Vous venez d’évoquer à voix haute, entre amis ou en famille, un modèle de poussette, une destination de vacances ou un barbecue, sans jamais l’avoir recherché en ligne. Quelques heures plus tard, une publicité pour ce même produit s’affiche sur votre téléphone. Le réflexe est immédiat : mon téléphone m’écoute. Cette interrogation revient chaque mois dans des dizaines de requêtes d’internautes français, et elle touche au cœur du droit des données personnelles : qu’a le droit de capter votre téléphone, à quelles conditions, et que faire quand la publicité semble en savoir trop long.
La réponse juridique est plus exigeante qu’un simple oui ou non. D’un côté, les travaux publics de la CNIL sur les assistants vocaux écartent l’hypothèse d’une écoute permanente organisée par les fournisseurs, tout en documentant des activations accidentelles bien réelles. De l’autre, les mêmes travaux montrent que des activations accidentelles, des autorisations excessives et des composants tiers permettent des collectes bien réelles, et que le croisement de vos autres données suffit le plus souvent à expliquer ces publicités troublantes. Autrement dit : l’écoute permanente et généralisée n’est pas démontrée, mais la captation de votre voix et de vos données par votre téléphone obéit à des règles strictes, dont la violation ouvre des recours précis.
Cet article décrit d’abord ce que votre téléphone capte vraiment et le cadre juridique qui l’encadre, puis la méthode complète pour vérifier, couper la captation, conserver les preuves et obtenir réparation.
I. Ce que votre téléphone capte vraiment et ce que la loi en dit
A. Écoute permanente, déclenchements accidentels, composants tiers et profilage : ce que la CNIL a établi
Le livre blanc de la CNIL consacré aux assistants vocaux commence par écarter l’hypothèse la plus angoissante : s’il n’y a pas, selon la CNIL, de volonté d’écoute en permanence de la part des fournisseurs, la nature statistique de la détection du mot d’activation rend bien réel le risque de fausse activation. Des chercheurs américains et britanniques ont d’ailleurs constaté que, même sans aucun ordre adressé à l’assistant pendant la période analysée, de nombreuses activations étaient enregistrées et restaient visibles dans l’historique d’utilisation. L’hypothèse d’une écoute généralisée à des fins publicitaires doit donc être écartée en l’état des connaissances, sans pour autant baisser la garde sur les autres voies de captation, qui sont, elles, documentées.
La première voie documentée est l’activation accidentelle des assistants vocaux. Chaque téléphone embarque aujourd’hui un ou plusieurs assistants qui passent en écoute active dès qu’ils détectent leur mot d’activation. Or cette détection repose sur des techniques d’apprentissage automatique sujettes à des erreurs de fausse acceptation : le mot est reconnu alors qu’il n’a pas été prononcé, et l’enregistrement qui suit peut alimenter votre profil sans que vous en ayez conscience, de nombreux services d’assistants étant adossés à des logiques publicitaires. C’est pourquoi le livre blanc recommande de vérifier régulièrement, dans votre espace utilisateur, l’historique des données enregistrées et de supprimer les données confidentielles. Le livre blanc de la CNIL distingue ainsi deux phases : tant que le mot-clé n’est pas reconnu, l’analyse reste locale ; dès qu’il est reconnu, les enregistrements sont traités pour exécuter la commande, ce qui se traduit dans de nombreux cas par un envoi vers des serveurs distants. Avant cette reconnaissance, l’appareil reste en écoute passive ; après, il passe en écoute active et transmet.
La deuxième voie est celle des composants tiers intégrés aux applications, que la CNIL décrit comme les maillons faibles de la protection de la vie privée. Ces bibliothèques partagent avec leur application hôte les autorisations accordées, dont l’accès au microphone, et disposent souvent d’un accès direct à Internet, alors même que les développeurs qui les intègrent en connaissent mal le fonctionnement. Un audit de plus de 17 000 applications a ainsi montré qu’un grand nombre d’entre elles disposaient d’autorisations inappropriées, avec dans certains cas des transmissions vers des acteurs tiers à l’insu des utilisateurs. La CNIL donne l’exemple d’une application météo populaire qui avait intégré un composant collectant les données de géolocalisation précises de ses utilisateurs, ensuite vendues à des courtiers en données pour afficher des publicités ciblées correspondant aux lieux fréquentés. La même page rappelle que les applications peuvent aspirer des données y compris lorsqu’elles ne sont pas activement utilisées (CNIL, applications mobiles et vie privée), et qu’un réseau social qui demande l’accès à la caméra et au microphone pour publier photos et vidéos en direct pourrait, s’il utilise ces accès à votre insu, enregistrer des moments privés.
Les troisième, quatrième et cinquième explications tiennent au croisement de vos autres données, qui rend l’écoute inutile. D’abord, les acteurs de la publicité en ligne collectent votre navigation, vos recherches, le temps passé sur chaque page, les éléments cliqués et votre géolocalisation, y compris, dans des affaires documentées, après la désactivation du partage par l’utilisateur. Ensuite, vos cercles de connaissances parlent pour vous : si votre ami recherche le vélo dont vous lui avez parlé, ou si vos deux téléphones se connectent au même point d’accès, les plateformes rapprochent vos profils et la publicité vous atteint sans que vous ayez rien saisi en ligne. Enfin, la CNIL rappelle le rôle du hasard et du biais cognitif : des campagnes adressées à des millions de personnes tombent parfois juste par coïncidence, et l’illusion de fréquence fait que vous ne remarquez que les publicités qui correspondent à vos conversations. Retenez l’essentiel : ce n’est généralement pas votre conversation qui a été écoutée, ce sont vos autres traces qui ont été exploitées, souvent sans base légale suffisante, et c’est là que le droit intervient.
B. Consentement, traceurs, prospection et vie privée : le cadre juridique applicable
Tout traitement de vos données par une application ou un annonceur doit reposer sur l’une des bases légales prévues par le règlement européen sur la protection des données, au premier rang desquelles figure le consentement donné pour une ou plusieurs finalités spécifiques, que le responsable du traitement doit être en mesure de démontrer. Ce consentement n’est valable que s’il est libre, spécifique, éclairé et univoque, et vous pouvez le retirer à tout moment, sans effet rétroactif sur les traitements déjà effectués : le retrait doit être aussi simple que le consentement donné. C’est sur le fondement de ce règlement que la Cour de cassation contrôle l’indemnisation des violations des données personnelles. Concrètement, si une application vous a demandé l’accès au microphone ou le suivi publicitaire, le bouton pour revenir en arrière doit être aussi accessible que celui qui vous a fait accepter.
S’agissant des opérations techniques sur votre téléphone, la loi française impose une information et un consentement préalables spécifiques. Aux termes de l’article 82 de la loi du 6 janvier 1978, ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement, information qui doit porter sur la finalité de l’accès à votre terminal et sur les moyens de vous y opposer. Les seules exceptions concernent les opérations strictement nécessaires à la communication ou au service que vous avez expressément demandé. Cette règle a été appliquée à un éditeur d’applications mobiles pour smartphone : alors même que l’utilisateur refusait le suivi publicitaire dans le réglage du système, l’éditeur lisait quand même un identifiant de l’appareil pour diffuser des publicités, sans offrir aucun moyen de s’y opposer. La CNIL lui a infligé une sanction pécuniaire de 3 millions d’euros assortie d’une injonction de mise en conformité sous astreinte, et le Conseil d’État a rejeté son recours le 14 mai 2024 en jugeant le manquement caractérisé, faute de consentement recueilli. L’enseignement est direct : refuser le suivi dans les réglages de votre téléphone doit être respecté, et la lecture d’un identifiant à des fins publicitaires malgré ce refus constitue un manquement.
La même exigence vaut pour le retrait du consentement aux traceurs sur les sites consultés depuis votre téléphone. Un opérateur de communications électroniques a été sanctionné à hauteur de 50 millions d’euros parce que des traceurs restaient lisibles sur les terminaux des visiteurs de son site après le retrait de leur consentement, et parce que des publicités prenant l’apparence de courriers électroniques s’affichaient dans les boîtes de réception de sa messagerie. Par sa décision du 16 octobre 2026, le Conseil d’État a rejeté le recours : dès lors que la lecture des informations stockées dans les terminaux malgré le retrait du consentement n’est pas contestée, la circonstance qu’elles n’auraient fait l’objet d’aucun traitement ultérieur est sans incidence sur la caractérisation du manquement. Autrement dit, lire un traceur après votre refus est fautif même si les données lues ne sont pas exploitées ensuite. La décision rappelle aussi que la prospection directe par courrier électronique utilisant les coordonnées d’une personne physique est interdite sans son consentement préalable : est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Cette interdiction figure à l’article L. 34-5 du code des postes et des communications électroniques, en vigueur dans sa rédaction applicable. La même décision du 16 octobre 2026 mentionne que le Conseil constitutionnel, saisi d’une question prioritaire de constitutionnalité dans cette affaire, a jugé le 25 juin 2026 que certaines dispositions de cet article permettaient la répression des mêmes faits par des sanctions de même nature et méconnaissaient le principe de nécessité des peines, tout en reportant l’abrogation au 31 octobre 2027 et en jugeant que les mesures prises avant sa décision ne pouvaient être contestées sur ce fondement.
Enfin, la captation de votre parole elle-même relève du droit pénal. Aux termes de l’article 226-1 du code pénal, dans sa rédaction en vigueur, est puni d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui : 1° En captant, enregistrant ou transmettant, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel. Le texte punit aussi la captation de votre image dans un lieu privé et, depuis 2024, la captation de votre localisation en temps réel ou en différé sans votre consentement. Lorsqu’une application enregistre votre voix ou suit vos déplacements sans autorisation, ces qualifications pénales peuvent donc entrer en jeu, aux côtés des manquements au droit des données personnelles. Le même article prévoit que le consentement est présumé lorsque les actes ont été accomplis au vu et au su des intéressés sans qu’ils s’y soient opposés alors qu’ils étaient en mesure de le faire, et que les peines sont alourdies lorsque les faits sont commis par le conjoint, le concubin ou le partenaire de pacte civil de la victime. S’agissant d’un délit, l’action publique se prescrit par six années révolues à compter du jour où l’infraction a été commise, en application de l’article 8 du code de procédure pénale, dans sa rédaction applicable. Face à une captation avérée, le dépôt de plainte reste donc possible plusieurs années après les faits.
II. Vérifier, couper, prouver et obtenir réparation
A. Autorisations, historique, retrait et opposition : reprendre le contrôle de votre téléphone
La première étape consiste à vérifier ce que votre téléphone laisse réellement passer. Ouvrez les réglages de votre système d’exploitation, puis la rubrique consacrée à la confidentialité ou aux autorisations : chaque application y déclare son accès au microphone, à la caméra, à la localisation et aux contacts. Retirez l’accès au microphone à toute application pour laquelle cet accès n’est pas nécessaire à son fonctionnement, et faites de même pour la géolocalisation permanente, que vous remplacerez par une autorisation limitée à l’utilisation en cours quand elle est indispensable. Vérifiez aussi les réglages publicitaires du système : le refus du suivi, lorsqu’il existe, doit être respecté par les éditeurs, comme l’a jugé le Conseil d’État dans l’affaire évoquée plus haut. Consultez ensuite l’historique de vos interactions avec votre assistant vocal : des enregistrements que vous n’avez jamais demandés trahissent des activations accidentelles et justifient de désactiver la détection permanente du mot d’activation ou de couper l’enregistrement de l’historique. Sur les sites que vous visitez depuis votre téléphone, refusez les traceurs non nécessaires via le bandeau prévu à cet effet, et vérifiez après votre refus que de nouveaux traceurs ne sont pas déposés : la lecture de traceurs après retrait du consentement constitue un manquement, même sans exploitation ultérieure des données.
La deuxième étape consiste à exercer vos droits auprès des organismes qui détiennent vos données. Lorsque le traitement repose sur votre consentement, votre retrait produit effet pour l’avenir et l’organisme doit cesser de traiter vos données sur ce fondement. Lorsque vos données sont utilisées à des fins de prospection, vous disposez d’un droit d’opposition absolu : l’opposition peut intervenir à tout moment, y compris contre le profilage lié à cette prospection, et les données ne doivent plus être traitées à ces fins. Aucun motif légitime de l’organisme ne peut faire échec à cette opposition : les envois doivent cesser. Le Conseil d’État l’a confirmé en validant la sanction d’un opérateur dont les publicités prenaient l’apparence de courriers électroniques dans les messageries de ses utilisateurs. Vous pouvez également demander l’effacement de vos données, notamment lorsque vous retirez votre consentement sans qu’il existe un autre fondement au traitement, lorsque vous vous opposez à la prospection, ou lorsque les données ont fait l’objet d’un traitement illicite. La CNIL indique que le responsable du fichier doit procéder à l’effacement dans les meilleurs délais et au plus tard sous un mois, ce délai pouvant être porté à trois mois compte tenu de la complexité de la demande. Adressez ces demandes directement à l’éditeur de l’application ou à l’annonceur, par écrit, en conservant la preuve de l’envoi et de la réception ; la CNIL met à disposition des modèles de courrier pour exercer ces droits. L’absence de réponse dans le délai indiqué, ou un refus non justifié, caractérise un manquement supplémentaire que vous pourrez invoquer devant la CNIL puis devant le juge. Pour identifier précisément qui détient quoi sur vous, exercez aussi votre droit d’accès auprès de chaque organisme : finalités poursuivies, catégories de données, destinataires et durées de conservation doivent vous être indiqués. Le livre blanc de la CNIL relève que de nombreux concepteurs d’assistants proposent un historique de vos interactions, tout en précisant qu’un simple renvoi vers cet historique ne suffit généralement pas à répondre à l’ensemble des obligations du droit d’accès, les données consultables ne représentant qu’une part des informations traitées. Demandez donc la copie complète de vos données, y compris les enregistrements vocaux conservés et les segments de profil publicitaire qui en sont dérivés, puis comparez avec ce que l’historique public affiche : l’écart entre les deux révèle l’ampleur réelle de la collecte et oriente vos demandes d’effacement et votre plainte.
B. Saisir la CNIL et le juge : plainte, preuve et réparation du préjudice
Si l’organisme ne répond pas, répond insuffisamment ou poursuit la collecte malgré votre refus, vous pouvez saisir la CNIL. Le règlement européen reconnaît à toute personne le droit d’introduire une réclamation auprès de l’autorité de contrôle de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, lorsqu’elle estime subir une violation du règlement. La plainte se dépose en ligne sur le site de la CNIL, après avoir exercé vos droits directement auprès de l’organisme et conservé les échanges. C’est sur des réclamations de ce type que la CNIL a diligencé les contrôles ayant conduit aux sanctions confirmées par le Conseil d’État en 2024 et en 2026. Joignez tout ce qui établit la chronologie : captures d’écran des autorisations accordées et retirées, du refus de suivi, du bandeau de traceurs et de son paramétrage, relevés de l’historique de l’assistant vocal montrant des activations non sollicitées, copies de vos demandes de retrait, d’opposition ou d’effacement et des réponses reçues, ainsi que les publicités litigieuses avec leurs dates. L’autorité de contrôle instruit la réclamation, peut procéder à des contrôles en ligne comme dans les affaires jugées en 2024 et 2026, et dispose d’un pouvoir de sanction qui s’est exercé jusqu’à 3 millions d’euros contre un éditeur d’applications mobiles et 50 millions d’euros contre un opérateur, avec injonctions de mise en conformité sous astreinte et publication de la décision. Ces montants montrent que le refus ou le retrait du consentement sur mobile n’est pas une formalité : c’est une obligation dont la méconnaissance coûte cher aux organismes.
Parallèlement, conservez les preuves utiles à une action en justice. Photographiez ou filmez l’écran au moment où la publicité apparaît après votre conversation, notez la date et l’heure, et faites établir si besoin un constat par un commissaire de justice pour les éléments destinés au juge. Archivez les autorisations de chaque application, l’historique des activations de l’assistant, les journaux de traceurs et tout message de prospection reçu après votre opposition. Si vous soupçonnez une captation de votre voix par une application, ne la désinstallez pas avant d’avoir préservé ces éléments, et faites constater l’existence des enregistrements litigieux. Ces pièces serviront à démontrer non seulement la violation des règles, mais aussi le préjudice concret que vous avez subi, car c’est sur ce point que les demandes de réparation se gagnent ou se perdent.
Devant le juge civil, l’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée. Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé. » Vous pouvez donc demander au juge, y compris en référé en cas d’urgence, d’ordonner la cessation de la collecte et la suppression des données, en plus de l’indemnisation. Sur la réparation, le droit européen pose un principe clair : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Mais la Cour de cassation, par un arrêt de la chambre sociale du 24 juin 2026 publié au Bulletin, a précisé les conditions de ce droit en reprenant la jurisprudence de la Cour de justice de l’Union européenne : la simple violation du règlement ne suffit pas pour conférer un droit à réparation, et vous devez établir non seulement la violation, mais aussi le dommage matériel ou moral qu’elle vous a causé. En revanche, aucune gravité minimale n’est exigée : le juge ne peut pas subordonner la réparation à un seuil de gravité du préjudice moral. La Cour de justice a jugé le 4 mai 2023 que l’article 82 doit être interprété en ce sens que la simple violation ne suffit pas et qu’aucun degré de gravité n’est requis, puis a ajouté le 25 janvier 2024, selon la Cour de cassation qui s’y réfère, que « le droit à réparation prévu à cette disposition, notamment en cas de dommage moral, remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive » (arrêt de la chambre sociale du 24 juin 2026). Concrètement, documentez votre préjudice : temps passé à verrouiller vos réglages et à exercer vos droits, inquiétude durable liée à la surveillance de vos conversations, publicités intrusives reçues malgré vos refus, et, le cas échéant, conséquences financières d’une prospection ou d’une usurpation. En cassant partiellement l’arrêt d’appel qui avait accordé 5 000 euros au salarié au seul motif que la violation du règlement lui aurait nécessairement causé un préjudice, sans que l’existence ni l’étendue de celui-ci soient démontrées, la Cour de cassation rappelle que l’indemnisation se prouve pièce par pièce. S’agissant d’une action personnelle, elle se prescrit par cinq ans à compter du jour où vous avez connu ou auriez dû connaître les faits vous permettant de l’exercer, en application de l’article 2224 du code civil, dans sa rédaction en vigueur. Conservez donc vos preuves dès les premiers signes, même si vous agissez plus tard.
Une publicité reçue juste après une conversation provient rarement d’une écoute permanente de votre téléphone, que les études menées à ce jour n’ont pas établie. Elle provient presque toujours d’autorisations trop larges, d’activations accidentelles, de composants tiers ou d’un profilage alimenté par vos autres traces, autant de pratiques que le droit encadre strictement. Vérifiez vos autorisations et votre historique, retirez les consentements inutiles, opposez-vous à la prospection, exigez l’effacement et faites répondre les organismes dans le délai d’un mois prévu par le règlement. Si le refus persiste ou si la lecture de vos données continue malgré votre opposition, la plainte devant la CNIL et l’action en réparation devant le juge, étayées par des preuves conservées dès le premier jour et un préjudice documenté, donnent à votre démarche toute son efficacité.