Equifax

Liste des principaux actionnaires au 10 novembre 2021[9] :

Equifax opère depuis plus d'un siècle essentiellement en Amérique du Nord, mais elle est aussi présente en 2017 en Amérique latine, en Europe et en Afrique^[Où ?] (via certaines filiales^{[Lesquelles ?]}) dans plus d'une vingtaine de pays, dont au moins (en 2017) : Argentine, Australie, Brésil, Cambodge, Canada, Chili, Costa-Rica, Équateur, Salvador, Honduras, Inde, Malaisie, Mexique, Nouvelle-Zélande, Paraguay, Pérou, Portugal, Russie, Arabie saoudite, Singapour, Espagne, Royaume-Uni et Uruguay[7]^,[8].

Ce nombre varie selon les sources ;

• 6 900 employés en 2017 selon le profil de l'entreprise tel que présenté sur le site d'Equifax-Canada [8] ; .
• près de 10 000 employés en 2017 selon d'autres sources qui ajoutent le nombre des correspondants (ainsi en 2011 il y avait environ 6 800 employés directs, et 5 000 intervenants externes[10]).

Alors que le crédit est devenu un outil[11] majeur de l'industrie et du commerce local et global, les banques et autres créanciers cherchent à savoir si leurs clients sont de confiance. Parmi d'autres, une société américaine est créée en 1899 sous le nom Retail Credit Company (RCC) pour répondre à ce type de demande. Les gens sont-ils honnêtes et à quel point[12] ou mauvais payeurs[13], solvables et en bonne santé, ou s'ils cachent des choses à leurs banquiers ou assureurs (peut-on avoir confiance dans les gens ? s'interroge H Bennet en 1919 [14]). Rapidement de nombreuses entreprises voudront mieux connaitre leurs clients ou leurs employés et les risques liés à certains comportements[15].

Dans toutes les grandes villes américaines, les unions bancaires, d'assureurs et de commerçants systématisent alors l'usage du « credit scoring » ; c'est ce système qui a été informatisé qui fait aujourd'hui classer chaque américain d'après un nombre à trois chiffres, qui déterminera notamment ses chances d’obtenir un appartement, une voiture, une maison, une assurance ou un prêt (et qui déterminera le montant des mensualités du prêt). Plus le nombre (score) est bas, plus les mensualités seront lourdes et plus le dossier risquera d'être rejeté[16]. Le score est calculé par un algorithme ; il varie de 300 à 850 ou de 501 à 990 selon la formule choisie.

Après la Première Guerre mondiale, en 1920, RCC ouvre des bureaux au Canada et s'y développe.

Dans les années 1930-1940, les données de la Retail Credit Company sont également utilisées pour des études médicales (pour retracer avec plus de précisions le passé de patients)[17].

Dans les années 1960, Retail Credit Company (RCC) est devenu l'un des plus importants « Credit Bureaus » (bureaux sur le crédit) du pays, détenant des dossiers sur des millions de citoyens américains et canadiens.

La société continue à faire des enquêtes et rapports sur le crédit, en évaluant notamment la propension des personnes à dépenser et/ou s'endetter[18], mais oriente de plus en plus ses activités vers la rédaction de rapports aux compagnies d'assurance (pour leur permettre d'évaluer les capacités de remboursement de clients recherchant de nouvelles polices d'assurance, y compris en matière d'assurance vie, d'assurance automobile, d'assurance incendie et d'assurance médicale).

Toutes les grandes compagnies d'assurance anglophones ont utilisé les services de RCC pour obtenir des renseignements sur la santé de leurs clients, ainsi que sur leurs habitudes, leur morale, leur utilisation de véhicules et leurs finances. RCC enquêtait aussi sur les demandeurs d'assurance et produisait des rapports pour aider des employeur à évaluer des personnes cherchant un nouvel emploi.

Une grande partie du travail sur le crédit était alors effectuée par une filiale : Retail Commercial Commercial Agency.

Les activités inquisitrices de la Retail Credit Company et sa capacité à vendre des informations privées et discriminatoires sur les personnes à de nombreuses entités, sans demander d'autorisation aux personnes concernées, ont suscité des critiques, qui se sont durcies dans les années 1960 et 1970 jusque chez les juristes et le législateur qui s'inquiètent d'utilisation abusive des informations recueillies par les agences de notation et produisent une loi pour les limiter (Fair Credit Reporting Act)[19]. Les reproches portaient notamment sur le fait que cette la recueillait méticuleusement dans des dossiers personnalisés et « secrets »[20] « (...) des faits, des statistiques, des inexactitudes et des rumeurs… sur pratiquement toutes les phases de la vie d'une personne, ses métiers actuels et antérieurs, ses antécédents médicaux et familiaux, ses difficultés conjugales, ses emplois, son histoire scolaire, sa réputation (et celle de ses parents), son enfance, sur le fait qu'il est sédentaire ou non, sur sa vie sexuelle, sa relation à l'alcool et aux drogues, ses revenus annuels, et ses activités politiques »[21]^,[22] et ce depuis plus d'un siècle[23]. La société aurait également récompensé certains de ses employés pour avoir recueilli des informations « négatives » sur des personnes[21].

En 1970, la compagnie décide de déménager et de se moderniser en créant des bases de données informatiques avec ses enregistrements. Ceci se fait au risque d'une disponibilité beaucoup plus large de millions d'informations personnelles qu'elle détenait déjà, ce qui inquiète certains observateurs et décideurs. En conséquence, le Congrès tient des audiences qui ont abouti à la promulgation de la Fair Credit Reporting Act, la première loi donnant droit aux consommateurs d'avoir accès aux informations les concernant stockées dans les banques de données d'entreprises. Désormais, chaque citoyen américain (puis canadien) peut connaître le contenu du dossier que tient l'agence d'évaluation du crédit à son sujet.

Il a été allégué que ce sont ces audiences qui ont incité la Société Retail Credit Company à se rebaptiser en Equifax (en 1975) pour effacer cette image[21] de « big brother du crédit » qu'elle n'a pas pu perdre tout à fait[24].

Dans les années 1990 émerge la société de l'information. Des sociétés comme RCC et ses concurrentes Dun & Bradstreet et Experian en deviennent des acteurs-clé pour le monde de la finance[25]. La société se développe en thésaurisant et vendant cette information, y compris sous forme notamment de rapports sur les crédits commerciaux concernant des dizaines de milliers d'entreprises (des États-Unis, du Canada et du Royaume-Uni).

Elle a peu à peu réduit ses activités de reporting sur l'assurance et a fermé sa division vendant des informations spécialisées sur le crédit auprès des assurances (y compris sa base de données d'échange de souscription de perte complète (CLUE) en tant que ChoicePoint en 1997). Le scoring se développe encore aux États-Unis pour notamment garantir certains crédits hypothécaires, en endettant plus encore les plus pauvres, dont certains se tournent vers des "redresseurs de crédits" qui leur prêtent de l'argent à des taux encore plus élevés, pour qu'ils puissent faire remonter leur score, un système qui contribuera à la crise de 2008. Les bailleurs utilisent aussi ces scores pour choisir leurs locataires.

Alors que l'informatique se développe dans le monde, Equifax a durant un certain temps offert des services de certification numérique.

En septembre 2001, les services de certification sont vendus à GeoTrust. Cette même année, Equifax se sépare de sa division de contrôle ou évaluation des paiements, constituant une société cotée en bourse : Certegy, qui a ensuite (en 2006) acquis Fidelity National Information Services, Certegy devenant alors une filiale de Fidelity National Financial via une opération de fusion-acquisition inverse [26].

En octobre 2010, Equifax acquiert Anakam, une société spécialisée dans les logiciels de vérification d'identité[27].

En octobre 2011, Equifax achète eThority une société de business intelligence (BI) basée à Charleston (Caroline du Sud). Le groupe associe cette nouvelle acquisition à TALX (une unité d'affaires d'Equifax basée à St. Louis) mais en conservant son siège à Charleston[28].

Equifax Workforce Solutions est l'une des 55 entreprises retenues par le département de la Santé et des Services sociaux des États-Unis pour travailler sur son site Web HealthCare.gov[29].

Equifax a fait l'objet de plus de 57 000 plaintes de consommateurs auprès du Bureau américain de protection des consommateurs d'octobre 2012 au 17 septembre 2017[30].

En septembre 2017, Equifax a annoncé avoir subi une cyberattaque massive, qui concerne des dizaines de millions de résidents américains, anglais et canadiens.

Equifax durant la plus grande partie de son existence semble avoir principalement travaillé pour le secteur des entreprises, leur vendant des rapports sur le crédit à la consommation et les assurances ainsi que des analyses connexes, pour une large gamme de secteurs économiques et industriels. Ses clients sont des détaillants, des entreprises d'assurance, des fournisseurs de soins de santé mais aussi des services publics, des organismes gouvernementaux, et des banques, des coopératives de crédit, les sociétés de financement spécialisées et d'autres institutions financières.

Equifax commercialise des rapports sur le crédit, des analyses, des données démographiques mais aussi des logiciels.

Les rapports sur le crédit contiennent des informations détaillées sur le crédit personnel et sur l'historique des paiements des particuliers (indiquant par exemple comment ils ont honoré ou non le paiement de leurs factures ou le remboursement d'un prêt).

Les banquiers, assureurs et autres fournisseurs de prêts et crédits sont supposés utiliser ces informations pour décider des produits ou services qu'ils accepteront d'offrir à leurs clients et à quelles conditions.

Equifax fournit également des rapports de crédit commerciaux, semblables à ceux de Dun & Bradstreet, contenant des données financières et non financières sur des entreprises de toutes tailles.

Equifax recueille et fournit des données via le NCTUE (système d'échange de données autres que sur le crédit, incluant l'historique de paiements des consommateurs sur les comptes de télécommunications et de divers services publics).

Depuis 1999 Equifax offre aussi des services au secteur des consommateurs de crédit en plus, comme la fraude de crédit et les produits de prévention de vol d'identité. En 2014 Equifax a lancé au Canada un site Web dédié aux ressources mobilisables en cas d'atteinte à la protection des données d'entreprises canadiennes[31].

Equifax propose également des produits et services en vue de la prévention des fraudes basés sur l'empreinte digitale des appareils tels que « FraudIQ Authenticate Device »[32]

Equifax (et d'autres organismes de surveillance du crédit) sont tenus par la loi de fournir aux résidents des États-Unis une déclaration gratuite du dossier de crédit tous les 12 mois ; Le site Web de Annualcreditreport.com intègre des données provenant des enregistrements de crédit d'US Equifax.

Mi-2017, bien qu'autoproclamé spécialiste du big data, de la sécurité informatique et de la protection des données privées, le groupe a fait l'objet d'une intrusion exploitant une faille de sécurité d'une application Web, exposant des données privées de tout ou partie de ses clients, essentiellement américains et canadiens (potentiellement 143 millions), ajoutés de résidents britanniques (entre 400 mille et 44 millions) qui n'auraient vraisemblablement jamais dû être touchés (l'entreprise a expliqué que des dossiers britanniques avaient été conservés « par erreur » aux États-Unis de 2011 à 2016).

Sans lien avec la cyberattaque médiatisée, une autre faille majeure de sécurité aurait par ailleurs pu facilement compromettre les données de 14 000 clients argentins, car une application web d'Equifax en Argentine était insuffisamment sécurisée[33]^,[34]. Selon Alan Woodward, expert en cybersécurité de l'Université de Surrey interrogé par la BBC, un simple contrôle basique de sécurité informatique aurait dû détecter ce type de faille et d'erreurs. « Ceci ne devrait pas se produire, et répondre que le problème a été réglé n'est pas le sujet : ceci pose un énorme point d'interrogation sur l'utilisation par Equifax des ressources appropriées pour la sécurité en ligne ailleurs » a commenté Woodward[34].

L'intrusion a été découverte le 29 juillet 2017, mais avait débuté dès le 13 mai, et n'a été publiquement révélée que le 7 septembre 2017[35]^,[36]^,[37], laissant en outre « le temps pour 3 dirigeants de vendre leurs actions avant la dégringolade » ont commenté certains observateurs[38] (Sur le New York Stock Exchange, l’action Equifax a immédiatement chuté de 13 % après cette révélation). Selon les médias, ont été ainsi volés noms, adresses postales, dates de naissance et numéros de sécurité sociale et de permis de conduire (classiquement utilisés pour vérifier les identités), ainsi qu'environ 209 000 numéros de cartes bancaires[38]. Ont de même été dérobées ou consultées des informations concernant des conflits (informations d'identification personnelle incluses) touchant environ 182 000 consommateurs américains[39]^,[40].

En septembre 2017, Equifax a annoncé avoir fait auditer cette intrusion via une société de cybersécurité (Mandiant) [38].

De nombreux commentateurs et clients se sont dits choqués par la légèreté et le cynisme de certains dirigeants de l'entreprise : le PDG, Richard Smith a seulement qualifié ce piratage d'« événement décevant », et l'entreprise a offert un an de gratuité pour une option TrustedID (garantissant protection provisoire contre l’usurpation d'identité et suivi du dossier de crédit) à ses clients américains piratés ou potentiellement piratés, leur enjoignant néanmoins dans les conditions d'adhésion de ne pas intenter d’action collective contre Equifax[38]^,[41] ; mais face à la colère de ses clients et à la suite d'une rencontre avec Eric Schneiderman, procureur général de l'État de New-York[42], l'agence a modifié ce contrat, offrant une protection supplémentaire (via un générateur aléatoire de mot de passe) associée aux codes PIN délivrés aux clients pour confirmer la souscription[43].

Selon une « plainte pour négligence » déposée dans l’État de Californie, Equifax avait déjà successivement connu en 2013 et 2016 des problèmes de sécurité de moindre importance.

Enfin, Bloomberg a révélé que trois des patrons d'Equifax avaient vendu une grande part de leurs actions avant l'annonce du piratage[40] (pour près d'un million de dollars vendus par le directeur financier d'Equifax John Gamble début août et pour 584 000 et 250 000 dollars vendus par les deux autres[38]). Equifax a certifié qu'aucun des trois n'avait été avertis de cette faille informatique, mais, au vu de leur position hiérarchique dans l'organigramme du groupe, plusieurs commentateurs ont appuyé l'hypothèse d'un possible délit d'initiés[38]^,[40]. (Trente six sénateurs américains ont demandé à ce qu'une enquête fédérale soit ouverte à ce propos [34]).
Selon l'agence Reuters, une trentaine de plaintes contre Equifax ont déjà déposées en l'espace de quelques jours (entre le vendredi et le mardi qui ont suivi l'annonce), ouvrant la voie à une action collective. De nouvelles failles ont été ultérieurement dévoilées, occasionnant une nouvelle chute du cours de l’action (- 20,7 % en deux séances, soit près de 3,5 milliards de dollars de capitalisation boursière).
Martin Hall, chercheur en sécurité pour ZDNet, a ensuite découvert sur le site d’Equifax une nouvelle grave faille de sécurité touchant la configuration du suivi des comptes de crédit (sans qu'aucune forme d'exploitation malveillante n'ait été cependant avérée).

Comme le droit américain reste lacunaire en matière de contrôle de protection des données personnelles de ce type et du contrôle des entreprises (4 mois après le piratage, ne pouvant poursuivre Equifax, l'État fédéral américain et sa Federal Trade Commission se sont bornés à lui enjoindre de s'engager à assurer une meilleure protection de ses clients[44]), certains médias américains, comme le New-York Times, ont réclamé un renforcement des sanctions en cas de fuite de données[38] en évoquant l'exemple du projet européen de Référentiel général sur la protection des données (RGPD) annoncé comme opérationnel à partir de mai 2018. Certains parlementaires américains, comme Orrin Hatch (président républicain de la Commission des finances du Sénat des États-Unis), ont exigé d'Equifax une plus claire et plus exacte chronologie du piratage.

Maura Healey, procureur général du Massachusetts, a annoncé vouloir poursuivre Equifax pour violation des règles de sécurité ayant exposé les données personnelles de plus de 143 millions de citoyens américains[42]. Les procureurs généraux de New-York, Pennsylvanie, Connecticut et Illinois avaient déjà eux-mêmes ouvert une enquête[42]. Le 15 septembre 2017, le Commissariat canadien à la protection de la vie privée a également annoncé ouvrir sa propre enquête.

Le 22 juillet 2019, la Federal Trade Commission annoncera avoir conclu un accord avec le groupe Equifax aux termes duquel ce groupe a accepté de payer au moins 575 millions de dollars d’amende pour solder les différentes enquêtes liées au piratage de ses données.

En 2013, l'Union des consommateurs du Québec déplorait l'importance prise par le « scoring » des consommateurs (une mauvaise note ou un mauvais dossier peut injustement faire rejeter une demande de prêt ou l'activation d'une ligne de téléphonie sans fil ou par exemple faire augmenter le coût d'une assurance automobile - sans que l'on soit moins bon conducteur ; et « six mois de chômage peuvent effacer 25 ans de conduite exemplaire »)[24]. De plus le score dépend principalement du nombre de crédits déjà contractés, de la santé et du travail de la personne, du fait que les remboursements passés aient ou non été faits à échéance.. et non des ressources réellement disponibles[16]. L'Union des consommateurs du Québec recommande aux consommateurs de vérifier une fois par an au moins le contenu de leur dossier chez leur Agence de crédit, car une étude conduite aux États-Unis a montré que ces dossiers contiennent souvent des erreurs pénalisantes[24]. Aux États-Unis[50] et au Canada, Equifax est obligé de corriger ces erreurs, mais ceci prend au moins un mois[24].

Bien que n'étant pas une banque, Equifax a légalement accès à des données normalement privées, grâce aux lois destinées à contrer le blanchiment d'argent[51], mais des organisations de consommateurs lui reprochent d'ensuite vendre ces informations ou des déductions faites à partir de ces informations à d'autres parties que les banques[24].

En 2012, selon la Fédération américaine du commerce, 10 à 26 % des dossiers de crédit contenaient des renseignements erronés. Des prêts étaient par exemple attribués à un mauvais emprunteur et dans 5 % des cas ces erreurs pouvaient induire une hausse des taux d'intérêt exigés aux consommateurs touchés[24].

Ces agences d'évaluation américaines, pas plus que les agences de notation financière n'ont vu venir la crise de 2008, et en outre, elles n'ont protégé ni les banques, ni les consommateurs contre les effets de la crise des subprimes. Selon l’historien Louis Hyman (auteur de Debtor Nation[52]), l'endettement des ménages américains n’est pas un dérèglement récent ; c'est une manifestation du « rêve américain » tel que développé dans les années 1950, voire sa vraie raison d’être : vivre et acheter à crédit. Sa thèse soutenue à Harvard a donné un livre qui décrit la complexité grandissante des instruments de crédit proposés aux américains, qui a conduit à la crise de 2008[53].

Depuis quelques années, ces agences rachètent les données personnelles des salariés aux sociétés éditrices de logiciels de gestion de paie[54], même si théoriquement, chaque salarié peut refuser ce transfert.