Combien de temps vos données personnelles restent-elles vraiment en ligne ?

Nos données personnelles ne disparaissent pas toujours aussi vite qu’on l’imagine. Entre comptes oubliés, traceurs, sauvegardes et prestataires tiers, reprendre la main demande plus qu’un simple clic sur “supprimer”. Le VPN peut aider, mais il ne fera pas le ménage à votre place.

On aimerait croire qu’un compte supprimé, un cookie refusé ou un historique vidé suffisent à reprendre la main sur ses données personnelles. La réalité est moins confortable. Entre obligations légales, sauvegardes, prestataires, régies publicitaires et comptes oubliés, nos traces numériques ne disparaissent pas toujours aussi vite qu’on l’imagine. Mais non, un VPN ne peut pas tout effacer d’un coup de tunnel chiffré.

Dès que l’on navigue, achète, discute, installe une application ou crée un compte, on laisse derrière soi des informations exploitables. Certaines permettent de vous identifier directement, comme un nom, une adresse e-mail ou un numéro de téléphone. D’autres procèdent par recoupement, à partir d’une adresse IP, d’un identifiant publicitaire, d’un cookie, d’une donnée de localisation ou d’un historique de connexion. Le RGPD encadre leur collecte et leur durée de conservation, mais cette protection ne signifie pas que les traces numériques disparaissent dès que l’on ferme un onglet.

Des données qui ne sont pas éternelles en droit, mais tenaces en pratique

La notion de donnée personnelle couvre large. La CNIL la définit comme toute information se rapportant à une personne physique identifiée ou identifiable. Il peut donc s’agir d’un nom, d’une photo, d’une voix, d’une adresse postale, d’un e-mail, d’une adresse IP, d’un identifiant de cookie ou encore d’un identifiant publicitaire mobile. Pris séparément, ces éléments peuvent sembler limités. Croisés entre eux, ils dessinent vite un profil exploitable.

En principe, une entreprise ne peut pas conserver ces informations sans limite. Le RGPD impose une durée adaptée à la finalité du traitement. Une donnée collectée pour gérer une commande, sécuriser un compte, mesurer l’audience d’un site ou envoyer une newsletter ne suit donc pas le même cycle de vie. Certaines informations doivent être supprimées ou anonymisées lorsque leur objectif initial a été atteint, tandis que d’autres peuvent être conservées plus longtemps pour répondre à des obligations légales, comptables, fiscales ou de sécurité.

C’est là que les choses se compliquent pour les internautes. Entre le compte principal, les sous-traitants, les outils d’analyse, les régies publicitaires, les sauvegardes et les services tiers connectés, une même information peut circuler dans plusieurs environnements. Supprimer un compte limite l’exposition future, mais ne garantit pas que chaque trace déjà transmise disparaîtra au même moment, ni selon le même calendrier. Et lorsque des données ont été aspirées par des courtiers, exposées dans une fuite ou recopiées ailleurs, la reprise en main devient vite laborieuse.

Pourquoi ces traces valent aussi cher

Si les données personnelles sont autant collectées, ce n’est pas par hasard. Elles servent à personnaliser les services, mesurer l’audience, sécuriser les connexions, prévenir la fraude, mais aussi à cibler la publicité et affiner des profils commerciaux. Un site marchand peut analyser les produits consultés, un réseau social peut suivre les interactions, une application mobile peut collecter des identifiants techniques, et un service en ligne peut conserver des journaux de connexion pour protéger les comptes ou répondre à une obligation réglementaire.

Le problème n’est donc pas seulement la collecte, mais l’accumulation. Une adresse e-mail réutilisée partout, un mot de passe recyclé, un numéro de téléphone associé à plusieurs comptes et des profils publics trop généreux suffisent à faciliter le pistage, le spam, le phishing ou l’usurpation d’identité. Les fuites de données aggravent encore la situation, car elles remettent en circulation des informations parfois anciennes, mais toujours utiles pour cibler une personne.

C’est pour cette raison qu’il ne faut pas attendre d’un seul outil qu’il fasse le ménage. Un gestionnaire de mots de passe, l’authentification à deux facteurs, la suppression des comptes inutilisés, le réglage fin des paramètres de confidentialité et la surveillance des fuites connues ont chacun leur rôle. Have I Been Pwned peut par exemple servir à vérifier si une adresse e-mail apparaît dans une fuite publique connue, ce qui permet de changer les mots de passe exposés et de renforcer la sécurité des comptes concernés.

Supprimer, limiter, cloisonner

La première mesure utile consiste à réduire la surface exposée. Les comptes oubliés sont souvent les plus problématiques, parce qu’ils restent associés à une ancienne adresse e-mail, à un mot de passe faible ou à des informations que l’on ne surveille plus. Les supprimer quand ils ne servent plus permet au moins de limiter les risques futurs, même si la suppression n’efface pas toujours toutes les traces déjà partagées.

Il faut aussi revoir les informations visibles sur les réseaux sociaux et les services publics. Date de naissance complète, numéro de téléphone, adresse personnelle, ville précise, parcours professionnel détaillé ou liste de proches peuvent aider des personnes malveillantes à personnaliser une attaque. Les paramètres de confidentialité ne font pas tout, mais ils réduisent la quantité d’informations accessibles sans effort.

Côté navigation, le blocage des cookies tiers, la limitation des autorisations accordées aux applications, la désactivation de la localisation quand elle n’est pas nécessaire et l’usage de navigateurs mieux configurés permettent de limiter une partie du suivi. Là encore, aucune mesure ne suffit seule. C’est leur combinaison qui réduit le volume de données collectées.

Le VPN aide, mais il ne supprime rien

Un VPN peut avoir sa place dans cette hygiène numérique, à condition de ne pas lui prêter des pouvoirs qu’il n’a pas. Son rôle consiste à établir un tunnel chiffré entre votre appareil et un serveur VPN. Votre FAI ne voit alors plus directement les sites consultés, et les sites voient l’adresse IP du serveur VPN plutôt que celle de votre connexion domestique ou mobile.

C’est utile sur un Wi-Fi public, pour limiter l’exposition de son trafic local, masquer son adresse IP ou éviter que le FAI associe aussi facilement une navigation à une ligne précise. Mais le VPN ne supprime aucune donnée personnelle déjà stockée par un service. Il ne bloque pas à lui seul les cookies, ne déconnecte pas vos comptes, ne modifie pas les informations que vous saisissez dans un formulaire et ne neutralise pas toutes les techniques de fingerprinting. Si vous vous connectez à un réseau social derrière un VPN, le réseau social sait toujours que c’est vous.

Le choix du fournisseur a aussi son importance. Utiliser un VPN revient à déplacer une partie de la confiance depuis le FAI vers l’opérateur du service VPN. Une politique no-log claire, des audits indépendants, des applications bien maintenues, une bonne gestion des fuites DNS et un kill switch fiable pèsent davantage que les promesses vagues de confidentialité absolue.

La bonne approche consiste donc à voir le VPN comme un outil de réduction des traces réseau, pas comme une gomme magique. Il complète d’autres gestes plus importants pour la maîtrise des données personnelles : supprimer les comptes inutiles, limiter les informations publiées, utiliser des mots de passe uniques, activer la double authentification, nettoyer les autorisations d’applications et surveiller les fuites connues. Internet n’oublie pas toujours vite, mais on peut éviter de lui fournir encore plus de matière.