Contrairement aux idées reçues, surfer sur des sites web chiffrés HTTPS ou utiliser le mode privé d’un navigateur ne suffit pas à empêcher votre fournisseur d’accès à Internet de surveiller et d’enregistrer certaines informations sur vos activités en ligne. On peut toutefois en limiter la portée en ajustant quelques réglages.
Des sites web visités aux horaires de connexion en passant par le type d’appareil et système d’exploitation utilisés, la quantité de données téléchargées, la durée des sessions et des visites, ou encore les informations liées à l’abonnement Internet (nom, adresse, moyen de paiement…), les FAI qui acheminent la connexion à Internet peuvent accéder et collecter un très grand nombre d’informations sur leurs clients. Dès lors que vous vous connectez à Internet par le biais d’une adresse IP et d’un réseau administré par un opérateur de télécommunication, ce dernier peut suivre une large partie de vos activités en ligne grâce aux métadonnées de connexion, même sans voir le contenu détaillé des pages que vous consultez.
Consultez → Comparatif des meilleurs VPN
Quelles données sont surveillées par les FAI ?
En 2017, sous l’impulsion de Donald Trump, le Congrès américain abroge un ensemble de règles de la FCC qui devaient limiter la capacité des opérateurs de télécommunication à collecter et vendre les données personnelles de leurs clients sans avoir à obtenir leur consentement au préalable. Cela comprend notamment l’historique de navigation, la géolocalisation, ou encore les informations financières et de santé. Grâce à ces informations, les annonceurs peuvent créer des profils d'utilisateurs très précis à des fins de publicité ciblée.
Même si le cadre légal en France et en Europe n'est pas aussi permissif, empêchant les opérateurs de faire tout et n’importe quoi avec les données des internautes, les FAI sont contraints par la loi de conserver les données de facturation (nom, adresse, moyen de paiement…) ainsi que les données de connexion de leurs abonnés durant une période d’un an. Par données de connexion, on entend les identifiants, localisations, dates, heures, durées de sessions, appareils utilisés pour se connecter à Internet, les informations permettant de déduire les services et sites contactés (par exemple via les journaux DNS lorsqu’ils utilisent les serveurs de l’opérateur), navigateur et moteur de recherche utilisés, quantité de données transférées et téléchargées, volume de trafic vers un hôte.
On rappelle également que les FAI portent plusieurs casquettes. En plus d’offrir un accès au réseau Internet à leurs abonnés, ils administrent le réseau mobile, fournissent des box TV et développent de nombreux services numériques annexes grâce auxquels ils confirment leur position stratégique dans le quotidien de leurs clients et la surveillance de leurs données personnelles. On pense par exemple aux messageries électroniques proposées par les opérateurs (dont l’accès et la portabilité sont encadrés par la loi), aux plateformes de VOD, aux applications et produits de sécurité (contrôle parental, alarme et télésurveillance), à la surcouche opérateur d’un smartphone acheté auprès d’un FAI (applis préinstallées, navigateur préconfiguré), etc.
Toutes ces activités permettent aux opérateurs de cumuler des données personnelles variées qui, recoupées avec les informations issues de leur statut de FAI, esquissent des profils utilisateur très détaillés, même si leur exploitation doit respecter le cadre fixé par le RGPD.
Que dit la loi en France ?
Selon l’article L34-1 du Code des postes et des communications électroniques (modifié par la loi n°2025-532 du 13 juin 2025 - art. 29), les opérateurs de communication électroniques doivent effacer ou rendre anonymes les données relatives aux communications électroniques. En parallèle, il leur est demandé d’établir des procédures internes (dont le cadre et l’exécution ne sont pas précisés par la loi) destinées à faciliter la transmission d’informations aux autorités compétentes dans le cadre d’une enquête.
Par conséquent, en vertu de l’exception qui confirme la règle, les FAI sont contraints de collecter et conserver les informations relatives à l’identité civile de l’utilisateur (nom, prénom, adresse postale, date et lieu de naissance, numéro de téléphone, adresse mail ou de compte associé) pendant 5 ans, à compter de la fin du contrat ou de la clôture du compte.
Doivent également être conservées pendant 1 an, à compter de la fin du contrat ou de la clôture du compte, toutes les informations recueillies dans le cadre de la souscription (identifiant de la connexion, pseudonymes, données permettant à l’utilisateur de vérifier son mot de passe, informations de paiement), ainsi que les données permettant d’identifier la source de la connexion et les appareils utilisés (adresse IP et port associé, identifiant de l’abonné, numéro d’identification de l’appareil utilisé, numéro de téléphone à l’origine de la communication, horodatage, durée de la communication, localisation).
Enfin, sur décret du Premier ministre, les opérateurs peuvent être sommés de conserver pendant 1 an d’autres données de trafic et de localisation relatives aux communications électroniques comme les dates/heures de début/fin de communication et les caractéristiques de la ligne du client.
En dehors de ces dispositions légales, les opérateurs ne peuvent collecter et exploiter des données personnelles qu’en respectant le cadre posé par le RGPD, ce qui implique notamment des finalités explicitement définies, des durées de conservation limitées et, dans de nombreux cas, le consentement explicite de l’abonné. Il leur est également interdit d’accéder au contenu des communications transitant sur le réseau Internet et/ou mobile (mails ou SMS, par exemple), en dehors des cas très encadrés relevant des réquisitions judiciaires ou de mesures de sécurité spécifiques prévues par la loi.
Selon la loi, ils n’ont en principe pas non plus le droit de collecter les URL complètes consultées par leurs clients, informations jugées trop sensibles. En revanche, il ne faut pas perdre de vue que lorsque l’internaute se sert des DNS de son FAI pour naviguer sur le web, l’opérateur prend nécessairement connaissance des sites web visités par son abonné, que les domaines soient sécurisés HTTPS ou non, c’est-à-dire au minimum les noms de domaine des services contactés.
Comment empêcher la surveillance de votre FAI ?
Bien que certaines données personnelles ne puissent échapper aux opérateurs de télécommunication (informations relatives au contrat, horodatage des connexions à Internet, volume de données transférées), il est toujours possible de passer sous silence d’autres éléments liés au détail des activités en ligne à l’aide d’un VPN, qui chiffre votre trafic et masque aux yeux du FAI les sites et services que vous consultez. Dans ce cas, l’opérateur voit que vous êtes connecté à un serveur VPN, ainsi que le volume général et les horaires de vos échanges, mais il ne peut plus lier ces échanges à des sites ou applications spécifiques.
L’usage d’un VPN n’est toutefois pas la seule option pour limiter la collecte de données. Le fait d'opter pour des serveurs DNS tiers chiffrés, via des standards comme DNS over HTTPS ou DNS over TLS, empêche votre FAI de s’appuyer sur ses propres journaux DNS pour reconstituer la liste des services que vous consultez. Couplé au chiffrement généralisé des sites en HTTPS, cela réduit considérablement la visibilité dont dispose l’opérateur sur vos activités en ligne.
Certains réglages permettent aussi de réduire la centralisation des informations entre les mains de votre FAI. Éviter de l’utiliser comme fournisseur principal de messagerie ou de services de VOD limite la quantité de données de contenu qu’il peut associer à votre identité d’abonné. Sur la box, le fait de segmenter les usages entre un réseau principal et un réseau invité, de désactiver les services superflus et de contrôler les fonctions de télémétrie ou de diagnostic contribue à limiter les traces techniques liées à vos appareils.
On rappellera enfin que, quoi qu'il arrive, le FAI reste un point de passage obligatoire pour l’accès au réseau. Même avec un VPN et des DNS chiffrés, il continuera de voir qu’une ligne est active, sur quel site VPN ou quel service chiffré elle se connecte et à quels horaires. L’objectif n’est donc pas de disparaître totalement de son radar, ce qui est impossible, mais de réduire au maximum le niveau de détail sur vos usages concrets et la possibilité de profiler vos habitudes de navigation.
