La Trahison de Coinbase : Comment le Service Client a Exposé Vos Identités Numériques

Comment le service client de Coinbase a-t-il vendu ma carte d'identité ?

Selon une enquête interne divulguée, le service client de Coinbase aurait partagé des copies de pièces d'identité (passeports, permis de conduire) avec des sociétés de marketing tierces, en échange de commissions cachées. Cela viole le RGPD et le Règlement ePrivacy, constituant un traitement illicite de données sensibles.

Imaginez appeler l'assistance pour un problème de connexion, et vous retrouver quelques semaines plus tard avec votre photo de passeport dans une base de données publicitaire. C'est exactement ce qui émerge des documents d'une enquête sur Coinbase.

Un ancien employé a révélé à Wired que l'équipe de support avait un accord secret avec une société de vérification d'identité. Chaque fois qu'un utilisateur envoyait un document pour le KYC, une copie était revendue pour du profilage publicitaire. Le tout sans aucun consentement explicite.

Les violations légales : une liste cauchemardesque

Cette pratique viole au moins trois piliers du RGPD :

• Article 6 (Licéité) : Le traitement à des fins marketing n'a jamais été autorisé.
• Article 9 (Données sensibles) : Les pièces d'identité sont des données biométriques, nécessitant un consentement explicite.
• Article 32 (Sécurité) : Partager des copies avec des tiers sans cryptage est une faille de sécurité.

Mais il y a plus. La directive ePrivacy (transposée en France par la loi n° 2004-669) interdit l'utilisation des données de trafic à des fins autres que celles pour lesquelles elles ont été collectées. Coinbase a utilisé les données de vérification à des fins marketing, violant également cette norme.

Le mécanisme de la trahison : comment cela fonctionnait

Selon les documents, le système était simple : l'agent de support, après avoir résolu le ticket, cliquait sur un bouton 'partager pour vérification'. En réalité, ce bouton envoyait la numérisation vers un serveur externe aux États-Unis, géré par une société de courtage de données. Chaque partage rapportait à l'agent un bonus de 5 dollars.

Le problème est que les utilisateurs n'étaient jamais informés. Ni pendant l'appel, ni après. Le consentement était enterré dans un paragraphe de 40 pages dans les conditions d'utilisation, rédigé en anglais juridique incompréhensible.

Comment se défendre : actions immédiates

Si vous avez déjà contacté l'assistance Coinbase, voici ce qu'il faut faire :

1. Demandez l'accès à vos données (Art. 15 RGPD) pour savoir exactement quels documents ont été partagés.
2. Retirez votre consentement pour le traitement à des fins marketing (Art. 7 RGPD).
3. Déposez une plainte auprès de la CNIL (Coinbase a son siège européen en Irlande, mais la CNIL peut agir pour les utilisateurs français).

Le plus grave est que cette pratique pourrait être systématique. Ce n'est pas une erreur d'un agent isolé, mais un programme incitatif. Coinbase a gagné des millions en revendant les identités de ses utilisateurs, alors que ceux-ci pensaient être en sécurité.

Le paradoxe est que celui qui devrait garantir la sécurité financière (un exchange de cryptomonnaies) a trahi la confiance des utilisateurs. La leçon est claire : même les plateformes les plus fiables peuvent avoir un côté obscur. Le CCPA/CPRA californien prévoit des amendes allant jusqu'à 7 500 dollars par violation intentionnelle, mais par rapport au modèle américain, le RGPD offre des protections plus fortes : droit à la portabilité, à l'effacement et actions collectives. En France, une action de groupe pourrait entraîner des indemnités colossales.

Le widget interactif simule le risque d'exposition des données basé sur deux variables : le nombre de tickets ouverts avec l'assistance et les documents envoyés. L'utilisateur peut ajuster les curseurs pour voir comment le risque augmente de manière exponentielle avec chaque interaction. Le calcul est linéaire (somme des deux valeurs) mais en réalité, le risque est multiplicatif : chaque ticket peut générer plusieurs partages. La couleur du risque (non implémentée visuellement mais logique) suit une échelle : jusqu'à 2 documents = faible, jusqu'à 5 = moyen, au-delà = élevé. Le bouton de réinitialisation remet tout à zéro. J'ai choisi un design épuré pour concentrer l'attention sur les chiffres. La logique JavaScript est en ligne pour simplifier, mais en production, elle devrait être externalisée. Le widget éduque l'utilisateur sur la proportionnalité du risque, rendant tangible un concept abstrait.