Exercer votre droit d'accès chez Meta, tout seul, en attendant trente jours une réponse illisible : ce geste est légal, il ne bouge rien. La difficulté du RGPD, ce n'est pas ce qu'il permet en théorie, c'est le rapport de force qu'il ne rééquilibre pas. Face à une plateforme qui compte des centaines de millions d'utilisateurs, une demande individuelle est bruit de fond. Depuis quelques années, chercheurs et régulateurs explorent une autre piste : et si vos données étaient portées par un tiers qui vous représente collectivement ?
L'article fondateur de 2019
En octobre 2019, la revue International Data Privacy Law publiait un article signé Sylvie Delacroix (Alan Turing Institute et Université de Birmingham) et Neil D. Lawrence (Université de Cambridge). Son titre : "Bottom-up data Trusts: disturbing the 'one size fits all' approach to data governance". Les deux auteurs y proposent de réunir des individus qui confient collectivement leurs droits sur leurs données à un tiers de confiance, lui-même tenu par un devoir juridique de loyauté envers eux seuls.
Ce tiers, c'est le trustee (fiduciaire). Dans un trust ascendant, il n'est mandaté ni par la plateforme ni par l'État, mais par les personnes elles-mêmes. Il exerce en leur nom les droits que le RGPD leur donne à titre individuel : accès, effacement, portabilité, opposition. La différence tient au nombre : une demande portée par 500 000 personnes n'est plus un bruit de fond, c'est un rapport de force.
Les deux chercheurs le formulent ainsi : la manière cumulative dont nous produisons nos données pose un défi spécifique à nos libertés. Le RGPD, indispensable, reste insuffisant à corriger cette asymétrie s'il n'est pas doublé de structures qui redonnent une capacité de négociation aux personnes.
Pourquoi plusieurs fiducies plutôt qu'une seule
Delacroix et Lawrence défendent un point souvent oublié : il ne s'agit pas de créer une méga-fiducie qui gérerait toutes les données de tous les Français. Leur proposition, c'est un écosystème de fiducies concurrentes, chacune portant une éthique propre. Une fiducie médicale plutôt libérale sur le partage à la recherche, une autre plus restrictive. Une fiducie sociale qui négocie durement les conditions d'usage avec les plateformes, une autre qui privilégie la valorisation économique des données.
Chacun choisit celle qui correspond à ses valeurs, peut en changer ou en sortir. C'est ce pluralisme qui transforme la protection des données en un choix de société, pas en un régime uniforme imposé d'en haut.
La boîte à outils européenne
L'Union européenne n'a pas repris le mot trust (il n'a pas d'équivalent juridique exact dans nos droits continentaux). Elle a néanmoins créé deux figures qui s'en inspirent. Le Data Governance Act, règlement UE 2022/868 entré en vigueur le 23 juin 2022 et applicable depuis septembre 2023, définit :
-
Les services d'intermédiation de données. Ce sont des acteurs neutres qui font le lien entre les personnes détentrices de données et celles qui veulent les utiliser. Le règlement leur impose une neutralité stricte : pas de revente pour leur propre compte, séparation structurelle avec toute autre activité, respect du RGPD.
-
Les organisations altruistes des données. Elles collectent des données volontairement partagées par des particuliers ou des entreprises pour des finalités d'intérêt général : recherche médicale, climat, statistiques publiques.
En France, la loi visant à sécuriser et réguler l'espace numérique du 21 mai 2024 (loi SREN) a confié à la CNIL le rôle d'autorité compétente pour l'altruisme des données. La CNIL le définit officiellement comme « le partage volontaire de données, fondé sur le consentement des personnes concernées ou l'autorisation des détenteurs de données, sans contrepartie (au-delà des coûts de mise à disposition) », au service de l'intérêt général. Elle tient le registre national des organisations reconnues et peut les contrôler.
Où on en est vraiment en 2026
Ces mécanismes sont installés dans les textes, pas encore dans la vie quotidienne. Le registre européen des organisations altruistes existe. Les intermédiaires de données peuvent se déclarer. Mais le grand public n'utilise pas encore un intermédiaire de confiance pour gérer ses données comme il utilise sa banque pour son argent.
Le décollage bute sur des questions très concrètes. Un intermédiaire neutre, privé de revente pour son propre compte, doit trouver comment se financer sans compromettre son indépendance. Il doit aussi gagner la confiance de personnes qui se demandent, à raison, pourquoi confier leurs données à un tiers plutôt que de les garder chez elles. Et il lui faut du poids : un trust qui négocie pour 500 personnes ne pèse pas comme un trust qui en représente 500 000.
Ce que ça change pour vous
Concrètement, vous n'avez pas de geste à faire cette semaine à cause des fiducies de données. Aucune n'existe en France sous une forme grand public utilisable pour votre compte Instagram ou vos données de santé. Ce que vous pouvez faire, c'est intégrer le concept dans votre grille de lecture. Quand vous entendez qu'un service se présente comme « intermédiaire de confiance » ou « organisation altruiste », vérifiez son statut sur le registre de la CNIL. Quand un projet de loi français ou européen touche à la gouvernance des données, cherchez s'il ouvre ou ferme la porte à ces structures collectives.
Et surtout, gardez à l'esprit que la posture par défaut (« je gère mes données seul, un service à la fois, un cookie à la fois ») n'est pas la seule possible : des alternatives collectives se dessinent, même si elles mettent du temps à sortir des textes.
Fairmi n'est pas un trust juridique. C'est un outil individuel qui vous aide à identifier où vos données personnelles se trouvent aujourd'hui service par service, puis à les supprimer là où vous n'en voulez plus. Mais l'intuition est la même que celle de Delacroix et Lawrence : cesser de subir la dispersion pour reprendre la main. À votre échelle, chez vous, sans attendre que l'écosystème collectif se construise. Voir où vos données ont fuité et reprendre la main.