Alors que le Bureau américain de protection financière des consommateurs cite des changements de politique et des préoccupations juridiques, les critiques soutiennent que la décision sape les protections de la vie privée des consommateurs.
Le US Consumer Financial Protection Bureau a retiré une règle proposée qui aurait empêché les courtiers de données de vendre des informations personnelles et financières des citoyens américains.
La décision, annoncée mercredi dans le Federal Register, marque un renversement important des efforts de protection de la vie privée des consommateurs et soulève de sérieuses préoccupations concernant la sécurité des données personnelles sensibles.
«Avec le CFPB qui recula des courtiers de données régulant, les consommateurs américains sont confrontés à des risques intensifiés de vol d’identité, de profilage comportemental et de ciblage discriminatoire», a déclaré Sanchit Gogia, analyste en chef et PDG de Greyhound Research. «Ce retrait réglementaire sape considérablement la confiance du public dans l’économie numérique.»
La proposition retirée, intitulée «Protection des Américains contre les pratiques de courtier de données nuisibles», aurait mis en œuvre certaines dispositions de la loi sur les reportages sur le crédit sur le moment où les agences de rapport des consommateurs peuvent fournir des rapports de consommation et lorsque les utilisateurs peuvent les obtenir.
« Le Bureau retire ce NPRM à la lumière des mises à jour des politiques du bureau », a déclaré le CFPB dans son avis officiel. L’agence a déclaré que la proposition «l’a fait d’une manière non alignée sur l’interprétation actuelle du Bureau de la FCRA» et ses «objectifs politiques modifiés».
Préoccupations concernant l’autorité légale
Le CFPB a cité les préoccupations soulevées au cours de la période de commentaire comme facteur de sa décision. « Au moins un intervenant a soulevé des préoccupations liées à la convenance de la règle proposée sous le texte brut de la FCRA, et il y avait des questions similaires à l’autorité statutaire du bureau », indiquait l’avis.
L’agence a conclu qu’il serait «inapproprié de procéder à une règle finale» en fonction de ces préoccupations.
Publié à l’origine dans le Federal Register le 13 décembre 2024, la règle a cherché à résoudre ce que l’ancien directeur du CFPB, Rohit Chopra, avait décrit comme un problème «stupéfiant» des courtiers de données vendant des informations privées des Américains sans surveillance appropriée.
« Les courtiers de données – les tenues qui collectent et vendent des informations détaillées sur notre vie personnelle et financière – mettent ces données à la disposition de toute personne désireuse de payer », a écrit Chopra dans un blog en 2024, informant la règle proposée.
Les courtiers de données sont des entreprises qui collectent et vendent de grandes quantités d’informations personnelles et financières.
«Les vulnérabilités comprennent les escroqueries ciblées, la discrimination et l’exploitation en obtenant des informations sensibles pour des données démographiques spécifiques», a expliqué Neil Shah, VP pour la recherche et partenaire de Counterpoint Research. «Les courtiers de données peuvent collecter des données sans transparence, contrôle ou consentement.»
Le règlement proposé aurait rendu une faille dans la loi sur les reportages sur le crédit en traitant les courtiers de données comme les autres agences de rapports de consommateurs, les obligeant à se conformer aux mêmes règles de confidentialité.
Le retrait intervient au milieu des changements plus larges au CFPB sous l’administration Trump. L’agence a décidé de retirer les dizaines de documents d’orientation émis depuis 2011 et a abandonné d’autres propositions de protection des consommateurs.
Cependant, le CFPB a laissé la possibilité d’une action future ouverte, déclarant: «Quand et si le Bureau le juge nécessaire d’émettre une règle mettant en œuvre les définitions et dispositions pertinentes de la FCRA, elle proposera une nouvelle règle et demandera des commentaires du public.»
Les problèmes de confidentialité augmentent
Sans ces protections, les courtiers de données peuvent continuer à collecter et vendre des informations personnelles sensibles des Américains avec un minimum de surveillance. Ces données comprennent souvent les numéros de sécurité sociale, les dossiers financiers, les histoires de localisation et les modèles d’achat, laissant les consommateurs vulnérables au vol d’identité et à la fraude.
«Les groupes démographiques déjà mal desservis par les services financiers traditionnels – les salariés à revenu utile, les personnes âgées et les minorités raciales – sont désormais les plus exposées à une mauvaise utilisation des données», a déclaré Gogia. « La démographie la plus vulnérable pourrait être les minorités, les personnes âgées, les enfants ou les familles des militaires », a ajouté Shah.
Les violations de sécurité des compagnies de courtier de données ont déjà démontré ces risques. Au cours de la dernière année, les principales violations de données ont révélé des millions de numéros de sécurité sociale et le suivi des données de localisation des données.
Les défenseurs de la vie privée soutiennent que la collecte et la vente de données personnelles sans consentement explicite viole les droits de confidentialité fondamentaux. L’absence de réglementations fédérales signifie que les consommateurs n’ont souvent aucun moyen de savoir qui a leurs données ou comment il est utilisé.
Impact sur les entreprises et les consommateurs
L’industrie du courtier de données, évaluée à des milliards de dollars, a été confrontée à un examen approfondi. La Federal Trade Commission a pris des mesures contre plusieurs courtiers de données en 2024, interdisant à certains de collecter et de partager des données sans autorisation.
Avec la règle fédérale retirée, l’attention passe aux réglementations au niveau de l’État, créant de nouveaux défis pour les entreprises. «Sans norme nationale, le paysage de la conformité est fracturé, exposant les entreprises à la fois à la réputation et au préjudice juridique à travers les lignes de l’État», a expliqué Gogia.
Shah a fait écho à ces préoccupations: «Le manque de réglementation fédérale solide augmentera la charge de protéger les informations sensibles aux entreprises. Cela augmentera les coûts de conformité, en particulier pour les entreprises opérant dans différents États.»
Plusieurs États ont déjà développé leurs propres cadres pour la protection de la confidentialité des données. « Certains États avec des lois sur la confidentialité plus solides, comme la Californie, le Colorado et l’Utah, resteront quelque peu protégés », a noté Shah. Cependant, il a ajouté que «les consommateurs doivent être conscients de ces lois et de leurs droits».
Pour les consommateurs, le retrait déplace le fardeau de la protection aux particuliers. « Jusqu’à ce que le CFPB revienne le règlement du courtier de données, les consommateurs restent la dernière ligne de défense contre l’exploitation de l’identité », a déclaré Gogia. «La littératie numérique n’est plus facultative – c’est l’infrastructure de survie dans l’économie des données d’aujourd’hui.»
