Commerce des données : le prix des règles

Le commerce de nos traces · Sixième et dernier volet d’une enquête en six parties.

Une sanction peut retirer de l’argent, fermer un débouché ou imposer la suppression d’un fichier. Elle peut aussi entrer dans un contrat de rapprochement financier. De Mobilewalla à Avast, de la CNIL au dispositif californien DROP, le dernier volet suit les règles jusque dans l’organisation du commerce des données.

Le 29 mai 2026, Mobilewalla Holdco et SPACSphere signent un accord de rapprochement. Sa clause 4.14(m) porte sur le respect de l’ordonnance de la Federal Trade Commission américaine visant Mobilewalla. La société déclare s’y conformer. La clause 4.14(b) subordonne ses droits de traitement des données aux restrictions de cette ordonnance. S01

L’affaire quitte ainsi le seul dossier du régulateur pour rejoindre les engagements échangés entre les parties à une opération financière. Après la vie des copies au-delà du contrat, cette dernière étape de l’enquête porte sur les revenus encore possibles, les fichiers à traiter et le travail de contrôle à financer.

Quatre effets économiques à distinguer

Le plus visible est une sortie de trésorerie. L’accord Avast prévoit 16,5 millions de dollars destinés à la réparation des consommateurs. La CNIL a infligé à Mobius une amende administrative d’un million d’euros. Les monnaies, les fondements juridiques et la destination des fonds diffèrent. S09 S07

Une restriction peut aussi atteindre les recettes futures. Perdre le droit de réutiliser une source de données oblige, selon le service, à chercher un autre fournisseur, recueillir un consentement supplémentaire ou abandonner un usage. La perte économique éventuelle dépend des marges attendues de cet usage et des solutions de remplacement disponibles.

Les données accumulées forment un autre enjeu. L’ordonnance Avast vise des données Jumpshot, mais également certains modèles, algorithmes et logiciels construits à partir d’elles. Le dispositif Gravy prévoit plusieurs traitements possibles pour les données historiques, sous conditions. Une intervention peut donc atteindre la matière première et les produits fabriqués avec elle. S09 S13

Enfin, les contrôles mobilisent des ressources dans la durée : inventorier les fournisseurs, examiner leurs pratiques, suivre les demandes de retrait et tester les restrictions. Gravy doit notamment évaluer ses fournisseurs au départ puis chaque année ; Avast doit faire évaluer son programme de protection des données par un tiers indépendant. S13 S09

Ces effets forment une grille de lecture économique. Leur chiffrage demanderait les coûts supplémentaires, les marges des usages concernés et une comparaison avec la trajectoire de l’entreprise en l’absence d’intervention. Les additionner à partir des seuls montants annoncés ferait courir un risque de double compte, notamment pour une activité déjà arrêtée.

Mobius : une amende connue, des revenus occultés

La sanction Mobius, décidée le 11 décembre 2025 et annoncée le 19 décembre, porte sur la conservation des données après le contrat, leur traitement au-delà des instructions reçues et l’absence de registre. La CNIL retient des manquements aux articles 28, 29 et 30 du RGPD. S06 S07

Le plafond retenu est le plus élevé entre 10 millions d’euros et 2 % du chiffre d’affaires annuel mondial de l’exercice précédent. Le plafond de 4 %, souvent cité à propos du RGPD, correspond à d’autres catégories de manquements. S06 S08

Les chiffres d’affaires 2023 et 2024 ainsi que les pertes invoquées par Mobius sont masqués dans la décision publiée. Le poids du million d’euros par rapport aux revenus ou au bénéfice tiré du réemploi litigieux reste donc impossible à calculer avec cette pièce. Diviser l’amende par le nombre de personnes concernées donnerait un montant par personne, sans renseigner sur la rentabilité du fichier. S06

La chronologie compte aussi. Mobius situe la suppression de sa copie au 1er octobre 2023, avant l’amende de décembre 2025. Cette séquence sépare la suppression déclarée de la sanction ultérieure ; elle laisse ouverte la contribution respective de l’incident, de l’enquête et des demandes du client. S06

Les restrictions redessinent les usages autorisés

L’ordonnance Gravy Analytics–Venntel, émise le 13 janvier 2025 et publiée le 14, agit sans paiement pécuniaire prévu dans son dispositif. Elle encadre pourtant l’usage et la fourniture de données de localisation sensibles et impose des contrôles. S13 S14

Son champ dépend de définitions précises. Les lieux sensibles visés se trouvent aux États-Unis. La définition des données de localisation exclut notamment certains usages de sécurité, la sécurité nationale conduite par des entités fédérales et la réponse d’une autorité fédérale à un risque imminent de décès ou de blessure grave. Des activités peuvent donc rester autorisées selon leur finalité et leurs conditions. S13

L’ordonnance prévoit aussi la transformation en données non sensibles ou en données sortant de sa définition de la localisation. Elle réserve, sous conditions, un service expressément demandé par un consommateur avec lequel l’entreprise entretient une relation directe et dont elle a recueilli le consentement requis. Ces exceptions sont propres au texte et s’articulent avec les autres règles applicables. S13

Chez Mobilewalla, la section II de l’ordonnance touche l’approvisionnement : elle interdit d’acquérir ou de conserver les informations couvertes reçues lors d’enchères publicitaires pour une finalité autre que la participation à ces enchères. Un flux accessible pour évaluer une opportunité publicitaire perd ainsi une voie de réemploi. S04 S05

L’effet commercial se situe dans les usages retirés du catalogue ou rendus plus coûteux. Le mesurer demanderait de rapprocher les sources utilisées avant et après l’intervention, les contrats remplacés et les marges des produits concernés. La continuité de l’entreprise peut coexister avec l’abandon d’une partie de ses possibilités d’exploitation.

Mobilewalla : la conformité rejoint la négociation financière

L’accord de mai 2026 prévoit une notification à la FTC dans les quatorze jours suivant la réalisation du rapprochement, conformément à l’ordonnance. Le projet organise donc la continuité des obligations lors du changement de structure. S01

Le communiqué des sociétés annonce une valorisation des fonds propres de 250 millions de dollars avant apport de nouveaux capitaux, ainsi que 13,9 millions de dollars de revenus récurrents annualisés au 30 avril 2026, désignés par l’acronyme ARR. Cet indicateur annualise une base de revenus récurrents ; il se distingue du chiffre d’affaires comptabilisé sur une année. La valorisation décrit les termes proposés pour l’opération. S03

Une étape supplémentaire figure dans le dépôt du 12 août 2026 : les parties annoncent la remise à la SEC d’un formulaire S-4 comprenant un projet de prospectus et de document de vote. Ce dépôt présente toujours le rapprochement comme une opération envisagée, soumise à conditions. S23

La portée des déclarations contractuelles doit rester claire. Le dépôt de SPACSphere explique qu’elles répartissent les risques entre les parties, peuvent comporter des réserves confidentielles et obéissent à des seuils de matérialité propres à l’accord. Leur publication renseigne sur les engagements négociés ; les détails des vérifications de l’acquéreur restent hors de ces pièces. S02

Pour l’acheteur, la question est économique : les revenus attendus reposent-ils sur des droits d’utilisation suffisamment solides ? La valeur d’une base dépend aussi des usages qu’un futur propriétaire pourra poursuivre et du coût de leur encadrement. Le dossier Mobilewalla permet de suivre cette question dans les clauses de l’opération, sans isoler un montant imputable à l’intervention de la FTC.

Avast : de la fermeture de Jumpshot aux paiements

Avast indique avoir fermé Jumpshot et arrêté sa collecte en janvier 2020. L’entreprise conteste la présentation des faits par la FTC. Le règlement final intervient le 26 juin 2024, plus de quatre ans après cette fermeture. S11 S12

Le 2 décembre 2025, la FTC annonce l’envoi de près de 15,3 millions de dollars à 103 152 clients ayant présenté une demande valable. Ce montant concerne les paiements envoyés, selon les modalités choisies par les bénéficiaires. Le versement de 16,5 millions prévu dans l’accord et les sommes distribuées aux demandeurs correspondent à deux étapes différentes. S10 S09

Cette succession évite d’attribuer au règlement de 2024 la fermeture de Jumpshot en 2020. L’accord apporte ses obligations propres : restrictions sur les usages futurs, traitement des données et de certains produits dérivés, programme de protection et réparation financière. Le devenir des fichiers déjà distribués, étudié dans le volet précédent, suit encore un autre circuit. S09

Le contrôle devient une dépense récurrente

L’ordonnance Avast exige une évaluation initiale couvrant les 180 premiers jours, puis des évaluations indépendantes par périodes de deux ans pendant vingt ans. Elles doivent comprendre des tests techniques et examiner les lacunes du programme. Les conclusions doivent s’appuyer sur les travaux de l’évaluateur, avec leurs méthodes, documents et résultats. Des certifications annuelles de dirigeants sont prévues séparément, avec publication dans l’espace investisseurs. S09

Cette organisation engage du temps, des compétences et un accès aux systèmes. Le Comité européen de la protection des données formule une exigence comparable de vérification des garanties chez les sous-traitants : les engagements contractuels s’accompagnent d’un examen de leur mise en œuvre, adapté aux risques. S22

Chaque dossier conserve toutefois son calendrier. L’ordonnance judiciaire Kochava, signée le 25 juin 2026 et publiée par la FTC le 26, donne 90 jours à Collective Data Solutions pour mettre en place son programme relatif aux lieux sensibles. Elle prévoit un rapport de conformité à un an et une durée de dix ans. Au 19 septembre 2026, le premier délai de 90 jours court encore. S15 S16

L’évaluation de ces dispositifs demande donc de rapprocher chaque obligation de son échéance, des systèmes concernés et du destinataire des rapports. Les pièces étudiées exposent les exigences ; elles donnent un accès limité aux résultats détaillés des contrôles internes et indépendants.

DROP organise un retrait continu

En Californie, DROP, la Delete Request and Opt-out Platform, centralise les demandes des résidents auprès des courtiers entrant dans le champ de la loi. Depuis le 1er août 2026, ces entreprises doivent télécharger les demandes au moins tous les 45 jours. S17 S20

Le courtier prépare ses identifiants, les rapproche des listes téléchargées, supprime les informations non exemptées et transmet un statut. Les informations à traiter comprennent aussi les inférences, c’est-à-dire les caractéristiques déduites d’autres données. Le traitement s’étend aux instructions adressées aux prestataires et sous-traitants concernés. S18

La demande reste active dans le temps. Le courtier conserve les identifiants minimaux nécessaires à son respect et les compare aux nouveaux fichiers avant leur vente ou leur partage. Ce mécanisme d’exclusion rejoint la fonction d’une liste repoussoir, décrite dans le volet précédent. Il vise à empêcher qu’un profil retiré soit reconstitué par l’achat suivant. S18

L’inscription au registre coûte 6 000 dollars pour 2026, auxquels peuvent s’ajouter les frais de paiement électronique. CalPrivacy indique une sanction possible de 200 dollars par jour et par demande en cas de manquement à l’obligation de suppression. Ce montant désigne une exposition légale, à distinguer d’une pénalité déjà prononcée. S20

L’intégration technique et les traitements répétés créent des coûts pour les courtiers. Une plateforme commune peut en parallèle simplifier la réception de demandes jusque-là dispersées. L’effet net sur leurs dépenses, et davantage encore sur la concentration du marché, demanderait des données d’entreprises absentes des documents retenus.

Deux indicateurs pour deux populations

Le bilan publié par CalPrivacy le 25 août 2026 recense plus de 500 000 inscrits et 654 courtiers dans le système. Environ 25 % des courtiers déclarent avoir traité des demandes. Selon l’autorité, 99,9 % des consommateurs ont obtenu la suppression de leur profil chez au moins un courtier. S19

Le premier taux porte sur des entreprises ; le second sur des personnes. Un consommateur peut obtenir un retrait chez un courtier tout en attendant encore les autres. Les 99,9 % décrivent cette première couverture, avec un seuil d’au moins une suppression. Le bilan repose sur les résultats rapportés par les courtiers et ne chiffre pas la part totale des données effacées.

Le téléchargement des demandes et leur traitement ont des délais distincts. CalPrivacy décrit un téléchargement au moins tous les 45 jours, suivi d’un traitement et d’une réponse dans les 45 jours après réception. Le premier statut peut ainsi prendre jusqu’à 90 jours. Les réponses distinguent notamment les données supprimées, les informations exemptées, l’absence de correspondance et certains cas d’opposition à la vente ou au partage. S18 S21

La loi prévoit des audits indépendants à partir du 1er janvier 2028, puis tous les trois ans, parallèlement aux pouvoirs de contrôle de l’autorité. Les premiers résultats d’août 2026 précèdent ce cycle. Leur lecture doit donc conserver la date, la population et l’origine déclarative de chaque indicateur. S17

La valeur suit les droits d’utilisation

Les six volets ont suivi une information depuis sa collecte jusqu’à ses acheteurs, ses produits dérivés et ses copies résiduelles. Les sanctions interviennent à plusieurs endroits de cette chaîne. Elles peuvent agir sur un accès, un usage, un historique ou l’organisation du contrôle.

Une amende se lit dans une monnaie et à une date. Une restriction se lit dans les services encore autorisés. Une obligation de retrait se suit dans les fichiers et chez leurs destinataires. Réunir ces lectures permet d’examiner les effets commerciaux d’une décision avec davantage de précision que le seul montant affiché dans un communiqué.

La valeur d’une donnée dépend aussi du droit de continuer à l’utiliser. Les règles peuvent modifier cette utilité, imposer une autre source ou rendre l’exploitation plus exigeante. Le travail restant pour évaluer leur efficacité porte sur les marges des usages retirés, les coûts de mise en conformité et la continuité des suppressions. Ces résultats détaillés demeurent inégalement accessibles dans les dossiers publics étudiés.

Parcourir les six volets

1. L’économie de la collecte
2. La chaîne des intermédiaires
3. La fabrication des profils
4. Les acheteurs et leurs contrats
5. La vie des copies après le contrat
6. Le prix des règles, ce dernier volet.

Sources et méthode

Recherche arrêtée au 19 septembre 2026. Les décisions de la CNIL, les ordonnances américaines issues d’accords, les déclarations contractuelles des entreprises et les bilans de CalPrivacy sont attribués selon leur nature. Les accords américains comportent leurs propres clauses relatives à l’admission des allégations. La décision Mobius a été consultée sur Légifrance.

L’analyse repose sur les documents publics cités. Elle ne comprend ni accès aux bases des entreprises, ni campagne de demandes DROP, ni entretiens ou audits exécutés par l0g. Les schémas représentent des effets possibles des dispositifs, une chronologie et deux indicateurs publiés. Les estimations de revenus et de valorisation de Mobilewalla sont attribuées aux sociétés.

1. S01 · Mobilewalla–SPACSphere : accord de rapprochementSPACSphere / SEC EDGAR · accord du 2026-05-29, dépôt du 2026-06-01. §§ 4.05(b)(ii), 4.14(b), 4.14(m). Consulté le 2026-09-19.
2. S02 · SPACSphere : communication relative à l’accordSPACSphere / SEC EDGAR · dépôt du 2026-06-01. Item 1.01 ; portée des déclarations et garanties, p. 4. Consulté le 2026-09-19.
3. S03 · Mobilewalla–SPACSphere : communiqué de l’opérationMobilewalla / SPACSphere / SEC EDGAR · 2026-06-01. Chiffres annoncés par les sociétés ; ARR au 2026-04-30 ; Transaction Overview. Consulté le 2026-09-19.
4. S04 · Mobilewalla : ordonnance finaleFTC · ordonnance émise le 2025-01-13, publiée le 2025-01-14. §§ II et XV.B. Consulté le 2026-09-19.
5. S05 · Mobilewalla : publication de l’ordonnanceFTC · 2025-01-14. Publication de l’ordonnance finale. Consulté le 2026-09-19.
6. S06 · Mobius : délibération SAN-2025-014CNIL / Légifrance · décision du 2025-12-11, publication du 2025-12-19. §§ 64–67, 104–110 ; dispositif. Consulté le 2026-09-19.
7. S07 · CNIL : annonce de la sanction MobiusCNIL · 2025-12-19. Articles 28, 29 et 30 ; montant de l’amende. Consulté le 2026-09-19.
8. S08 · RGPD : article 83 et plafonds des amendesUnion européenne / CNIL · article 83, paragraphes 2, 4 et 5. Consulté le 2026-09-19.
9. S09 · Avast : plainte et ordonnance finaleFTC · 2024-06-26. Ordonnance III, VI–IX ; PDF p. 18–24. Consulté le 2026-09-19.
10. S10 · FTC : paiements aux clients AvastFTC · 2025-12-02. Sommes envoyées et nombre de clients ayant présenté une demande valable. Consulté le 2026-09-19.
11. S11 · Avast : FAQ sur le règlement JumpshotAvast · déclaration de l’entreprise. Introduction : fermeture et arrêt de collecte en janvier 2020 ; position sur le règlement. Consulté le 2026-09-19.
12. S12 · Avast : chronologie officielleFTC · entrées du 2024-06-26 et du 2025-12-02. Consulté le 2026-09-19.
13. S13 · Gravy–Venntel : plainte et ordonnance finaleFTC · ordonnance émise le 2025-01-13, publiée le 2025-01-14. Définitions G–L ; §§ II, III, VII et XIII. Consulté le 2026-09-19.
14. S14 · Gravy–Venntel : chronologie officielleFTC · entrée du 2025-01-14. Consulté le 2026-09-19.
15. S15 · Kochava : ordonnance judiciaire signéeU.S. District Court for the District of Idaho / FTC · signée et déposée le 2026-06-25, publiée par la FTC le 2026-06-26. Document 138 ; §§ II–III, XV et XVIII. Consulté le 2026-09-19.
16. S16 · Kochava : chronologie officielleFTC · entrées du 2026-05-04 et du 2026-06-26. Consulté le 2026-09-19.
17. S17 · Californie : Civil Code § 1798.99.86California Legislature · version issue de SB 361, en vigueur le 2026-01-01. Paragraphes c, d et e. Consulté le 2026-09-19.
18. S18 · DROP : traitement et suivi des demandesCalPrivacy · étapes de rapprochement, statuts, cycle de 45 jours, demandes persistantes et prestataires. Consulté le 2026-09-19.
19. S19 · DROP : bilan du 25 août 2026CalPrivacy · 2026-08-25. Inscrits, courtiers et résultats rapportés par les courtiers. Consulté le 2026-09-19.
20. S20 · DROP : inscription, frais et sanctionsCalPrivacy · tarif d’inscription 2026 et sanctions possibles. Consulté le 2026-09-19.
21. S21 · DROP : règlement d’applicationCalPrivacy · règlement en vigueur le 2026-01-01. §§ 7610–7614, notamment accès, rapprochement et statuts. Consulté le 2026-09-19.
22. S22 · CEPD : avis 22/2024 sur les sous-traitantsComité européen de la protection des données · adopté le 2024-10-07. §§ 31–32 et 69–71. Consulté le 2026-09-19.
23. S23 · Mobilewalla–SPACSphere : dépôt du projet de prospectusMobilewalla / SPACSphere / SEC EDGAR · 2026-08-12. Item 8.01 : dépôt du S-4 et statut préliminaire. Consulté le 2026-09-19.