L'image la plus répandue de la protection en ligne, c'est une icône de VPN qui s'allume sur un téléphone. En réalité, ce geste ne compte que pour une petite part dans la protection réelle de vos données personnelles. Ce qui expose le plus un particulier à Paris n'est presque jamais le Wi-Fi du café où vous travaillez un après-midi : c'est un mot de passe réutilisé sur douze sites, un vieux compte oublié qui a fuité, ou des informations recoupées par un courtier en données dont vous n'avez jamais entendu parler. Ce guide classe les gestes qui comptent vraiment par effort et par bénéfice, sans le discours marketing habituel autour du VPN.
Le vrai risque : courtiers en données, fuites et sur-partage
Des sociétés dont le métier est de collecter et revendre des informations personnelles — annuaires inversés, sites de « recherche de personnes », courtiers publicitaires — agrègent nom, adresse, téléphone et habitudes d'achat. La plupart des gens découvrent leur existence en tapant leur propre nom dans un moteur de recherche.
Les fuites de données touchent souvent des services oubliés — un forum, une appli testée une fois — et le mot de passe qui y a fuité est probablement encore réutilisé ailleurs : une fuite mineure devient un accès complet à une messagerie ou un compte bancaire. Le sur-partage compte aussi : vacances annoncées à l'avance, école des enfants en légende d'une photo, adresse visible sur un colis en story. Rien de tout ça n'est un piratage, mais c'est souvent ce qui rend une arnaque ciblée crédible.
Le Wi-Fi public, lui, mérite d'être relativisé : en 2026, la quasi-totalité des sites chiffrent la connexion par défaut, et quelqu'un qui espionne le réseau d'un café ne peut plus lire vos mails comme il y a dix ans. Loin d'être la menace numéro un de la publicité VPN.
Ce qui aide vraiment, classé par effort et bénéfice
1. Des mots de passe uniques, via un gestionnaire
Le meilleur rapport effort/bénéfice, de loin. Un gestionnaire (Bitwarden en gratuit, 1Password ou Dashlane en payant) génère et retient un mot de passe différent pour chaque site. L'installation prend environ une heure ; ensuite, il remplit les identifiants seul. Une fuite oubliée ne donne alors plus accès à rien d'autre.
2. La double authentification, en priorité sur la messagerie
La messagerie principale sert de clé de réinitialisation à presque tous les autres comptes. Activer la double authentification dessus en premier, avec une application plutôt qu'un SMS, bloque l'essentiel des connexions frauduleuses même si le mot de passe a fuité. Faites ensuite de même sur la banque et le réseau social principal.
3. Vérifier son exposition aux fuites
Have I Been Pwned permet de saisir une adresse mail et de voir en trente secondes dans quelles fuites connues elle est apparue. Gratuit, sans installation, ça remplace une inquiétude vague par une image concrète. Un contrôle tous les six mois suffit.
4. Revoir les autorisations des applications sur le téléphone
Dans les réglages de confidentialité d'iOS ou d'Android, beaucoup d'applications ont accès à la localisation « toujours », au micro ou aux contacts sans nécessité réelle. Repasser sur « lors de l'utilisation » et retirer les accès inutiles prend dix minutes.
5. Hygiène du navigateur et blocage des traceurs
Safari et Firefox bloquent une bonne part des traceurs par défaut ; Chrome le fait moins, une extension comme uBlock Origin comble l'écart. Vider les cookies régulièrement limite le profilage publicitaire.
6. Réfléchir avant de publier
Le geste le moins technique, et le plus négligé. Métadonnées de localisation dans les photos, vacances annoncées d'avance, façade d'immeuble avec numéro visible : mis bout à bout, ça dessine une carte assez précise d'une vie quotidienne. Publier après le retour plutôt qu'en direct change le risque.
Le cas français : RGPD, droit à l'effacement, CNIL, France Connect
Le RGPD donne un droit à l'effacement (article 17) : demander à une entreprise de supprimer les données personnelles qu'elle détient sur vous, hors exceptions légales (comptabilité, litige en cours). En pratique, un mail écrit au service concerné ou à son délégué à la protection des données, citant l'article 17 et précisant les données visées, suffit. L'organisme a un mois pour répondre. Sans réponse, ou en cas de refus injustifié, une plainte gratuite se dépose en ligne sur cnil.fr — mentionner cette possibilité dans le mail initial accélère souvent la réponse à elle seule.
France Connect centralise l'accès à impots.gouv.fr, à Ameli, à la CAF et à d'autres services publics derrière un identifiant unique. Un mot de passe faible ou réutilisé sur ce compte-là ne compromet pas un seul service, mais potentiellement tous ceux qui en dépendent. Un client du 14e a un jour repéré, dans son historique de connexion impots.gouv.fr, une session à une heure où il n'avait pas touché son ordinateur : un mot de passe recyclé sur un vieux forum en était probablement la cause. Vérifier cet historique une à deux fois par an protège tout ce qui dépend du compte.
Ce qui ne mérite pas votre temps
La navigation privée évite seulement que l'historique et les cookies restent enregistrés sur l'appareil. Elle ne cache rien à votre fournisseur d'accès, à un employeur si le réseau est géré par l'entreprise, ni aux sites eux-mêmes, qui vous identifient par votre compte ou par du fingerprinting indépendant des cookies. Utile pour cacher une recherche dans un historique partagé, pas pour la vie privée au sens large.
Le VPN grand public mérite le même traitement honnête. Il chiffre la connexion et masque votre IP vis-à-vis des sites que vous visitez sans y être connecté — utile sur un Wi-Fi douteux ou pour un contenu géo-restreint en voyage. Ce n'est pas un outil d'anonymat général : dès que vous vous connectez avec Gmail, Facebook ou Amazon, ces services vous identifient parfaitement, VPN activé ou non. Il ne stoppe pas les courtiers en données et ne remplace pas des mots de passe uniques. À ne pas confondre avec le VPN professionnel utilisé en télétravail — usage différent, détaillé dans mon article sur comment configurer un VPN pour le télétravail : là, l'objectif est l'accès aux ressources internes, pas la vie privée d'un particulier.
La routine du week-end : 30 minutes, une fois
Un dimanche matin suffit, dans cet ordre :
- 5 min — activer la double authentification sur la messagerie principale, avec une application d'authentification.
- 5 min — vérifier son adresse mail sur Have I Been Pwned et noter les services concernés.
- 10 min — installer un gestionnaire de mots de passe et changer les trois ou quatre mots de passe les plus réutilisés (mail, banque, réseau social principal).
- 5 min — repasser en revue les autorisations de localisation et de micro des applications du téléphone.
- 3 min — vérifier l'historique de connexion sur impots.gouv.fr ou Ameli si vous utilisez France Connect.
- 2 min — envoyer une demande d'effacement RGPD à un seul courtier en données ou service oublié, pour prendre l'habitude du geste.
Ma checklist sécurité gratuite, disponible sur la page outils gratuits, reprend ces étapes dans l'ordre si vous préférez cocher les cases plutôt que suivre un article.
Tarifs réalistes à Paris
La plupart de ces réglages se font seul, mais si le point de départ est compliqué — plusieurs dizaines de comptes, un changement de gestionnaire de mots de passe, ou simplement le temps qui manque — je peux m'en charger à distance ou lors d'un dépannage à domicile dans Paris. Une mise en place de gestionnaire de mots de passe avec double authentification tourne autour de 69 à 99 € selon le nombre de comptes ; pour une vérification plus large des applications, une intervention de dépannage informatique classique couvre le sujet en une heure ou deux.
Questions fréquentes
Un antivirus suffit-il à protéger mes données personnelles ?
Non. Un antivirus protège contre les logiciels malveillants installés sur l'appareil, mais il n'empêche ni la réutilisation d'un mot de passe fuité ailleurs, ni la revente de vos informations par un courtier en données, ni ce que vous publiez vous-même. Les deux protections sont complémentaires, pas interchangeables.
Faut-il un VPN pour protéger ses données personnelles ?
Un VPN grand public chiffre votre connexion et masque votre adresse IP vis-à-vis des sites où vous n'êtes pas connecté, ce qui est utile sur un Wi-Fi public ou un réseau non fiable. Il ne vous rend pas anonyme sur les sites où vous êtes identifié avec votre compte, et il ne remplace ni des mots de passe uniques ni la double authentification.
Comment exercer mon droit à l'effacement RGPD ?
Contactez le service ou le délégué à la protection des données de l'organisme concerné, par écrit, en citant l'article 17 du RGPD et en précisant les données à supprimer. L'organisme a un mois pour répondre. Sans réponse ou en cas de refus injustifié, une plainte gratuite peut être déposée en ligne sur cnil.fr.
Que faire si mon compte a déjà été piraté ?
Les gestes préventifs de cet article n'annulent pas un piratage déjà en cours. Si un compte est compromis maintenant, la priorité est de changer le mot de passe depuis un appareil sain et de révoquer les sessions actives : la marche à suivre complète est détaillée dans mon article sur un compte piraté, que faire dans l'heure qui suit.