Cybersécurité et vie privée : protéger ses données en 2026

87% des Français ignorent où vont leurs données personnelles

Il y a deux ans, j’ai installé une application de lampe torche sur mon Android. Par curiosité, j’ai vérifié les permissions demandées : accès aux contacts, à la localisation et au microphone. Pour éclairer un couloir. Ce détail multiplié par des centaines d’applis installées sans réflexion montre bien comment fonctionne la collecte de données en 2026.

Chaque jour, on laisse des traces sur les réseaux sociaux, les boutiques en ligne, les applications de sport, de santé, de navigation. Mais peu de gens mesurent le volume et la finesse de ce qui est collecté. La localisation GPS toutes les quelques secondes. Les habitudes d’achat. Les contacts téléphoniques. Les cycles de sommeil depuis une montre connectée. Tout cela crée un profil détaillé de vos habitudes.

Les données de santé posent un risque particulier. Une application de suivi menstruel peut revendre ces informations à des assureurs ou des annonceurs. Six mois de localisation permettent de reconstituer précisément les lieux fréquentés : médecin, lieu de culte, domicile d’un ami, bar. Ce n’est pas théorique. C’est ce que font légalement des courtiers en données (data brokers) qui achètent et revendent ces profils.

Le comportement d’achat reste aussi très recherché. Un historique e-commerce couplé à des données de navigation permet de déterminer les revenus, les intérêts, les projets de vie d’une personne. Les impacts sont tangibles : publicité extrêmement ciblée, mais aussi discrimination algorithmique sur les prêts ou les tarifs d’assurance.

Comprendre l’ampleur de la collecte est le premier geste utile. Pas pour tomber dans la paranoïa – on y reviendra en conclusion – mais pour faire des choix informés.

Les mots de passe faibles causent 80% des cyberattaques réussies

Un mot de passe est souvent la seule barrière entre un compte bancaire et un inconnu quelque part dans le monde. Pourtant “123456” reste l’un des mots de passe les plus utilisés mondialement. Voici comment se comparent les cinq principales méthodes :

La phrase secrète souffre d’une mauvaise réputation. Quatre mots aléatoires séparés par un symbole résistent à la plupart des attaques par force brute tout en restant mémorisables. Le gestionnaire de mots de passe dépasse cependant cette approche au quotidien. Bitwarden (gratuit, open source) et 1Password génèrent et stockent des mots de passe uniques pour chaque service.

Pour aller plus loin : Cloud computing et cybersécurité : protéger vos données en 2026.

Le système fonctionne simplement : un seul mot de passe maître solide protège tout. L’avantage concret c’est qu’on cesse de réutiliser le même mot de passe partout – la cause statistique majeure des compromissions de comptes. Quand un site subit un piratage et que sa base fuite, les attaquants testent ces identifiants sur tous les autres services. C’est le credential stuffing.

Mais la vraie protection vient de la double authentification (2FA). L’activer sur les comptes sensibles – messagerie, banque, réseaux sociaux – réduit drastiquement le risque même si le mot de passe est connu.

Votre VPN personnel vaut-il vraiment le coup à 5€/mois ?

Le chiffrement de bout en bout : mythes et réalités décryptés

Les arnaqueurs utilisent vos données publiques pour vous voler 15 000€ en moyenne

L’usurpation d’identité suit presque toujours le même chemin. Un attaquant rassemble d’abord des informations librement accessibles : nom complet sur LinkedIn, date de naissance visible sur Facebook, adresse approximative dans un annuaire en ligne, habitudes de vie déduites des posts publics. Avec ces données, il peut ouvrir un crédit à la consommation, commander des colis en relais, ou vendre l’identité reconstituée sur des forums souterrains.

Les sources de fuite les plus courantes sont celles qu’on ignore. Un profil LinkedIn public avec employeur, téléphone professionnel et ville. Des commentaires anciens sur des forums avec adresse e-mail visible. Les photos géolocalisées qui révèlent domicile et habitudes. Les formulaires de jeu-concours qui revendent les adresses aux courtiers.

Si l’usurpation survient, le coût moyen dépasse 15 000€ selon les évaluations du secteur – sans compter les mois de démarches administratives pour récupérer votre identité numérique et financière. Le coût psychologique reste aussi lourd et durable.

CNIL et RGPD : ont-ils vraiment des dents contre les géants tech ?

Depuis le 25 mai 2018, date d’entrée en vigueur du RGPD, les autorités européennes de protection des données ont sanctionné fortement. Google a reçu 150 millions d’euros en France pour pratiques opaques sur les cookies. Meta s’est vu infliger 1,2 milliard d’euros en Irlande en 2023 pour transferts illicites de données vers les États-Unis.

Ces montants semblent énormes sur le papier. Pour Meta, 1,2 milliard d’euros représente moins d’une semaine de revenus publicitaires mondiaux. Le calcul économique penche encore vers la non-conformité pour certains acteurs. Voilà la limite réelle du système.

Ce que le RGPD donne concrètement aux utilisateurs, c’est un ensemble de droits qu’on peut exercer :

Voir également : Domotique pour une vie connectée : guide complet 2026.

• Droit d’accès : exiger de n’importe quelle entreprise la liste des données qu’elle détient sur soi
• Droit de rectification : corriger les informations erronées
• Droit à l’effacement : le “droit à l’oubli”, applicable sous certaines conditions
• Droit à la portabilité : récupérer ses données dans un format réutilisable

En réalité, ces droits s’exercent par e-mail auprès du délégué à la protection des données (DPO) de l’entreprise. Si l’entreprise ne répond pas ou répond non en un mois, on peut saisir la CNIL via son formulaire en ligne. La procédure est simple et gratuite.

Mais les géants américains opèrent sous droit américain pour l’essentiel. Le Privacy Shield invalidé en 2020 a cédé la place au Data Privacy Framework en 2023 – déjà contesté en justice. La friction entre droit européen et pratiques des plateformes américaines persiste et le débat reste ouvert.

Mon verdict après 10 ans en cybersécurité : la paranoïa n’est pas une solution

J’ai vu des gens installer six extensions de navigateur anti-tracking qui se contredisaient, utiliser trois VPN en cascade et refuser de créer un compte sur n’importe quel service. Résultat : une expérience numérique tellement mauvaise qu’ils finissaient par tout désactiver et revenaient à des habitudes encore moins sûres.

La sécurité numérique ne doit pas être une galère. Pour un utilisateur standard – pas un activiste, pas un journaliste d’investigation, pas quelqu’un qui gère des données d’entreprise – quatre gestes couvrent 95% des vrais risques :

• Un gestionnaire de mots de passe avec mots de passe uniques partout
• La double authentification sur les comptes sensibles (e-mail, banque, réseaux sociaux)
• Les mises à jour système et applicatives automatiques
• Un réflexe de méfiance face aux liens reçus par e-mail ou SMS non demandés

Ce qui m’agace, c’est la tendance des éditeurs de solutions “tout-en-un” à jouer sur la peur pour vendre des abonnements dont la moitié des fonctionnalités ne servent à rien. L’antivirus intégré à Windows suffit pour la majorité des usages.

Mais ma vraie critique va aux entreprises. Ce n’est pas aux utilisateurs de compenser par une vigilance permanente les mauvaises pratiques de collecte par défaut. C’est à ceux qui collectent les données de les sécuriser. La réglementation européenne pousse vers cela. Sauf que tant que les amendes resteront marginales proportionnellement pour les plus grands acteurs, le motif de changer restera faible.

Connaître ses droits, respecter les gestes de base et choisir consciemment les services utilisés – c’est suffisant et c’est beaucoup.

Cet article fait partie de notre dossier complet : L’impact des technologies transforme société et travail.