L’enchère · 376 fois par jour, votre vie part aux enchères

Une page s’ouvre. Avant que le texte apparaisse, ta position, ton appareil, tes centres d’intérêt et ton historique sont déjà partis vers des centaines d’entreprises qui enchérissent pour t’atteindre. Le rapport de l’Irish Council for Civil Liberties publié le 16 mai 2022 a fait ce que personne n’avait fait avant lui · il a compté.

Le compteur

Selon ce rapport de l’Irish Council for Civil Liberties du 16 mai 2022, les données de comportement et de localisation d’une personne connectée en Europe sont diffusées en moyenne 376 fois par jour aux enchères publicitaires en temps réel. Aux États-Unis, le chiffre est de 747 fois par jour. Trois cent soixante-seize fois par jour, cela fait plus de quinze fois par heure, nuit comprise, sommeil compris, hôpital compris.

Le même rapport additionne les deux zones et obtient 178 000 milliards de diffusions par an. Il précise combien d’entreprises Google autorise à recevoir ces données pour les seuls États-Unis · 4 698. Pas quatre mille six cent quatre-vingt-dix-huit destinataires ponctuels. Quatre mille six cent quatre-vingt-dix-huit entreprises inscrites sur une liste, habilitées, en flux continu.

Et il descend à la minute. Toujours selon l’Irish Council for Civil Liberties, Google émet 19,6 millions de diffusions par minute sur le comportement en ligne des seuls internautes allemands. Pendant que vous lisez ce paragraphe, l’Allemagne a été vendue plusieurs dizaines de millions de fois.

Le mot exact

L’Irish Council for Civil Liberties ne parle pas d’un dysfonctionnement. Dans ce rapport de mai 2022, l’organisation qualifie le real-time bidding de plus grande violation de données jamais enregistrée. Le mot est juste et il est mal compris. Une violation de données, dans le vocabulaire courant, désigne un accident · un serveur mal fermé, une base volée, un pirate. Ici, rien n’est cassé. Tout marche exactement comme prévu.

La différence est décisive. Une fuite, on la colmate. Un produit, on le vend. Le même rapport évalue l’industrie des enchères publicitaires en temps réel à plus de 117 milliards de dollars. Aucune industrie de cette taille n’est un accident.

Les greniers

Derrière l’enchère, il y a le stock. Et le stock est vieux.

Acxiom collecte depuis 1969. Privacy International la présente comme la détentrice de la plus grande base commerciale mondiale sur les consommateurs. Un demi-siècle d’avance sur le web, un demi-siècle de fiches.

Le secteur n’a jamais été clandestin. La Federal Trade Commission américaine en a publié la première cartographie officielle en mai 2014, dans un rapport au titre sans ambiguïté · Data Brokers: A Call for Transparency and Accountability. Douze ans plus tard, l’appel à la transparence n’a pas été entendu · en septembre 2024, Consumer Watchdog publiait à son tour un rapport sur l’ampleur du secteur, intitulé Data Stalkers.

Ce qui circule sur ces places de marché n’est pas anodin. The Capitol Forum a documenté la vente, sur la place de marché de LiveRamp, de jeux de données ciblant des millions d’Américains sur des critères sensibles, dont le statut militaire. En 2019, Experian annonçait elle-même que ses segments d’audience devenaient accessibles via l’IdentityLink Data Store de LiveRamp. Les stocks se branchent les uns aux autres.

Et ils se recousent. Cracked Labs documente depuis 2023 l’industrie des identity graphs · le travail consistant à relier tous les identifiants d’une même personne à travers ses appareils, ses navigateurs, ses cartes de fidélité et ses canaux, pour qu’un seul dossier vivant subsiste derrière la poussière d’identifiants. Il ne s’agit plus de savoir ce que fait un cookie. Il s’agit de savoir ce que fait quelqu’un.

Cinq milliards de dossiers

Le 19 août 2022, une class action est déposée aux États-Unis contre Oracle. L’Irish Council for Civil Liberties en relaie le dépôt. Le reproche · avoir constitué des dossiers sur 5 milliards de personnes. Les plaignants nomment la chose · une machine de surveillance mondiale.

Cinq milliards, c’est plus de la moitié de l’humanité. Il n’existe aucun formulaire que cinq milliards de personnes auraient signé.

L’affaire s’est close par un règlement de 115 millions de dollars dans le litige Katz-Lacabe. Faites la division. Cent quinze millions de dollars rapportés à cinq milliards de dossiers, cela fait un peu plus de deux centimes par personne fichée. C’est le prix public de ta vie documentée, tel qu’établi par une transaction judiciaire.

La localisation est une marchandise ordinaire

En novembre 2020, Motherboard révèle que Muslim Pro, application de prière musulmane utilisée par des dizaines de millions de personnes, transmettait les données de localisation de ses utilisateurs au courtier X-Mode, qui les revendait à des sous-traitants de l’armée américaine. D’autres applications destinées aux musulmans travaillaient avec le même courtier. Le même mois, Motherboard documentait plus largement l’achat par l’armée américaine de données de localisation issues d’applications ordinaires.

Il a fallu attendre le 9 janvier 2024 pour que la Federal Trade Commission interdise à X-Mode Social et à son successeur Outlogic de vendre ou de partager des données de localisation sensibles. L’ordonnance a été rendue définitive en avril 2024. Le MIT Technology Review a qualifié cette action de mesure sans précédent contre les courtiers de données. Sans précédent · c’est-à-dire qu’en janvier 2024, pour la première fois, un régulateur disait non.

Le mouvement s’est poursuivi. En décembre 2024, la Federal Trade Commission a ordonné à Gravy Analytics et Mobilewalla de cesser de collecter et de vendre des données de géolocalisation sensibles sans consentement. Deux ordonnances de plus. Un marché intact.

L’État fait la queue au guichet

Le point le plus dur du dossier n’est pas commercial, il est constitutionnel.

En juillet 2022, l’American Civil Liberties Union a publié des documents détaillant l’achat par le département de la Sécurité intérieure américain de quantités massives de données de localisation issues de téléphones portables, sans mandat. NBC News a documenté les millions de dollars dépensés par ce même département pour suivre des Américains et des étrangers aux États-Unis. Le fournisseur s’appelle Venntel.

Il n’est pas seul. Un contrat confirme l’achat par les services secrets américains de données de localisation issues d’applications, auprès de Babel Street. L’Electronic Privacy Information Center a obtenu par FOIA des documents sur le recours des douanes américaines au même service de suivi de localisation. La même société apparaît dans les dispositifs de localisation et de surveillance des réseaux sociaux d’ICE. Son outil Babel X, outil d’analyse des réseaux sociaux, a été employé par le département de la Sécurité intérieure y compris sur des citoyens américains et des réfugiés.

Voilà le mécanisme complet. Un État qui aurait besoin d’un juge pour poser une balise sur une voiture n’a besoin que d’un bon de commande pour acheter le trajet de millions de voitures. L’industrie publicitaire n’a pas seulement créé un marché. Elle a créé une porte de service.

Le prix de la faute

On connaît le contre-exemple. En mars 2018 éclate l’affaire Cambridge Analytica · les données de 87 millions de profils Facebook exploitées à des fins de ciblage politique. En juillet 2019, la Federal Trade Commission inflige à Facebook 5 milliards de dollars de pénalité, la plus lourde jamais prononcée pour violation de la vie privée, assortie de restrictions structurelles.

Cinq milliards de dollars. C’est une somme réelle. Ce n’est pas une somme qui change le sens du flux. Le scandale est retenu parce qu’il portait un nom, une élection et un visage. Les 376 diffusions quotidiennes ne portent rien de tout cela. Elles n’ont ni coupable identifiable, ni victime nommée, ni date. Elles ont un rapport, publié le 16 mai 2022, que presque personne n’a lu.

Un scandale finit. Une industrie continue. Celle-ci pèse plus de 117 milliards de dollars, tourne 376 fois par jour sur chaque Européen connecté, et n’a jamais eu besoin de ton accord pour aucun de ces tours.

Le Spectacle regardait. L’Algorithme surveille. Tant que le flux descend, le compteur monte.