L'autorité californienne de protection de la vie privée a infligé une amende de 45 000 dollars à un courtier en données texan et lui a interdit de vendre les informations personnelles des Californiens après qu'il a vendu les données de patients atteints de la maladie d'Alzheimer. La société texane Rickenbacher Data LLC, qui opère sous le nom de Datamasters, a acheté et revendu les noms, adresses, numéros de téléphone et adresses électroniques de personnes souffrant de graves problèmes de santé, selon l'autorité californienne. Privacy Agence de protection des consommateurs (CPPA).
L' ordonnance finale de la CPPA contre Datamasters indique que l'entreprise détenait une base de données contenant 435 245 adresses postales de patients atteints de la maladie d'Alzheimer. Mais ce n'était pas tout. Elle avait également accès aux dossiers de 2 317 141 personnes aveugles ou malvoyantes, ainsi qu'à ceux de 133 142 personnes souffrant de dépendance. Enfin, elle a vendu les dossiers de 857 449 personnes souffrant d'incontinence urinaire.
Les données de santé n'étaient pas les seules à faire l'objet d'un trafic chez Datamasters. L'entreprise vendait également des informations liées à l'origine ethnique, notamment des « listes hispaniques » contenant plus de 20 millions de noms, ainsi que des « listes de personnes âgées » et des indicateurs de précarité financière. Par exemple, elle vendait les dossiers de personnes ayant des prêts hypothécaires à taux d'intérêt élevés.
Et si les acheteurs souhaitaient des données sur d'autres caractéristiques et actions probables des clients, comme par exemple qui était susceptible d'être libéral ou de droite, cela pouvait également être fourni grâce à 3 370 « modèles de prédiction des consommateurs » couvrant les préférences automobiles, l'activité financière, l'utilisation des médias, l'affiliation politique et l'activité à but non lucratif.
Datamasters propose l'achat direct de données issues de sa base de données nationale de consommateurs, qui, selon l'entreprise, couvre 114 millions de foyers et 231 millions d'individus. Les clients peuvent également souscrire à des mises à jour par abonnement.
Les autorités californiennes ont ouvert une enquête sur Datamasters après avoir constaté que l'entreprise n'était pas enregistrée comme courtier en données dans l'État, comme l'exige la loi californienne DELETE Act. Cette loi impose l'enregistrement des courtiers en données depuis le 31 janvier 2025.
L'entreprise a d'abord nié exercer des activités en Californie ou détenir des données sur les Californiens. Cependant, cette affirmation s'est effondrée lorsque les autorités réglementaires ont découvert sur son site web un fichier Excel contenant les dossiers de 204 218 étudiants californiens.
Datamasters a d'abord nié avoir filtré sa base de données nationale pour en retirer les données des Californiens. Après avoir consulté un avocat, l'entreprise a changé de version, affirmant avoir bel et bien exclu les Californiens de l'ensemble de données. Cela n'a toutefois pas convaincu la CPPA.
L'autorité de régulation a reconnu que Datamasters avait tenté de se conformer aux lois californiennes sur la protection de la vie privée, mais que…
« ne disposait pas de politiques et de procédures écrites suffisantes pour garantir le respect de la loi Delete. »
L'amende infligée à Datamasters tient également compte du fait que l'entreprise n'était pas inscrite au registre des courtiers en données de l'État. Les courtiers en données non inscrits s'exposent à une amende de 200 $ par jour, et le défaut de suppression des données des consommateurs entraîne une amende de 200 $ par consommateur et par jour.
À compter du 1er janvier 2028, les courtiers en données enregistrés en Californie seront également tenus de se soumettre à des audits de conformité indépendants réalisés par des tiers tous les trois ans.
Pourquoi la vente de données clients ultra-sensibles est si dangereuse
« L’histoire nous apprend que certains types de listes peuvent être dangereux. »
Michael Macko, chef de l'application des lois de la CPPA, a fait remarquer.
Des études ont montré que les personnes atteintes d'Alzheimer sont particulièrement vulnérables à l'exploitation financière. Si vous pensez que les escrocs ne recherchent pas ce type de listes, détrompez-vous : des criminels ont été surpris à accéder à des données auprès d'au moins trois courtiers en données. Bien qu'il n'y ait aucune preuve que Datamasters ait sciemment vendu des données à des escrocs, il semble facile de se procurer des listes de courtiers en données.
Il n'est pas nécessaire d'être docteur pour comprendre pourquoi bon nombre de ces dossiers (que l'entreprise détient, rappelons-le, sur des personnes à l'échelle nationale) pourraient être particulièrement sensibles dans le contexte politique américain actuel.
Il y a aussi un problème plus général de protection de la vie privée. Si de nombreux Américains pensent que la loi fédérale américaine HIPAA (Health Insurance Portability and Accountability Act) protège leurs données de santé, elle ne s'applique en réalité qu'aux professionnels de santé. Étonnamment, les courtiers en données ne sont pas concernés.
Alors, que pouvez-vous faire pour vous protéger ?
Votre premier réflexe devrait être de consulter la loi de votre État sur la protection des données. La Californie a mis en place cette année le système DROP (Data Request and Opt-out Platform) dans le cadre de la loi DELETE Act. Ce système permet aux résidents californiens d'exiger de tous les courtiers en données inscrits au registre la suppression des données les concernant.
Si vous ne résidez pas dans un État qui prend la protection des données sensibles au sérieux, vos options sont plus limitées. Vous pourriez déménager, par exemple en Europe, où la protection de la vie privée est nettement plus stricte.
Vos nom, adresse et numéro de téléphone sont peut-être déjà en vente.
Les courtiers en données collectent et vendent vos informations personnelles à toute personne disposée à payer. Malwarebytes Personal Data Remover Il les repère et fait supprimer vos informations, puis surveille la situation pour que cela reste ainsi.
