Depuis la diffusion d’une enquête vidéo le 29 septembre, le phénomène des lookup – moteurs de recherche qui agrègent des bases de données issues de fuites – s’est intensifié en France. Des milliers d’internautes ont partagé des captures d’écran montrant que leurs noms, adresses ou numéros de téléphone pouvaient être obtenus en quelques clics, sans création de compte.
Ces services ne se limitent pas aux particuliers; des personnalités publiques voient régulièrement leurs coordonnées ou même leurs numéros de sécurité sociale apparaître dans les résultats. L’exposition de ces données sensibles augmente les risques d’usurpation d’identité et de phishing, aggravant la pression sur les victimes qui, parfois, se sentent obligées de payer pour effacer ce qui a déjà fui.
Parmi ces plateformes, un site en particulier a attiré l’attention en proposant, sous la bannière « Suppression RGPD » et un badge « Droit à l’effacement » de « effacer » les fiches affichées contre rémunération. L’offre se présente sous forme de crédits vendus par lots de 30 à 1 000, le pack de 100 crédits affiché à 25 euros au lieu de 50 €, soit 25 centimes la fiche avec une remise de 50 % mise en avant pour inciter à l’achat.
Le service de paiement et ses promesses
Le règlement s’effectue via carte bancaire, Apple Pay, Google Pay ou Revolut Pay grâce à Stripe, et même en cryptomonnaies via le service OxaPay. Une fois le crédit débité, le site promet de retirer en un clic les informations concernées du moteur de recherche, affichant un bouton « Supprimer ». En pratique, aucune garantie ne permet de vérifier que les données ont réellement disparu des serveurs, ni qu’elles ne seront pas ré-injectées ultérieurement. De plus, les fichiers d’origine, toujours présents sur les forums et les autres lookup, continuent de circuler.
Réaction officielle et cadre juridique
Le ministre délégué à l’intelligence artificielle et au Numérique Anne Le Hénanff, a annoncé le lundi 5 octobre avoir saisi le procureur de Paris au titre de l’article 40 du code de procédure pénale. Elle a rappelé que le droit à l’effacement prévu par le RGPD est gratuit et que « ne payez jamais pour faire retirer vos données ». Cette seconde saisine depuis le mois de juin souligne l’insuffisance des mesures actuelles face à la monétisation de la suppression.
Pourquoi la suppression payante est une illusion
Le RGPD impose aux responsables de traitement de répondre gratuitement à toute demande d’effacement. Un site qui tire profit de données obtenues illégalement ne peut légitimement facturer ce droit. Au-delà du caractère frauduleux de la facturation, la promesse d’effacement définitif ne tient pas compte du fait que les informations sont déjà disséminées sur des flux de données piratées. Seblatombe fondateur de FrenchBreaches, recommande plutôt de limiter l’exposition future en supprimant les comptes inactifs et en évitant de recourir à ces plateformes.
Le 6 octobre, FrenchBreaches a signalé qu’un autre lookup revendiquant 740 milliards d’enregistrements était lui-même la cible d’une tentative de piratage, rappelant que même les sites qui promettent de « nettoyer » les données restent vulnérables.
