Plus je lis sur les courtiers de données, plus l’écart me dérange : un profil peut influencer publicité, offre ou risque sans que la personne voie les champs qui le composent. Le courtier rassemble achats, formulaires, navigation et registres, puis relie les sources avec des identifiants.

Le rapprochement déterministe utilise courriel, téléphone ou compte identique. Le rapprochement probabiliste compare adresse, appareil, foyer et habitudes pour produire une probabilité. Une erreur n’est pas seulement un mauvais nom; elle peut assigner un segment sensible à la mauvaise personne.

De l’événement au segment

Le flux pourrait être :

1. un commerçant exporte client_hash, produit, date;
2. une régie publicitaire fournit cookie, pages, appareil;
3. un service relie les identifiants connus;
4. un modèle attribue « acheteur probable de vélo »;
5. le segment est vendu ou activé;
6. une campagne renvoie impressions et clics;
7. ces réponses enrichissent encore le profil.

Hacher un courriel ne l’anonymise pas si tous les partenaires utilisent le même hash : il devient une clé stable. Les valeurs possibles peuvent aussi être recalculées. Un identifiant pseudonyme reste une donnée personnelle lorsqu’il relie le comportement.

Le modèle devrait garder provenance, date, score et expiration. Une préférence vieille de cinq ans ne vaut pas un achat récent. Une personne doit pouvoir demander accès, correction et suppression; cela exige que l’organisation sache retrouver toutes les copies et partenaires.

Réduire les dommages d’une inférence fausse

Les segments sensibles — santé, religion, situation financière — demandent une interdiction ou un contrôle beaucoup plus fort. Une décision importante ne devrait pas reposer uniquement sur un segment probabiliste. On explique les facteurs, offre un recours et vérifie les biais par groupe.

Les exports sont chiffrés, limités et journalisés. Les environnements de développement utilisent des données synthétiques. Une fuite de profils peut révéler davantage qu’une table de noms parce qu’elle rassemble les comportements. La rétention et la suppression doivent atteindre sauvegardes et dérivés selon un calendrier défini.

Le fournisseur qui reçoit la donnée ne doit pas la revendre sans chaîne contractuelle connue. Un inventaire des transferts et un identifiant de lot permettent de rappeler un jeu erroné. Sans provenance, corriger la source ne corrige pas les modèles déjà produits.

Séparer identité, foyer et appareil

Un même téléviseur peut servir plusieurs personnes; un compte peut contrôler plusieurs objets; un foyer change. Je modéliserais ces entités séparément avec des relations datées. Le profil publicitaire ne devrait pas attribuer automatiquement chaque émission à la personne qui a acheté l’appareil. Les rôles propriétaire, membre et invité limitent contrôle et historique. Lors d’un transfert, la relation est fermée et les profils dérivés expirent. Cette structure réduit les conclusions fausses et permet une suppression ciblée. Elle évite aussi qu’un identifiant matériel permanent soit utilisé comme raccourci pour une identité humaine qu’il ne représente pas.

Je construirais une fiche de lignée pour un seul segment : sources, clés, formule, consommateurs, durée et procédure de contestation. Puis j’injecterais une correction et vérifierais sa propagation. Si l’équipe ne peut pas effacer ou corriger le portrait, elle ne devrait pas lui donner beaucoup d’autorité.