Nos données personnelles valent-elles de l'or ?

Mars 2025. 23andMe, pionnier américain des tests ADN vendus au grand public, se déclare en faillite. Sa cofondatrice Anne Wojcicki quitte la direction le jour même. En 2021, l'entreprise était valorisée 3,5 milliards de dollars lors de son entrée en Bourse. Il ne reste presque rien de cette valeur, sauf un actif très particulier : l'ADN de plus de 15 millions de clients.

La procédure se transforme en vente aux enchères. En mai, le laboratoire pharmaceutique Regeneron l'emporte avec une offre de 256 millions de dollars. Les enchères sont rouvertes, et fin juin, un juge fédéral valide finalement la vente pour 305 millions de dollars à TTAM Research Institute, une fondation créée par Anne Wojcicki elle-même.

Entre-temps, l'inquiétude a gagné les clients. Le procureur général de Californie les a appelés à envisager la suppression de leurs données génétiques. Plus de deux douzaines d'États américains ont attaqué la vente en justice. Devant le Congrès, le PDG par intérim a reconnu que 1,9 million de personnes avaient demandé l'effacement de leur profil.

L'affaire pose crûment une question que l'on se pose rarement en acceptant des cookies ou en créant un compte : nos données personnelles ont-elles un prix ? Et si oui, qui l'encaisse ?

Gratuit pour l'utilisateur, très rentable pour la plateforme

Facebook, Instagram, WhatsApp, Gmail ou YouTube ne coûtent rien à l'utilisateur. Ils rapportent pourtant des sommes vertigineuses. En 2025, Meta a réalisé 201 milliards de dollars de chiffre d'affaires, dont 196 milliards issus de la publicité. Soit plus de 97 % de ses revenus.

Ce modèle repose sur un principe simple : plus une plateforme connaît ses utilisateurs, plus elle peut vendre cher l'attention de chacun à des annonceurs. Âge, centres d'intérêt, localisation, pages consultées, temps passé sur une vidéo : chaque signal affine le ciblage. Rapporté aux 3,58 milliards de personnes qui utilisaient chaque jour au moins une application du groupe fin 2025, un calcul rapide donne environ 55 dollars de recettes publicitaires par personne et par an.

Meta a d'ailleurs fini par afficher un prix. Depuis fin 2023, les Européens peuvent payer pour utiliser Facebook et Instagram sans publicité : 9,99 euros par mois sur le web, 12,99 euros sur mobile, ramenés à 5,99 et 7,99 euros en novembre 2024. La Commission européenne a jugé ce choix « payer ou consentir » contraire au règlement sur les marchés numériques (DMA) et a infligé à Meta une amende de 200 millions d'euros au printemps 2025. En décembre 2025, le groupe s'est engagé à proposer gratuitement une option avec des publicités moins personnalisées.

Courtiers en données : un marché que personne ne voit

Les géants du web ne sont pas les seuls à monétiser nos informations. Toute une industrie, celle des courtiers en données (data brokers), achète, agrège et revend des profils à des annonceurs, des assureurs ou des agences gouvernementales. Ces entreprises sont rarement connues du grand public, qui ne leur a jamais rien confié directement.

En janvier 2025, le piratage de l'Américain Gravy Analytics a montré l'ampleur de ce marché. Les fichiers volés contenaient des dizaines de millions de coordonnées GPS de smartphones aux États-Unis, en Russie et en Europe. Elles provenaient d'applications aussi banales que Candy Crush, Tinder, MyFitnessPal ou des calendriers de règles.

Le mécanisme passe souvent par la publicité. Lorsqu'une application affiche une annonce, un espace publicitaire est mis aux enchères en temps réel. Les acheteurs potentiels reçoivent au passage des informations sur l'appareil, parfois sa position précise. Quelques semaines plus tôt, l'autorité américaine de la concurrence, la FTC, avait interdit à Gravy Analytics de vendre des données de localisation sensibles. Elle lui reprochait d'avoir constitué des listes de personnes ayant fréquenté des lieux de culte ou des événements liés à des problèmes de santé.

Sur le marché noir, des données à prix cassés

Côté France, l'exemple le plus marquant date d'octobre 2024. Un pirate se faisant appeler « drussellx » met aux enchères, sur un forum cybercriminel, deux bases de données volées à l'opérateur Free. Elles contiennent plus de 19 millions de comptes clients et plus de 5 millions d'IBAN, avec noms, adresses, numéros de téléphone et dates de naissance.

La sanction tombe en janvier 2026 : la CNIL inflige 42 millions d'euros d'amende à Free et Free Mobile. Elle juge les manquements « particulièrement graves » et estime que des mesures de cybersécurité élémentaires manquaient, alors que les moyens du groupe Iliad permettaient de les attendre. L'opérateur a saisi le Conseil d'État pour faire annuler la décision.

Pris un par un, ces profils valent pourtant peu. Selon le Dark Web Price Index 2022 de Privacy Affairs, des coordonnées de carte bancaire s'y échangeaient entre 17 et 120 dollars, un accès à une banque en ligne autour de 45 dollars, un compte Facebook piraté aussi. La valeur ne tient pas à une fiche isolée, mais au volume et à ce que l'on peut en tirer : hameçonnage ciblé, usurpation d'identité, escroqueries au faux conseiller bancaire.

L'intelligence artificielle, nouvel appétit pour les données

L'essor de l'IA générative a ouvert un autre marché. Pour entraîner leurs modèles, les entreprises du secteur ont besoin de quantités colossales de textes écrits par des humains, et les plateformes qui en hébergent ont compris qu'elles pouvaient les facturer.

En février 2024, Reuters révèle que Reddit a signé avec Google un accord de licence d'environ 60 millions de dollars par an pour l'utilisation de ses contenus. Ces messages, écrits gratuitement par des millions d'internautes depuis près de vingt ans, deviennent une matière première négociée entre entreprises.

Les données génétiques de 23andMe relèvent de la même logique. Selon l'entreprise, environ 80 % de ses clients ont accepté que leur ADN serve à la recherche. C'est ce qui rendait la base si précieuse aux yeux d'un laboratoire comme Regeneron.

Le RGPD fixe un prix aux abus

En Europe, le règlement général sur la protection des données (RGPD), en vigueur depuis 2018, a donné aux autorités un levier financier. Les amendes peuvent atteindre 4 % du chiffre d'affaires mondial d'une entreprise. Le record date de mai 2023 : 1,2 milliard d'euros infligé à Meta par l'autorité irlandaise pour avoir transféré des données d'utilisateurs européens vers les États-Unis sans protection suffisante.

En France, la CNIL a battu son propre record en 2025 : 83 sanctions et 486,8 millions d'euros d'amendes cumulées. L'essentiel vient de deux décisions annoncées en septembre, sur les cookies publicitaires : 325 millions d'euros pour Google et 150 millions pour Shein. En cause, des traceurs déposés sans consentement libre et éclairé des internautes. Chez Google, plus de 74 millions de comptes français étaient concernés.

Ces montants donnent une indication indirecte de la valeur des données. Si les entreprises prennent de tels risques pour collecter quelques informations de plus, c'est que chaque point de consentement gagné se traduit en revenus publicitaires.

Alors, nos données personnelles valent-elles de l'or ?

Prise isolément, la donnée d'une personne vaut peu : quelques dizaines de dollars de publicité par an, quelques dollars sur un forum pirate. Agrégée, croisée et analysée à l'échelle de millions d'individus, elle devient en revanche l'un des actifs les plus rentables de l'économie numérique. Le cas 23andMe le montre : une entreprise peut perdre presque toute sa valeur et voir ses données clients rester l'objet d'une bataille à plusieurs centaines de millions de dollars.

Comme l'or, la donnée brute a peu d'intérêt tant qu'elle n'est pas extraite, raffinée et sécurisée. C'est ce travail qui crée la valeur, et c'est aussi lui qui crée les risques quand il est mal fait. Les fuites de Free ou de Gravy Analytics rappellent qu'une base mal protégée se transforme vite en passif.

Pour les utilisateurs, quelques réflexes limitent l'exposition : refuser les cookies non essentiels, désactiver le suivi publicitaire sur son smartphone, exercer son droit d'accès ou d'effacement auprès des entreprises. Mais l'essentiel de la protection se joue en amont, dans la manière dont les applications et les bases de données sont conçues.

Exploiter et protéger les données, deux compétences au cœur des formations de 3W Academy

Derrière chaque affaire citée dans cet article, il y a des choix techniques : la façon dont une base est structurée, ce qu'une application collecte, qui peut y accéder et comment elle est protégée. Ceux qui font ces choix sont des développeurs, des spécialistes de la donnée et des experts en cybersécurité.

Le Bachelor Développeur Data/IA de 3W Academy forme à la collecte, au traitement et à l'analyse de données à grande échelle, jusqu'au machine learning. Le RGPD et les enjeux éthiques de l'exploitation des données y sont abordés dès la première année.

Le Bachelor Développeur Cybersécurité prend le problème par l'autre bout : cryptographie, développement d'API sécurisées, tests d'intrusion, gestion des incidents et mise en conformité RGPD. Autant de compétences qui auraient pu éviter bien des fuites.

Dans les deux cas, l'objectif est de savoir tirer parti des données sans perdre de vue celles et ceux à qui elles appartiennent.

Envie de comprendre ce que valent les données, et d'apprendre à les exploiter comme à les protéger ?

Découvrez les Bachelors de 3W Academy et les compétences pour concevoir des applications utiles, sûres et respectueuses de la vie privée.

FAQ : les questions fréquentes sur la valeur des données personnelles

Combien valent mes données personnelles ?

Il n'existe pas de prix unique. Rapportées au nombre d'utilisateurs, les recettes publicitaires de Meta représentent environ 55 dollars par personne en 2025. Sur le marché noir, des coordonnées bancaires volées se vendaient entre 17 et 120 dollars selon Privacy Affairs. La valeur vient surtout de l'agrégation de millions de profils.

Qui achète nos données personnelles ?

Principalement des annonceurs, via les plateformes publicitaires, mais aussi des courtiers en données qui revendent des profils à des entreprises ou à des administrations. Les entreprises d'IA achètent également des contenus pour entraîner leurs modèles.Principalement des annonceurs, via les plateformes publicitaires, mais aussi des courtiers en données qui revendent des profils à des entreprises ou à des administrations. Les entreprises d'IA achètent également des contenus pour entraîner leurs modèles.

Est-il légal de revendre des données personnelles en Europe ?

C'est possible sous conditions. Le RGPD exige une base légale, le plus souvent le consentement de la personne, une information claire et le respect des droits d'accès, d'opposition et d'effacement. Les manquements peuvent coûter jusqu'à 4 % du chiffre d'affaires mondial.

Que faire si mes données ont fuité ?

Il faut redoubler de vigilance face aux appels, SMS et e-mails frauduleux, changer les mots de passe concernés et surveiller ses comptes bancaires. En cas de fraude, il est possible de porter plainte et de saisir la CNIL si l'entreprise n'a pas réagi.

Comment limiter la collecte de mes données ?

Refuser les cookies non essentiels, désactiver le suivi publicitaire dans les réglages du smartphone, limiter les autorisations de localisation des applications et supprimer les comptes inutilisés réduisent nettement la quantité d'informations collectées.

Voir également

L'histoire de la 3W Academy Le projet pédagogique Notre campus Nos chiffres clés Références & labels Nous rencontrer