Reprendre la main sur ses traces

Le chapitre précédent réagissait, celui-ci prévient

Le chapitre 7 traitait de l’usurpation d’identité, une fois qu’elle a eu lieu.

Une partie du matériau des fraudeurs se trouve pourtant en accès libre, et il est possible d’en réduire la quantité.

Des sites agrègent et republient des données personnelles : annuaires inversés, sites de recherche de personnes, revendeurs de données. S’y ajoutent vos propres traces, anciens comptes, profils oubliés, mentions dans des documents publiés.

L’objectif réaliste n’est pas de tout effacer. C’est de réduire ce qui est publiquement accessible, en sachant que des caches, des archives et des copies privées peuvent subsister.

Étape 1, retrouver

Commencez par un inventaire, en cherchant votre nom et ses variantes, entre guillemets, sur plusieurs moteurs. Ajoutez votre ville ou votre activité pour écarter les homonymes.

Notez pour chaque résultat trois choses : l’adresse exacte de la page, le nom de l’organisme qui la publie, et le lien de sa procédure de suppression lorsqu’elle existe.

Vous pouvez demander à une IA de dresser cette liste à votre place, et c’est un usage légitime. Deux précautions s’imposent alors, et elles ne sont pas facultatives.

Ne lui donnez que le strict nécessaire pour vous distinguer d’un homonyme : jamais de pièce d’identité, d’adresse complète, de numéro fiscal, de coordonnées bancaires ni de mot de passe. Et ouvrez vous-même chaque résultat : une IA confond régulièrement deux personnes du même nom et produit des liens qui n’existent pas.

Étape 2, demander

Faites d’abord le tri. Tout ce qui est publié sur vous n’est pas à supprimer : votre site, vos profils professionnels, un article de presse vous concernant peuvent avoir vocation à rester.

Pour le reste, l’article 17 du RGPD vous ouvre un droit à l’effacement. Trois points doivent être compris avant de l’invoquer.

Ce droit n’est pas absolu. Il cède notamment devant la liberté d’expression et d’information, une obligation légale de conservation, ou un motif d’intérêt public. Un article de presse ne s’efface pas parce qu’il déplaît.

L’organisme dispose d’un mois pour répondre, délai qu’il peut prolonger de deux mois supplémentaires si la demande est complexe, à condition de vous en informer.

Enfin, le déréférencement n’est pas la suppression. Faire retirer un résultat d’un moteur de recherche ne retire pas la page : elle reste en ligne chez son éditeur, accessible par son adresse. Les deux démarches sont distinctes et peuvent se mener en parallèle.

En pratique, privilégiez le formulaire officiel de l’organisme lorsqu’il existe. À défaut, un courriel suffit : identifiez-vous, désignez la page précise, invoquez l’article 17, et demandez une confirmation écrite.

Conservez tout : la date, une capture de la page avant suppression, l’accusé de réception, le numéro de dossier. C’est ce dossier qui vous servira si vous devez saisir la CNIL.

Faut-il laisser une IA envoyer ces demandes ?

Certains outils proposent aujourd’hui de connecter votre messagerie à un assistant, pour qu’il rédige et envoie les demandes à votre place.

C’est techniquement possible, et l’économie de temps est réelle sur une liste de trente sites. Trois réserves méritent pourtant d’être posées.

Vous envoyez un acte juridique. Une demande mal adressée, visant la mauvaise page ou un homonyme, engage votre nom. Demandez des brouillons, relisez-les, envoyez-les vous-même : le gain de temps reste considérable et le risque disparaît.

Connecter une messagerie donne un accès large à un tiers. Si vous le faites, limitez-le dans le temps, exigez une validation avant chaque action, et déconnectez ensuite. Sachez que déconnecter bloque les accès futurs mais n’efface pas ce qui a déjà transité : supprimez aussi les conversations concernées.

Enfin, ces fonctions sont réservées aux offres payantes. La méthode décrite ici fonctionne intégralement à la main, gratuitement, et c’est ainsi qu’elle est utilisable par tout le monde.

Étape 3, vérifier et relancer

Une demande envoyée ne vaut pas une donnée effacée. Rouvrez les pages concernées une semaine plus tard, puis un mois plus tard.

Trois questions à chaque passage : la page est-elle encore accessible, les informations sont-elles encore visibles, la demande a-t-elle reçu une réponse ?

Sans réponse au terme du délai, ou en cas de refus que vous estimez injustifié, vous pouvez adresser une plainte à la CNIL, en joignant votre demande initiale et les preuves de son envoi. C’est précisément à cela que sert le dossier constitué à l’étape 2.

Les cinq règles à retenir

Donnez le minimum nécessaire, à un moteur comme à une IA.

Vérifiez chaque résultat et chaque destinataire avant d’agir.

Privilégiez les formulaires officiels et les pages d’opposition dédiées.

Gardez la validation humaine avant toute transmission.

Documentez tout, parce que sans traces vous ne pourrez rien réclamer.

Ce chapitre clôt le cours. Vous savez désormais reconnaître les menaces, comprendre ce qui fait céder l’humain, protéger vos comptes, tenir une hygiène numérique, situer ce que l’intelligence artificielle change réellement, réagir à une usurpation d’identité, et réduire ce qui circule de vous.

En cas de difficulté, 17cyber.gouv.fr vous oriente à toute heure, et cnil.fr reçoit vos plaintes en matière de données personnelles.