La Fondation Electronic Frontier (EFF) et un groupe de droits à la protection de la vie privée à but non lucratif ont appelé plusieurs États à étudier pourquoi «des centaines» de courtiers de données ne se sont pas inscrits auprès des agences de protection des consommateurs de l’État conformément aux lois locales.
Une analyse effectuée en collaboration avec Clearinghouse de droits de vie privée (PRC) a révélé que de nombreux courtiers de données n’ont pas réussi à s’inscrire dans les quatre États avec des lois qui l’exigent, empêchant les consommateurs dans certains États d’apprendre quels types d’informations que ces courtiers collectent et comment se retirer. Ces résultats pourraient s’expliquer par des variations dans la définition d’un courtier de données, mais ils peuvent indiquer que certains courtiers enfreignent la loi.
Les courtiers de données sont des entreprises qui collectent et vendent des troves d’informations personnelles sur les personnes, y compris leurs noms, leurs adresses, leurs numéros de téléphone, leurs informations financières, etc. Les consommateurs ont peu de contrôle sur ces informations, posant de graves problèmes de confidentialité et les tentatives de répondre à ces préoccupations au niveau fédéral ont surtout échoué. Le mois dernier, LexisNexis Risk Solutions a révélé une violation de données qui pourrait avoir révélé les noms, les numéros de sécurité sociale, les numéros de permis de conduire et les coordonnées de plus de 364 000 personnes.
Quatre États – la Californie, le Texas, l’Oregon et le Vermont – tentent de réglementer ces entreprises en les obligeant à s’inscrire auprès des agences de protection des consommateurs et à partager des détails sur le type de données qu’ils collectent. Les consommateurs de Californie, par exemple, peuvent utiliser la base de données en ligne pour rechercher différents courtiers de données enregistrés dans l’État, voir les coordonnées et trouver des étapes sur la façon de se retirer de la collecte de données. Pendant ce temps, au Texas, les courtiers de données doivent suivre certaines mesures de sécurité conçues pour protéger les informations des consommateurs.
Dans des lettres aux procureurs généraux des États, l’EFF et la PRC disent qu’ils «ont découvert un modèle troublant» après avoir gratté les registres des courtiers de données en Californie, au Texas, en Oregon et au Vermont. Ils ont constaté que de nombreux courtiers de données n’enregistrent pas régulièrement leurs activités dans les quatre États. Le nombre de courtiers de données qui est apparu sur un registre mais pas un autre comprend 524 au Texas, 475 en Oregon, 309 au Vermont et 291 en Californie.
Comme l’a noté l’EFF, les différences dans la façon dont chaque État définit un courtier de données pourrait expliquer certaines de ces écarts. Il est également possible que certains courtiers ne collectent pas de données auprès de personnes dans tous ces États – bien que l’industrie jette généralement un large filet.
À l’inverse, l’EFF indique également que cette analyse n’inclurait pas les courtiers de données qui «ne tiennent pas compte des lois de l’État en ne s’inscrivant dans aucun État».
L’EFF et la PRC suggèrent que la Californie, le Texas, l’Oregon et le Vermont se penchent sur les entreprises qui n’ont pas réussi à s’inscrire dans d’autres États, écrivant que leurs résultats «pourraient indiquer un échec systématique de la conformité» dans chaque État. Ils ajoutent qu’une enquête et des actions d’application pourraient «envoyer un signal puissant» concernant l’engagement d’un État envers la vie privée.