278 millions de données de géolocalisation en vente : l’enquête qui révèle le trafic

En Belgique, 278 millions d’enregistrements de géolocalisation ont été identifiés dans les bases de données de courtiers spécialisés. Ce chiffre vertigineux, révélé par l’enquête « Databroker Files » menée par un consortium de médias dont Le Monde et Netzpolitik, illustre l’ampleur d’un marché opaque où nos déplacements quotidiens deviennent une marchandise. Ces données, collectées à notre insu via les applications mobiles que nous utilisons chaque jour, finissent entre les mains de services de renseignement et de police, sans que nous en ayons conscience.

Du shopping en ligne aux fichiers de surveillance

L’enquête révèle que des applications aussi populaires que Vinted, Tinder, Le Bon Coin, Candy Crush ou encore Call of Duty: Mobile sont utilisées pour récupérer nos données de géolocalisation. Selon Next.ink, une fuite de données chez le courtier Gravy Analytics a révélé une liste de plus de 12 000 applications Android et iPhone exploitées à cette fin. Ces données ne sont pas collectées directement par les courtiers, mais transitent par les régies publicitaires intégrées aux applications.

Le mécanisme est insidieux : lorsqu’une application demande l’autorisation d’accéder à notre position pour « améliorer l’expérience utilisateur », elle transmet en réalité ces informations aux réseaux publicitaires. Ces derniers les revendent ensuite à des courtiers en données, ou « data brokers », qui les agrègent et les structurent avant de les proposer à leurs clients. Comme l’explique L’Usine Digitale, ces courtiers invoquent souvent l’anonymisation des données pour justifier leur activité, alors que la réidentification reste techniquement simple.

Des hauts fonctionnaires européens sous surveillance involontaire

L’enquête « Databroker Files » a permis de reconstituer les déplacements de centaines d’agents de la Commission européenne, du Parlement et du Service européen pour l’action extérieure. La précision des données est telle qu’elle permet de situer un bureau à quelques mètres près dans le bâtiment Berlaymont, siège de la Commission européenne à Bruxelles. Les bases de données analysées contiennent également des signaux GPS provenant du siège de l’OTAN, de sites militaires belges et d’infrastructures critiques.

Cette précision repose sur le Mobile Advertising ID (MAID), un identifiant unique attribué à chaque téléphone par Apple ou Google. En croisant les points GPS avec cet identifiant, il devient facile d’associer un profil à une personne réelle, surtout lorsqu’elle habite une maison isolée ou figure dans l’annuaire public. Interrogée par les journalistes, la Commission européenne s’est déclarée « préoccupée par le commerce de données de géolocalisation » et a émis de nouvelles consignes internes sur la désactivation du suivi publicitaire.

« Ces données peuvent être exploitées à votre insu, y compris de manière malveillante », alerte la Commission nationale de l’informatique et des libertés (CNIL) dans ses recommandations.

Un business lucratif pour les services de renseignement

Aux États-Unis, l’Immigration and Customs Enforcement (ICE) a dépensé 5 millions de dollars pour accéder à un outil de surveillance capable de compiler des milliards de signaux de localisation quotidiens. Selon BFM, cette agence fédérale utilise désormais les données de « centaines de millions » de smartphones pour traquer les migrants en situation irrégulière, sans mandat ni ordonnance du tribunal.

L’outil est fourni par Penlink, une entreprise spécialisée dans la surveillance de masse, via deux produits nommés Tangles et Webloc. Cette plateforme propriétaire peut compiler, traiter et valider des milliards de signaux de localisation au quotidien, tout en réalisant des analyses forensiques et prédictives. Une révélation d’autant plus surprenante que l’ICE avait annoncé avoir mis fin à cette pratique sous l’administration Biden.

Comment se protéger du pistage permanent

Face à cette surveillance généralisée, la CNIL recommande plusieurs mesures de protection. Selon France Info, l’une des mesures les plus simples consiste à ne pas laisser la géolocalisation activée par défaut sur son téléphone, et à la réactiver au coup par coup uniquement lorsque nécessaire. Il est également crucial de réinitialiser régulièrement son identifiant publicitaire pour empêcher les applications d’accumuler des informations précises.

Pour les applications mobiles, la CNIL recommande d’autoriser la localisation uniquement pour les services qui en ont réellement besoin, comme les applications de cartographie. L’organisme conseille d’utiliser le mode « lorsque l’application est active » plutôt que « toujours », et de désactiver le suivi en arrière-plan. Sur iPhone, depuis iOS 14.5, les applications doivent demander explicitement l’autorisation de suivi, et un refus rend l’identifiant publicitaire inutilisable pour les annonceurs.

« Le partage de localisation ne doit jamais devenir un outil de contrôle permanent », insiste la CNIL dans ses recommandations.

Un vide juridique persistant en Europe

Malgré le Règlement général sur la protection des données (RGPD), le commerce de données de géolocalisation reste largement non encadré. Les courtiers invoquent l’anonymisation pour justifier leurs activités, alors que la réidentification demeure techniquement accessible. Cette affaire souligne l’échec du projet ePrivacy, un règlement européen visant à compléter le RGPD en encadrant les traceurs, les cookies et les données issues de la publicité comportementale.

Selon PhonAndroid, une enquête de 404 Media réalisée en janvier 2025 avait déjà révélé comment des applications comme Tinder ou Candy Crush récupéraient des données de localisation via les systèmes publicitaires intégrés. Ces informations sont ensuite revendues à des sociétés tierces, notamment des courtiers en données, sans que les utilisateurs en aient véritablement conscience.

Cette enquête pose une question fondamentale : jusqu’où acceptons-nous que nos déplacements quotidiens soient transformés en marchandise ? Alors que 278 millions d’enregistrements circulent rien qu’en Belgique, combien de données similaires sont-elles échangées à l’échelle mondiale, et entre quelles mains finissent-elles réellement ?