NRK a démasqué les vendeurs de données de localisation en demandant ses propres données, puis en les achetant

En 2020, les données de localisation téléphonique devenaient discrètement une marchandise proche du gouvernement : des courtiers vendaient des relevés de déplacement « anonymisés », des agences américaines comme les douanes et la protection des frontières (CBP) et l'ICE en achetaient l'accès, et les applications auxquelles les utilisateurs faisaient confiance ne nommaient jamais les acheteurs. Le préjudice était réel mais diffus — facile à décrire, impossible à pointer du doigt. Martin Gundersen, journaliste à la chaîne publique norvégienne NRK, soupçonnait son propre téléphone d'alimenter ce marché et décida de le prouver de bout en bout.

Il a mené l'expérience à partir de février 2020 : un téléphone supplémentaire chargé d'applications et transporté partout, tandis que l'équipe de NRK documentait séparément plus de 8 300 téléphones suivis dans des hôpitaux et des foyers pour femmes. Il a ensuite transformé le droit d'accès du RGPD en instrument d'enquête, en déposant des demandes auprès de chaque entreprise touchée par la piste, à commencer par Venntel, le courtier de Virginie qui vend des données de localisation aux agences fédérales américaines. Venntel a répondu avec 75 406 enregistrements de localisation et a confirmé que les données avaient été partagées à des fins incluant l'application de la loi fédérale et la sécurité nationale.

Chaque réponse nommait l'entreprise suivante, si bien que les demandes se sont multipliées : la société mère de Venntel, Gravy Analytics, puis les intermédiaires Predicio et Complementics, puis Sygic — le développeur slovaque d'applications de navigation — et le créateur de l'application Funny Weather. L'analyse technique de NRK a trouvé un identifiant utilisé par Complementics pour les données de Sygic dans les enregistrements de Venntel, et trois spécialistes norvégiens de la vie privée ont qualifié cette chaîne de violation apparente du RGPD.

Pour montrer ce que valait « anonymisé », l'équipe de NRK avait déjà acheté l'accès à un jeu de données de localisation commercial pour 35 000 NOK (environ 4 000 dollars) et en avait extrait Karl Bjarne Bernhardsen, 31 ans, de Stavanger. Lorsqu'ils l'ont appelé, ils ont pu lui réciter où il avait été tout au long de 2019 — le zoo, un entretien d'embauche, des journées à l'hôpital en tant que jeune père. Le fournisseur de données avait qualifié ces mêmes données d'anonymisées ; NRK venait de démontrer que ce label ne signifiait rien.

Forcer chaque courtier en données à répondre aux demandes RGPD, puis acheter le produit : les réponses cartographient la chaîne et l'échantillon prouve qu'il n'est pas anonyme

Les demandes d'accès du RGPD s'appuient sur le propre mécanisme juridique des vendeurs : un courtier doit répondre sur ce qu'il détient et avec qui il l'a partagé, si bien qu'aucune assignation ni lanceur d'alerte n'est nécessaire pour amorcer la chaîne.

Les réponses deviennent une trace documentaire : le dossier de Venntel nommait Gravy Analytics, qui nommait Predicio et Complementics, qui menaient à Sygic et Funny Weather — un chemin qu'aucune politique de confidentialité ne révélait.

Acheter le produit en tant que client ordinaire est le test le plus probant : pour 35 000 NOK, NRK a identifié une personne nommée dans des données que le vendeur qualifiait d'anonymisées, et un seul appel téléphonique a fait s'effondrer la défense.

Un préjudice concret a fait mouche : lire à Bernhardsen ses propres déplacements — le zoo, l'entretien d'embauche, l'hôpital — a transformé une abstraction de surveillance en une information que le lecteur pouvait ressentir.

Pour exposer un marché dont le préjudice est invisible, interrogez chaque fournisseur via ses obligations de divulgation et achetez le produit vous-même : chaque réponse nomme le vendeur suivant, et l'échantillon prouve le dommage.

Le récit en anglais sur NRKbeta (3 décembre 2020) a recueilli 493 points et 169 commentaires sur Hacker News, et le journaliste a répondu aux lecteurs, créditant le modèle de demande d'accès de Michael Veale. Il a alimenté un débat américain en pleine expansion : un commentateur a cité le sénateur Ron Wyden affirmant que Venntel avait « fait obstruction au Congrès pendant des mois » au sujet de ses sources, tandis que la CBP confirmait un accès limité à des données commerciales. Le représentant de Sygic a qualifié le lien de « pas clair » et de violation s'il était prouvé. Des juristes norvégiens doutaient qu'une poursuite aboutisse, car Venntel n'a pas de bureaux en Europe — la documentation elle-même, et non une amende, était le résultat livrable.