Les data brokers ou les courtiers en données personnelles : quel encadrement juridique au regard de la LPRPSP au Québec et du RGPD en Europe ? Par Jean-Pierre Koboyah Laoudema, Doctorant en

Les data brokers (ou courtiers en données personnelles) sont des entreprises qui collectent, agrègent et revendent des données personnelles à des fins commerciales. Leur activité repose sur l'exploitation d'informations comme les noms, adresses électroniques, numéros de téléphone ou historiques de navigation, souvent recueillies via des sites internet, des applications mobiles ou des bases de données publiques. Des acteurs majeurs comme Acxiom, Experian, Equifax ou TransUnion dominent ce marché mondial. Leur rôle est méconnu du grand public, mais ils jouent un rôle central dans l'économie numérique en alimentant des stratégies de prospection commerciale. Par exemple, en 2017, Equifax a subi une cyberattaque exposant les données de 143 millions de personnes, illustrant les risques liés à cette industrie. Plus récemment, en 2024, la société National Public Data a subi une violation de sécurité touchant potentiellement 170 millions de personnes au Canada, aux États-Unis et au Royaume-Uni.

Au Québec, l'activité des data brokers est encadrée par la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP). Bien que cette loi ne définisse pas explicitement les data brokers, leurs activités peuvent être rapprochées de celles des agents de renseignements personnels, qui préparent et communiquent des rapports sur la solvabilité des individus. Ces agents sont soumis à des règles strictes, notamment l'obligation de s'inscrire auprès de la Commission d'accès à l'information (CAI) et de respecter des articles spécifiques de la LPRPSP (articles 70 à 79). Cependant, la LPRPSP ne couvre pas toutes les activités des data brokers, qui dépassent le simple commerce de données liées au crédit. La CAI souligne dans son rapport quinquennal que l'encadrement législatif québécois reste limité à certains aspects du commerce des données personnelles.

En Europe, le Règlement général sur la protection des données (RGPD) s'applique aux data brokers. Ce règlement ne les définit pas non plus explicitement, mais les qualifie soit de responsables de traitement (s'ils déterminent les finalités et moyens du traitement des données), soit de sous-traitants (s'ils traitent les données pour le compte d'un client). Par exemple, un courtier qui constitue des bases de données pour les revendre agit comme un responsable de traitement, tandis qu'un courtier qui prospecte pour le compte d'un client selon ses instructions est considéré comme un sous-traitant. Cette qualification détermine les obligations légales qui leur sont applicables. Le RGPD impose des principes stricts comme la licéité, la transparence, la minimisation et la limitation des finalités pour encadrer le traitement des données.

Le RGPD repose sur plusieurs principes fondamentaux pour encadrer le traitement des données personnelles. Le principe de licéité exige une base légale pour toute collecte ou traitement de données, comme le consentement (libre, éclairé, spécifique et univoque) ou l'intérêt légitime (à condition que les droits des personnes ne soient pas lésés). Par exemple, la Commission nationale de l'informatique et des libertés (CNIL) en France a infligé des sanctions financières à des entreprises pour défaut de consentement, comme dans les décisions MED-2018-023 (25 juin 2018) et SAN-2023-009 (15 juin 2023). Le principe de transparence impose aux entreprises d'informer clairement les personnes sur la collecte, les finalités et les modalités de traitement de leurs données. Les principes de minimisation et de limitation de la conservation exigent que seules les données strictement nécessaires soient collectées et conservées pour une durée limitée.

Au Québec, la LPRPSP impose des principes similaires pour encadrer le traitement des données personnelles. Le principe de licéité est central : toute communication de données à un tiers nécessite le consentement de la personne concernée, qui doit répondre à huit critères cumulatifs définis par la CAI. Contrairement à d'autres opérations, la communication à des fins de prospection commerciale ne peut pas bénéficier de la présomption de consentement pour les fins primaires (article 8.3). Le principe de transparence exige que les personnes soient informées de manière claire et accessible sur la collecte et l'utilisation de leurs données. Les principes de minimisation et de limitation de la conservation s'appliquent également, tout comme celui de limitation des finalités, qui interdit toute réutilisation des données pour des objectifs non déclarés.

Les législations québécoise (LPRPSP) et européenne (RGPD) accordent aux personnes dont les données sont collectées des droits pour contrôler l'utilisation de leurs informations. Le droit d'accès permet à une personne de demander confirmation que ses données sont traitées, d'accéder à ces données et d'en obtenir une copie. Par exemple, la LPRPSP précise le format de transmission de ces informations, tandis que le RGPD exige des détails sur les finalités, les catégories de données, les destinataires et la durée de conservation. Le droit à la portabilité, introduit au Québec par la Loi 25 (entrée en vigueur le 22 septembre 2024), permet d'obtenir ses données dans un format structuré et de les transférer à une autre organisation. Ces droits renforcent le contrôle des individus sur leurs données personnelles.