Des moteurs de recherche d’un nouveau genre promettent de retrouver, en une seule requête, l’identité complète d’une personne. Nom, adresse, IBAN, numéro de sécurité sociale, rendez-vous médicaux : ces plateformes agrègent des données issues de sources publiques et de fuites, puis les rendent accessibles à tous. La CNIL rappelle que ces services ne sont pas conformes à la réglementation. Pour les responsables de traitement, le phénomène pose des questions de sécurité et de responsabilité.
Un agrégateur qui expose des millions de données
Le principe de ces outils repose sur l’agrégation. Leurs créateurs revendiquent l’exploitation de dizaines de sources ouvertes, plateformes administratives, opérateurs de services et annuaires publics, auxquelles s’ajoutent des données issues de piratages. Le volume annoncé dépasse le milliard d’enregistrements. En croisant ces sources, l’outil reconstitue un profil détaillé : état civil, coordonnées bancaires, numéro de passeport, plaque d’immatriculation, centre de soins ou nombre d’enfants. Des informations éparses, parfois anodines, deviennent une fois rassemblées un dossier complet sur une personne.
Un risque majeur d’usurpation d’identité
Cette concentration de données représente une aubaine pour la fraude. Avec un IBAN, une identité et une adresse, un escroc peut tenter d’ouvrir un compte, de souscrire un crédit ou de monter une campagne d’hameçonnage ciblée. Le numéro de sécurité sociale et les rendez-vous médicaux touchent en outre à des données de santé, particulièrement protégées par le RGPD. La simple existence d’un tel service augmente la surface d’attaque de millions de personnes qui n’ont jamais consenti à cette exposition.
La position de la CNIL et le RGPD
La CNIL considère qu’ « en l’état actuel du droit, ces services n’apparaissent pas conformes à la législation ». Plusieurs principes du RGPD sont en cause. Le traitement doit reposer sur une base licite, ce qui fait défaut ici. L’article 32 impose la sécurité des données, or ces plateformes se nourrissent précisément de failles de sécurité. Lorsque des données proviennent d’une violation, les articles 33 et 34 obligent les organismes touchés à notifier la CNIL et à informer les personnes concernées. Les entités concernées par NIS2 doivent en complément relever leur niveau de sécurité, pour éviter d’alimenter malgré elles ces bases. Le droit à l’effacement permet enfin à chacun de demander la suppression de ses données, à condition que l’exploitant réponde aux demandes.
Conseils pratiques
Face à ce risque, quelques mesures sont utiles :
- Exercer son droit à l’effacement auprès des plateformes qui exposent vos données.
- Surveiller ses comptes bancaires et signaler tout mouvement suspect.
- Déposer plainte en cas d’usurpation d’identité et conserver les preuves.
- Limiter les informations publiées volontairement sur les réseaux sociaux et les sites publics.
- Pour les organisations, renforcer la sécurité des bases de données afin de tarir la source de ces agrégateurs.
La lutte contre ces moteurs de recherche passe par la réduction des fuites à leur origine. Chaque violation évitée prive ces services d’une partie de leur carburant. La vigilance individuelle et la rigueur des responsables de traitement se complètent pour contenir le phénomène.
Source : position de la CNIL sur les services d’agrégation de données personnelles ; textes du RGPD.
