Une enquête menée par France Info, sous le nom de code “TrackingFiles”, met en lumière une vulnérabilité alarmante liée à l’exploitation des données de géolocalisation. Ces investigations révèlent comment des informations personnelles, y compris celles de militaires, diplomates, personnels politiques et millions de citoyens français, sont compromises et parfois vendues sur le marché noir.
1. Contexte et méthodologie de l’enquête
L’enquête «TrackingFiles» a été menée conjointement par franceinfo et «L’Œil du 20 heures» de France 2. Elle repose sur l’acquisition d’un échantillon de données de géolocalisation fourni par un data broker (courtier en données), une pratique courante dans l’industrie de la collecte de données personnelles. Cet échantillon contient :
- 12 millions de téléphones suivis en France.
- Plus d’un milliard de points GPS, enregistrés sur une période théorique de deux semaines en janvier 2025 (bien que des incohérences dans les dates soient notées, rendant la temporalité exacte incertaine).
Les journalistes ont obtenu ces données en se faisant passer pour une entreprise fictive de marketing (“Hoodhood”) lors de négociations avec des data brokers basés aux États-Unis et à Singapour. Les coûts proposés variaient entre 7 500 et 10 000 dollars par mois pour un accès complet et actualisé, avec un échantillon gratuit fourni après une simple visioconférence. Cette facilité d’accès souligne la banalisation de la commercialisation de données sensibles.
Les données analysées proviennent principalement d’applications mobiles courantes (météo, jeux, petites annonces, etc.), qui collectent la géolocalisation via des advertising IDs (identifiants publicitaires uniques). Ces informations passent par des régies publicitaires lors d’enchères en temps réel pour afficher des annonces, avant d’être agrégées et revendues par les data brokers.
2. Mécanisme de collecte et de revente des données
Le premier rapport détaille le fonctionnement de cette industrie opaque :
- Collecte via applications : Les applications intègrent des modules publicitaires ou techniques qui captent les positions GPS des utilisateurs, souvent à leur insu ou avec un consentement flou. Les conditions d’utilisation, rarement lues, permettent cette exploitation.
- Régies publicitaires : Lorsqu’une publicité est affichée dans une application, l’advertising ID et la localisation sont transmis aux enchérisseurs en quelques millisecondes. Ces données sont ensuite centralisées.
- Rôle des data brokers : Ces intermédiaires revendent les données à des tiers (marques, agences de marketing, voire potentiellement des entités malveillantes), parfois sans que les développeurs d’applications en soient pleinement conscients.
Le data broker contacté par les journalistes se montre confiant quant à la légalité de son activité, affirmant respecter la législation européenne (RGPD). Cependant, la facilité d’accès à ces données contredit cette assertion, révélant un décalage entre les cadres juridiques et leur application pratique.
3. Désanonymisation et atteinte à la vie privée
Les deux rapports montrent comment des données prétendument anonymes peuvent être désanonymisées :
- Recoupement des points GPS : En analysant les déplacements récurrents (domicile, travail, lieux de loisirs), il est possible de dresser un profil précis d’un individu. Par exemple, Maelys, employée de France Télévisions, est identifiée via ses trajets entre Paris, la gare du Nord et son domicile en banlieue ouest, simplement en recoupant ses points GPS avec des informations disponibles en ligne.
- Cas concrets :
- Xavier (nom modifié) : Employé de centrales nucléaires, ses trajets entre son domicile dans la Drôme, un Auchan, une boulangerie et la centrale de Cruas sont tracés avec précision. Il est contacté par les journalistes, qui confirment ainsi l’exactitude des données.
- Maelys : Ses habitudes (jeux en ligne dans les transports, visites familiales) sont déduites, et son identité est retrouvée grâce à des recherches complémentaires.
La Cnil, interrogée dans le premier rapport, confirme cette vulnérabilité. Une étude de son laboratoire d’innovation en 2022 avait déjà démontré qu’une “réidentification quasi automatique” était possible à partir de fichiers similaires, sans contrôle ni vérification significative.
4. Implications pour les sites sensibles et la sécurité nationale
Le second rapport se concentre sur les conséquences pour les personnes occupant des fonctions sensibles (militaires, diplomates, politiques), exposant des failles de sécurité majeures :
- Sites militaires :
- Base aérienne de Villacoublay (Yvelines) : 198 téléphones référencés, 6 269 points GPS. Un individu est suivi jusqu’à son domicile à Versailles, ses courses et sa salle de sport (7 000 points GPS à lui seul).
- Île Longue (Finistère) : Base des sous-marins nucléaires, 47 téléphones détectés, 830 points GPS. Un employé est tracé de Brest à la base, y compris lors de congés en Île-de-France.
- Mailly-le-Camp (Aube) : Centre d’entraînement militaire, 161 téléphones, 7 030 points GPS. Philippe, cadre du camp, est localisé chez lui et dans son entourage.
- Fort de Noisy (DGSE, Seine-Saint-Denis) : 749 téléphones, 8 563 points GPS. Des membres du service Action sont identifiables jusqu’à leur domicile et leur centre d’entraînement à Cercottes (Loiret).
- Lieux de pouvoir :
- Élysée : 366 téléphones, 2 682 points GPS. Un diplomate est suivi dans ses déplacements (préfecture, ministère, ambassade) et localisé dans le Val-de-Marne.
- Ministères : Intérieur (395 téléphones, 4 597 points GPS), Économie (469 téléphones, 6 538 points GPS), Affaires étrangères (440 téléphones, 5 368 points GPS).
- Assemblée nationale et Sénat : Respectivement 515 et 501 téléphones. Un agent de sécurité du Sénat est tracé jusqu’à son domicile et ses habitudes (supermarché, McDonald’s).
Ces données révèlent des routines exploitables par des acteurs malveillants (espionnage, chantage, attaques ciblées). La DGSE, bien que consciente du problème, refuse de commenter, tandis que des précédents internationaux (Allemagne, juillet 2024) confirment que la France n’est pas un cas isolé.
Téléphones localisés sur des sites militaires
Cliquez sur les différents lieux pour afficher les téléphones qui y sont localisés. Chaque couleur correspond à un téléphone différent.
198 téléphones localisés
6269 points GPS
47 téléphones localisés
830 points GPS
749 téléphones localisés
8563 points GPS
161 téléphones localisés
7030 points GPS
Sources: échantillon de données de géolocalisation obtenu par “L’Œil du 20 heures”, OpenStreetMap
5. Réglementation et limites actuelles
Le cadre juridique européen, notamment le RGPD, impose des règles strictes :
- Les entreprises doivent informer les utilisateurs et obtenir leur consentement explicite pour collecter et revendre leurs données.
- Des sanctions lourdes (jusqu’à 4 % du chiffre d’affaires) peuvent être appliquées, comme l’amende de 3 millions d’euros infligée à Voodoo en 2023 par la Cnil pour suivi non consenti.
Cependant, Nacera Bekhat (Cnil) admet des failles :
- Interfaces trompeuses : Certaines applications manipulent les utilisateurs pour obtenir leur accord sans compréhension réelle.
- Manque de contrôle : Trois ans après l’étude de 2022, les pratiques persistent, suggérant une application laxiste des sanctions ou une difficulté à réguler des acteurs souvent basés hors UE.
La Cnil prévoit de nouveaux contrôles au printemps 2025, mais l’ampleur du marché mondial des données complique la tâche.
6. Réactions et solutions proposées
- Individus concernés :
- Xavier est tendu mais ne semble pas saisir pleinement les risques.
- Philippe (Mailly-le-Camp) minimise l’impact, se disant “simple ingénieur”.
- Maelys est “stressée” par la précision des données sur sa vie.
- Experts : Baptiste Robert, hacker éthique, met en garde contre la désanonymisation et les risques pour les personnes sensibles, citant une fuite chez Gravy Analytics en janvier 2025.
- Solutions pratiques :
- Désactiver la géolocalisation par défaut.
- Refuser le suivi publicitaire (iOS : Réglages > Confidentialité > Suivi ; Android : Réglages > Confidentialité > Publicités).
- Vérifier les autorisations des applications.
7. Analyse critique et implications sociétales
L’enquête “TrackingFiles” expose une tension entre commodité technologique et protection des données :
- Économie de la surveillance : Les applications gratuites financées par la publicité reposent sur une exploitation massive des données, normalisée par les utilisateurs eux-mêmes.
- Vulnérabilité systémique : Les failles ne concernent pas seulement les civils, mais aussi les infrastructures critiques (nucléaire, militaire, politique), posant un risque stratégique dans un contexte géopolitique tendu.
- Défaillance réglementaire : Malgré le RGPD, le commerce international des données échappe largement aux contrôles, favorisé par des juridictions permissives (États-Unis, Singapour).
Comparé à des scandales passés (Cambridge Analytica), “TrackingFiles” montre que le problème est structurel, non exceptionnel. L’exemple américain (404 Media, octobre 2024) suggère que ces données pourraient aussi servir à des fins autoritaires (surveillance de lieux de culte ou cliniques).
L’enquête “TrackingFiles” met en lumière une industrie lucrative mais peu régulée, où les données de géolocalisation, vendues pour quelques milliers d’euros, compromettent la vie privée et la sécurité nationale. Les cas de Xavier, Maelys, ou des agents de la DGSE illustrent une vulnérabilité universelle, amplifiée pour les individus en position sensible. Si des solutions individuelles existent, elles ne suffisent pas face à l’ampleur du phénomène. Une réponse efficace nécessiterait une coopération internationale et une refonte des pratiques numériques, loin des promesses rassurantes mais creuses des data brokers. En attendant, cette brèche reste une “aubaine pour les hackers” et un défi majeur pour les démocraties modernes.
