Revente de données personnelles

Définition

La revente de données personnelles est la cession, à titre onéreux ou non, de fichiers de coordonnées et de comportements à des tiers commerciaux. Elle est licite lorsqu'elle repose sur un consentement valablement recueilli et sur une information des personnes ; elle explique une grande partie du démarchage reçu, et la circulation qu'elle crée est ce qui rend possible d'autres procédés décrits sur ce site.

Comment ça fonctionne

Le point de départ est ordinaire : un achat, une inscription, un jeu-concours, une demande de devis, une carte de fidélité. Une mention accepte la transmission à des « partenaires », terme dont l'étendue n'est pas visible au moment de la signature. Les données rejoignent ensuite des acteurs dont c'est le métier, qui les enrichissent par recoupement — un âge, une composition de foyer, un centre d'intérêt déduit — et les revendent par segments. Une même adresse circule ainsi entre des acteurs qui n'ont aucun lien avec l'entreprise d'origine, ce qui explique deux constats fréquents : le démarchage arrive longtemps après, et se retirer chez l'un ne fait rien chez les autres. Ce qui relève de ce site est la suite : une base commerciale ancienne et bien renseignée est aussi ce qui rend crédible un message frauduleux, parce qu'il connaît un achat réel, un numéro de contrat ou une date.

Pourquoi ça marche

La case qui autorise la transmission aux partenaires passe inaperçue au milieu d'un achat ou d'un jeu. Le démarchage arrive des mois plus tard, sans lien apparent avec la case cochée.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Démarchage sur un sujet lié à un achat récent, par une entreprise sans lien avec le vendeur
• Courriels commerciaux d'acteurs auprès desquels vous n'avez jamais rien fait
• Appels dont l'interlocuteur connaît votre nom, votre adresse et parfois votre contrat
• Adresse électronique dédiée à un seul service qui commence à recevoir autre chose
• Case pré-cochée ou mention « partenaires » dans un formulaire que vous venez de signer

Comment vérifier

Utilisez une adresse électronique différente par service important : quand une adresse dédiée reçoit autre chose, vous savez exactement qui a cédé le fichier. Demandez à un démarcheur l'origine de vos coordonnées — l'information vous est due, et la réponse ou l'embarras qu'elle provoque sont déjà instructifs.

Les questions à se poser, dans l'ordre

1. 1

   Un formulaire contient-il une case de transmission aux partenaires ?

   Si oui : Décochez-la, et ne remplissez que les champs obligatoires.

2. 2

   Un démarcheur connaît-il votre nom, votre adresse ou votre contrat sans que vous l'ayez contacté ?

   Si oui : Demandez-lui l'origine de vos coordonnées, et ne lui confirmez rien.

3. 3

   Recevez-vous des sollicitations d'entreprises inconnues ?

   Si oui : Exercez votre droit d'opposition et d'effacement auprès d'elles, et saisissez la CNIL faute de réponse.

Que faire

Décochez les cases de transmission aux partenaires, ne fournissez que ce qui est nécessaire à la prestation, et refusez auprès de chaque entreprise l'usage commercial de vos coordonnées. Les règles qui encadrent le démarchage téléphonique ne s'imposent qu'aux entreprises qui les respectent : elles n'ont aucun effet sur les appels frauduleux.

Si c'est déjà arrivé

Exercez vos droits auprès de chaque acteur : accès aux données détenues, effacement, opposition à la prospection. La demande d'origine est particulièrement utile, car elle permet de remonter la chaîne de cession. Saisissez la CNIL en l'absence de réponse. Traitez par ailleurs le démarchage bien informé pour ce qu'il rend possible : un interlocuteur qui connaît votre contrat n'est pas légitime pour autant, et cette connaissance est exactement ce qu'exploite un faux conseiller.

• Les premiers gestes, dans l'ordre : la checklist d'urgence
• L'assistant « J'ai cliqué » : les gestes après un email, dans l'ordre

Pour que ça ne se reproduise pas

• Utilisez une adresse email différente pour les services importants.
• Refusez, auprès de chaque entreprise, l'usage commercial de vos coordonnées.
• Retenez qu'un interlocuteur qui connaît votre contrat n'est pas légitime pour autant.

Questions fréquentes

Comment ont-ils eu mon numéro ?

Le plus souvent par une cession que vous avez acceptée sans la voir, dans un formulaire ancien. Une adresse dédiée par service est la façon la plus simple de le déterminer à l'avenir : elle désigne la source sans discussion possible.

Les règles sur le démarchage téléphonique protègent-elles des arnaques ?

Non, et c'est important de le savoir : ces règles s'imposent aux entreprises qui respectent la loi. Une personne qui vous appelle pour vous escroquer ne les applique pas. Un démarchage que vous n'avez pas accepté doit donc redoubler votre attention plutôt que la relâcher.

Puis-je faire supprimer mes données de tous ces fichiers ?

Acteur par acteur, oui, en exerçant votre droit à l'effacement. Il n'existe pas de démarche unique valable pour tous, et c'est ce qui rend la prévention — cases décochées, données minimales, adresse dédiée — plus efficace que la réparation.

Attaques liées

• Traçage publicitaire abusif
• Fuite de données
• Moissonnage de données (scraping)
• Faux conseiller bancaire
• Fausse facture
• Vishing (hameçonnage par téléphone)
• Réidentification de données anonymes
• Abus d'autorisation « Se connecter avec »
• Exposition de données personnelles

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement