Vos données de localisation n'ont jamais été à vous : le marché commence à en refixer le prix
Une donnée collectée pour un usage n'a jamais été vraiment libre à la revente pour un autre. Tribunaux et législateurs resserrent en même temps le consentement, la finalité et les règles de transfert, et ce passif se déplace avant même que la sanction n'arrive.
Tout courtier en données repose sur une hypothèse plus fragile que la propriété : que des données collectées pour un usage peuvent être revendues pour n'importe quel autre. Les positions GPS captées pour faire fonctionner une fonction cartographique, les paniers de fidélité, le numéro de téléphone fourni pour activer la double authentification, tout cela redevient un stock vendable dès qu'il atterrit dans un entrepôt de données. Ce recyclage est le passif le plus mal évalué du secteur, et la bataille des mandats de géolocalisation américains est en train d'en refixer le prix.
Qu'est-ce qu'un mandat de géolocalisation, et pourquoi devrait-il figurer à votre bilan ?
Un mandat de géolocalisation («geofence warrant») oblige une entreprise à communiquer la liste de tous les appareils présents dans un périmètre donné pendant une fenêtre de temps définie. Ces contentieux forcent les tribunaux américains à trancher une question que l'adtech préférerait laisser dans l'ombre : conserve-t-on une attente raisonnable de vie privée sur ses déplacements, même dans l'espace public ? La réponse détermine la valeur comptable de tout jeu de données construit sur le mouvement, des deux côtés de l'Atlantique.
Deux cours d'appel fédérales américaines se sont opposées. En août 2024, la Fifth Circuit, dans l'affaire United States v. Smith, a jugé que les mandats de géolocalisation équivalaient à une perquisition générale et violaient le quatrième amendement, tout en laissant les preuves recevables au nom de la bonne foi. La Fourth Circuit, saisie de la même technologie dans United States v. Chatrie, a considéré l'historique de localisation comme un simple registre détenu par un tiers et n'y a vu aucune perquisition. La Cour suprême ne s'est pas encore prononcée. L'état honnête du droit est donc instable, orienté, et dépendant du ressort judiciaire.
À lire ces décisions, le désaccord ne porte pas sur la propriété de la donnée. Il porte sur les conditions dans lesquelles une entreprise a le droit de la détenir et de la faire circuler. La question du quatrième amendement est de savoir si l'État a besoin d'un mandat pour consulter vos déplacements ; le RGPD pose une question presque identique sous un autre nom, celle de la base légale de la collecte et de la nouvelle base légale nécessaire pour toute réutilisation ou cession. La limitation de la finalité est l'idée qui porte tout l'édifice. Une donnée collectée pour un motif déclaré ne devient pas un intrant gratuit pour un autre motif simplement parce qu'elle est stockée sur vos serveurs.
Peut-on encore vendre des données personnelles ?
Aux États-Unis, la réponse se resserre dans le droit positif. Le Health and Location Data Protection Act, porté par la sénatrice Elizabeth Warren et la représentante Mary Gay Scanlon, interdirait aux courtiers en données de vendre ou de transférer des données de santé et de localisation, chargerait la Federal Trade Commission d'écrire ses règles d'application sous 180 jours, ouvrirait un droit de recours aux particuliers et aux procureurs généraux des États, et doterait la FTC d'un milliard de dollars sur dix ans. Le texte n'est pas encore adopté, et pourrait ne jamais l'être. Son mécanisme mérite malgré tout l'attention : un droit de recours individuel permettrait à chacun d'attaquer chaque transfert illicite de données, pris isolément.
Ce n'est pas un chiffre hypothétique. L'Illinois applique déjà un droit de recours individuel de cette nature. En vertu du Biometric Information Privacy Act, un particulier peut réclamer des dommages-intérêts forfaitaires de 1 000 dollars par violation par négligence et de 5 000 dollars par violation délibérée ou téméraire, sans avoir à démontrer de préjudice supplémentaire. C'est ce niveau de dommages-intérêts statutaires qui a transformé le BIPA en machine à règlements transactionnels. Appliquez un barème comparable, par transfert, à un futur régime fédéral sur les courtiers en données, et le commerce survit, mais plus son modèle économique. Le jeu de données ne change pas. C'est la règle qui s'applique à chaque ligne qui en refixe le prix.
Cela arrive déjà à la donnée de localisation, très précisément. En décembre 2021, l'autorité norvégienne de protection des données a infligé à Grindr une amende d'environ 65 millions de couronnes norvégiennes, soit près de 6 millions d'euros à l'époque, pour avoir partagé les données de ses utilisateurs, y compris leur position précise, avec des partenaires publicitaires. Le manquement retenu portait sur le consentement : l'application ne pouvait pas démontrer que ses utilisateurs avaient librement accepté ce partage ultérieur. Une décision, une application, un régulateur, et la théorie qui la sous-tend est exactement celle que le texte américain voudrait mettre entre les mains des particuliers.
Le régulateur américain appuie sur le même nerf chez lui. X Corp a demandé à la FTC d'annuler l'ordonnance de 2022 héritée de Twitter, celle qui encadre ses pratiques en matière de vie privée. Le constat sous-jacent à cette ordonnance est révélateur : des numéros de téléphone fournis par les utilisateurs pour sécuriser leur compte avaient été réinjectés dans le ciblage publicitaire. Une donnée collectée pour un motif déclaré, discrètement redirigée vers un autre. C'est un manquement à la limitation de la finalité qui ne dit pas son nom, et une entreprise qui fait pression pour s'en affranchir vous dit exactement ce que cette surveillance lui coûte.
Le courtage de données est-il légal en France ?
Les conseils d'administration français auraient tort de classer ce dossier comme une affaire strictement américaine. En droit français comme dans le reste de l'Union, le RGPD exige une base légale pour tout traitement, la limitation de la finalité encadre la réutilisation, et les personnes concernées disposent de droits opposables sur leurs propres données. La CNIL a déjà sanctionné, sur ce même terrain, des acteurs qui collectaient une donnée pour un usage et la faisaient glisser vers un autre sans base légale renouvelée. Le courtage de données existe en France, mais sur un consentement révocable et une base légale contestable, et la vente ou le transfert d'un jeu de données constitue lui-même un traitement qui doit se justifier séparément. C'est un fondement plus fragile qu'une prétention de propriété ne l'a jamais été, et c'est précisément vers ce fondement que dérive le droit américain. Quand deux grandes économies convergent dans la même direction, le bon réflexe de base pour tous les autres est de s'aligner sur ce mouvement. Pour toute entreprise détenant des données clients, de santé ou financières, traiter cette donnée comme un passif encadré, et construire des systèmes conçus pour pouvoir la retirer à tout moment, coûte moins cher que de le découvrir au tribunal.
Ce qui ferait tomber cette lecture mérite d'être posé aussi clairement. Si le texte Warren-Scanlon meurt en commission, si la FTC assouplit ses ordonnances plutôt que de les durcir, et si les tribunaux américains tranchent en faveur du régime des tiers plutôt que de la vie privée, les vieilles habitudes tiennent et les revenus adossés à la donnée conservent leur multiple. Ce scénario reste tout à fait possible, et il serait imprudent de l'exclure du prix.
L'asymétrie, c'est ce que le marché n'a pas encore intégré dans ses prix. Si le modèle du transfert et de la réutilisation tient, les courtiers poursuivent leur activité sans encombre. S'il ne tient pas, le passif est déjà inscrit au bilan : il se loge dans les fichiers que ces entreprises vendent aujourd'hui, les mêmes qu'un régulateur ou un tribunal peut atteindre dès maintenant. Détenir une donnée est un acte continu, et le droit européen la traite précisément comme tel ; il n'existe donc pas de ligne nette entre la collecte de l'an dernier et le passif de cette année. Les entreprises qui misent tout sur un seul fournisseur gourmand en données, ou qui inscrivent la donnée comportementale à l'actif comme un bien qui s'apprécie, portent un risque à découvert qui se règle d'un coup. Chiffrer cette exposition relève autant de la stratégie technique que du conseil juridique, et ce trimestre est le bon moment pour poser la question.
Questions fréquentes
Un mandat de géolocalisation américain signifie-t-il que les données de localisation de mon entreprise peuvent être saisies ?
Il signifie qu'un tribunal peut vous contraindre à communiquer tous les appareils enregistrés dans un périmètre et une fenêtre de temps donnés. La protection constitutionnelle de cette donnée reste incertaine aux États-Unis : la Fifth Circuit a jugé ces mandats inconstitutionnels en 2024, la Fourth Circuit a tranché en sens inverse dans l'affaire Chatrie, et la Cour suprême ne s'est pas prononcée. La vraie question opérationnelle, y compris hors des États-Unis, est de savoir si vous disposiez d'une base légale pour détenir et céder ces données en premier lieu, ce que ce contentieux ne renforce en rien.
À qui appartiennent les données personnelles une fois collectées par une entreprise ?
La propriété n'est pas la bonne grille de lecture. Le RGPD exige une base légale pour traiter une donnée dans un but déclaré, la limitation de la finalité encadre toute réutilisation, et la personne concernée conserve des droits opposables, dont le retrait du consentement. Le droit américain évolue dans le même sens, avec des textes qui interdiraient purement et simplement la vente de données de localisation et de santé. Ce qui compte, c'est la permission de traiter et de transférer, et cette permission peut être retirée.
Comment les courtiers en données utilisent-ils la géolocalisation, et quel est le nouveau risque ?
Ils agrègent des positions issues d'applications, de plateformes publicitaires et de réseaux matériels, puis cèdent sous licence les profils qui en résultent. Le risque émergent se loge dans le consentement et le transfert : un droit de recours individuel, s'il était voté, permettrait à chacun d'attaquer chaque transfert illicite, et des régulateurs ont déjà sanctionné le partage non consenti de données de localisation, comme la Norvège l'a fait avec Grindr en 2021 pour un consentement jamais valablement obtenu. Un jeu de données en gros devient ainsi un passif conditionnel, chiffré ligne par ligne.
À lire aussi
- La prime de souveraineté : pourquoi les entreprises paient plus cher une IA qu'aucun gouvernement étranger ne pourra couper
- Washington désigne son propre laboratoire d'IA comme risque stratégique : ce que cela change pour votre dépendance fournisseur
- Les pilotes d'IA en entreprise ne calent pas sur la technologie, mais sur la confiance
- Security & Trust
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.