experts en sécurité ont qualifié cette pratique de « faille colossale » dans la défense des intérêts américains, appelant à des sanctions immédiates.
Réactions et suites
L'administration californienne a exigé que ces 33 sociétés cessent immédiatement toute vente de données vers les pays figurant sur la liste des entités sanctionnées. Certaines entreprises ont affirmé avoir déjà mis fin à ces pratiques, tandis que d'autres contestent les conclusions du rapport, arguant que les données étaient anonymisées et donc sans risque. Toutefois, des études antérieures ont montré que l'anonymisation des données de localisation est souvent insuffisante et peut être contournée par des acteurs étatiques disposant de moyens avancés.
En attendant d'éventuelles poursuites, la publication de cette liste sert d'avertissement aux autres courtiers et relance le débat sur la nécessité d'une régulation fédérale stricte, comparable au Règlement général sur la protection des données (RGPD) en vigueur en Europe.
