Un compte créé pour une commande, une application autorisée à accéder à la localisation, un site qui demande d’accepter ses traceurs : les données personnelles circulent à travers une multitude de services. Les protéger sur internet ne consiste pas à appuyer sur un bouton unique. Il faut à la fois réduire les informations exposées, sécuriser les accès et comprendre ce que chaque organisme fait des données qu’il conserve.
Le premier réflexe est de sécuriser l’adresse électronique qui sert à récupérer les autres comptes, puis de vérifier les appareils et applications qui y sont associés. Viennent ensuite les choix de confidentialité, les autorisations et les traceurs. Si une information est inexacte, utilisée pour de la prospection ou conservée sans raison apparente, une demande précise au responsable du traitement permet de faire valoir ses droits. Une réclamation auprès de la CNIL ou un recours devant le juge peut être envisagé selon les circonstances.
Il faut distinguer ces gestes personnels des obligations des entreprises : une personne peut prendre des précautions sans devenir responsable de la sécurité des serveurs d’un site. Inversement, une publicité inhabituelle ou un message suspect ne prouve pas à lui seul une fuite de données. Voici une méthode pour limiter l’exposition, identifier le bon interlocuteur et conserver les éléments nécessaires si un problème apparaît.
I. Comment réduire l’exposition de vos données lorsque vous utilisez internet ?
A. Sécuriser les comptes et ne communiquer que les informations utiles
Commencez par la messagerie qui reçoit vos liens de réinitialisation. Une personne qui en prend le contrôle peut tenter d’accéder à d’autres services. Choisissez une phrase de passe longue et propre à ce compte, activez lorsque c’est possible une authentification à plusieurs facteurs et vérifiez les coordonnées de récupération. Une application d’authentification ou une clé de sécurité peut offrir une protection supplémentaire ; gardez aussi les moyens de récupération proposés par le service dans un endroit sûr.
Pour vos autres comptes, évitez de réutiliser le même secret. Un gestionnaire de mots de passe peut aider à créer et conserver des identifiants différents, à condition de protéger lui-même son accès et sa récupération. Vérifiez les appareils et sessions connectés dans chaque espace : fermez ceux que vous ne reconnaissez pas, puis modifiez les informations de connexion si un accès non autorisé est suspecté. Ne transmettez jamais un code de validation à une personne qui vous le réclame par message ou par téléphone, même si elle se présente comme un service d’assistance.
Mettez à jour le navigateur, le système et les applications. Les correctifs de sécurité réduisent certains risques connus, mais aucun réglage ne garantit une protection absolue. Le cadenas du navigateur indique notamment que la connexion utilise le protocole HTTPS ; il ne démontre pas que le site est honnête ou que l’usage annoncé des données est conforme. Avant de saisir une information sensible, vérifiez l’adresse complète, l’identité de l’éditeur et la cohérence de la demande.
Faites ensuite le tri dans les comptes créés au fil des années. Pour chacun, demandez-vous quel service vous utilisez réellement, quelle adresse électronique y est associée et si les moyens de récupération sont encore accessibles. Un compte ancien qui ne sert plus peut être fermé après récupération des données utiles et vérification des conséquences pour les services liés. Désinstaller une application n’équivaut pas nécessairement à fermer le compte ni à effacer les informations déjà conservées par son éditeur.
Une donnée personnelle n’est pas seulement un nom associé à une adresse. L’article 4 du règlement général sur la protection des données, ou RGPD, définit cette notion par référence à une personne identifiée ou identifiable, directement ou indirectement. Dans une décision du 18 mai 2026, n° 505172, le Conseil d’État rappelle notamment qu’une localisation ou un identifiant en ligne peuvent participer à cette identification. L’association de plusieurs éléments peut aussi rendre une personne identifiable selon leur contexte. À l’inverse, le seul fait qu’une information concerne un appareil ne suffit pas à résoudre toutes les questions : il faut examiner le traitement concerné.
Avant de remplir un formulaire, distinguez les champs nécessaires à la prestation de ceux qui sont facultatifs. Un site marchand peut avoir besoin d’une adresse pour une livraison ; cela ne signifie pas que chaque information demandée sert nécessairement à cette livraison. L’article 5 du RGPD pose notamment les principes de finalités déterminées et de minimisation, rappelés par le Conseil d’État le 18 mai 2026. Le principe de limitation de la conservation est également rappelé dans sa décision du 6 décembre 2023, n° 467368. Ces principes s’apprécient au regard de chaque traitement : ils ne créent pas une liste universelle de cases qu’un site peut ou ne peut pas demander.
Lisez la notice de confidentialité à l’endroit où vous confiez vos données. Le Conseil d’État, le 19 juin 2020, n° 430810, rappelle que l’information doit permettre de comprendre la portée et les conséquences des traitements et qu’elle doit être aisément accessible ; il évoque aussi l’information relative à la durée de conservation. Dans le contexte des traceurs soumis au consentement, le Conseil d’État, le 19 juin 2020, n° 434684, rappelle l’information sur l’identité des responsables et les destinataires ou leurs catégories. Cherchez dans la notice les finalités, la base invoquée et les coordonnées utiles. Si une information paraît manquer, conservez la page et posez une question ciblée à l’organisme.
Le consentement n’est pas l’unique base juridique possible. L’article 6 du RGPD vise aussi, sous leurs conditions respectives, la nécessité pour un contrat, une obligation légale, une mission d’intérêt public ou un intérêt légitime. Le Conseil d’État, le 10 décembre 2020, n° 429571, rappelle ces bases et la mise en balance nécessaire lorsque l’intérêt légitime est invoqué. Accepter les conditions d’un service ne transforme pas automatiquement toutes les utilisations ultérieures en traitements fondés sur le consentement. Pour comprendre un partage ou une conservation, demandez quelle base est invoquée pour cette finalité particulière et pourquoi elle serait applicable.
Les paramètres de vos comptes méritent une vérification concrète. Limitez la visibilité publique de votre profil si elle n’est pas utile, examinez les photographies, les listes de contacts et les informations professionnelles accessibles à tous, puis contrôlez les autorisations accordées aux applications. L’accès à la localisation, au microphone ou au carnet d’adresses doit être apprécié fonction par fonction. Retirer une autorisation empêche l’application d’utiliser cet accès dans les conditions définies par l’appareil ; cela ne prouve pas que les données déjà transmises ont disparu des systèmes du fournisseur.
Avant de publier une image ou un document, regardez ce qui apparaît en arrière-plan : une adresse, un badge, un écran ou les informations d’un proche peuvent rendre la personne identifiable. Vérifiez aussi les éventuelles métadonnées de localisation attachées aux fichiers et les possibilités de partage proposées par le service. Si vous transmettez un justificatif, utilisez un canal adapté, masquez les mentions inutiles lorsque cela est compatible avec l’objectif de la demande et demandez pourquoi le document est requis. Un interlocuteur légitime n’a pas nécessairement besoin de toutes les informations présentes sur une pièce.
B. Choisir les traceurs et comprendre qui utilise vos informations
Une visite sur un site peut déclencher le dépôt ou la lecture d’informations dans votre terminal. Les traceurs ont des fonctions différentes : maintenir une session, enregistrer un choix, mesurer une audience ou contribuer à la publicité. Certains servent au fonctionnement d’un service demandé ; d’autres poursuivent des finalités qui nécessitent un choix de l’utilisateur. Le nom technique affiché dans les paramètres ne suffit pas, à lui seul, à établir le régime juridique applicable.
L’article 82 de la loi du 6 janvier 1978 prévoit une information et, en principe, le consentement pour les opérations d’accès ou d’inscription qu’il vise. Il prévoit aussi des exceptions, notamment lorsque l’opération a pour finalité exclusive de permettre ou de faciliter la communication électronique ou lorsqu’elle est strictement nécessaire à la fourniture d’un service de communication en ligne expressément demandé. Il serait donc inexact de dire que tous les cookies exigent un accord, comme d’affirmer que tous les traceurs de mesure sont automatiquement exemptés.
La CNIL explique le régime des cookies et autres traceurs et distingue les opérations soumises au consentement de celles qui peuvent en être exemptées. Cette page est un outil pédagogique : elle aide à repérer les situations, tandis que les conditions applicables résultent des textes et de leur interprétation. Dans le bandeau, cherchez les finalités proposées et la possibilité de refuser les traceurs qui ne vous paraissent pas utiles. Conservez une capture si les choix affichés semblent trompeurs ou impossibles à comprendre.
Le Conseil d’État, dans sa décision du 19 juin 2020, n° 434684, a rappelé que le consentement doit être éclairé et porter sur les finalités concernées. Il a également jugé que, dans le cadre des lignes directrices examinées, la CNIL ne pouvait déduire de la seule exigence de liberté du consentement une interdiction générale et absolue des dispositifs conditionnant l’accès au site à l’acceptation de traceurs. Cette décision n’autorise pas indistinctement tous les dispositifs : leur appréciation dépend des conditions concrètes et des règles applicables.
Si vous avez accepté des traceurs soumis au consentement, vous pouvez ensuite revenir sur ce choix. Le Conseil d’État, le 19 juin 2020, n° 434684, rappelle la possibilité de retirer son consentement à tout moment et examine les conditions dans lesquelles ce retrait doit être aussi facile que son expression. Cherchez un lien de gestion des préférences, les paramètres du compte ou la notice de confidentialité ; notez la date et le parcours utilisé si le choix ne semble pas pris en compte.
Effacer les données du navigateur peut supprimer certains éléments conservés sur l’appareil, mais cette opération ne remplace pas nécessairement une demande adressée aux organismes qui détiennent déjà des informations sur leurs propres serveurs. Elle peut aussi déconnecter des comptes ou effacer des préférences utiles. Avant de tout réinitialiser, identifiez ce que vous souhaitez conserver et gardez les preuves dont vous pourriez avoir besoin.
Un site et ses partenaires ne jouent pas toujours le même rôle. Le responsable du traitement détermine seul ou avec d’autres les finalités et les moyens : le Conseil d’État rappelle cette définition le 19 juin 2020, n° 430810. Dans sa décision du même jour sur les traceurs, n° 434684, il distingue notamment l’éditeur qui sous-traite la gestion de traceurs pour son compte et le tiers qui en dépose pour son propre compte. Un prestataire qui héberge un service n’est donc pas automatiquement votre seul interlocuteur : les rôles s’apprécient à partir des faits et des documents disponibles.
Pour chaque situation, notez le nom du service, la page visitée, les données en cause et l’action qui vous inquiète : affichage public, envoi promotionnel, partage avec un partenaire ou accès à un compte. Cette fiche évite de confondre le fournisseur de l’application, l’éditeur du site et le moteur de recherche. Elle permet aussi de demander à chacun ce qui relève effectivement de son traitement, sans supposer qu’un acteur contrôle toutes les copies présentes sur internet.
Une situation peut impliquer des organismes ou des services situés dans plusieurs pays. La localisation affichée d’un site ou d’un serveur ne suffit pas, à elle seule, à identifier l’autorité compétente pour chaque traitement. Dans sa décision du 19 juin 2020, n° 430810, le Conseil d’État examine les pouvoirs de décision des établissements européens d’un responsable afin de déterminer si le mécanisme de l’autorité chef de file s’applique dans l’affaire jugée. Pour votre situation, identifiez le service concerné, l’organisme qui décide de l’utilisation des informations et les établissements en cause avant de conclure sur les règles et les interlocuteurs applicables.
II. Quels droits exercer si vos données restent utilisées ou exposées ?
A. Demander l’accès, la rectification, l’opposition ou l’effacement
Le droit utile dépend de ce que vous cherchez à obtenir. Demander à savoir quelles données un organisme conserve ne produit pas le même résultat qu’exiger la correction d’une adresse ou s’opposer à une campagne de prospection. Une demande peut combiner plusieurs droits, mais elle gagne à les présenter séparément et à préciser le compte ou le traitement concerné.
L’article 15 du RGPD permet de demander au responsable la confirmation qu’il traite ou non des données vous concernant et, lorsque c’est le cas, l’accès aux données ainsi qu’aux informations prévues par le texte. Le Conseil d’État, le 24 février 2022, n° 447495, rappelle notamment les dispositions relatives aux destinataires ou à leurs catégories, à la copie des données et aux droits et libertés d’autrui. La décision précise que le droit aux informations sur les destinataires ne permet pas, à ce titre, d’obtenir automatiquement l’identité de chaque agent ou salarié qui a consulté les données dans l’exercice de ses fonctions.
Une demande d’accès peut partir d’un fait simple : vous recevez une publicité adressée à une ancienne adresse ou vous constatez qu’un compte contient une information que vous n’avez pas fournie directement. Indiquez votre identité, les références utiles pour retrouver le compte et les informations recherchées. Demandez séparément l’origine disponible des données, les destinataires et les usages concernés. Il ne s’agit pas d’exiger d’un seul organisme la liste de toutes les données qui circulent sur le web.
Pour préparer cette démarche, notre article sur le droit d’accès aux données personnelles et la copie des informations détenues détaille les éléments à demander et les difficultés possibles. La demande d’accès peut éclairer une démarche ultérieure d’effacement ou de rectification, sans qu’il soit toujours nécessaire d’attendre une copie pour signaler une erreur déjà identifiée.
Une vérification d’identité peut être nécessaire pour éviter qu’une réponse contenant vos informations soit adressée à une autre personne. Demandez quel élément est utile et par quel moyen sécurisé le transmettre. Envoyer systématiquement une copie intégrale de pièce d’identité à une adresse trouvée sur un site non vérifié peut créer un risque supplémentaire. Si vous passez par votre espace personnel, vérifiez que vous utilisez l’adresse habituelle du service plutôt qu’un lien reçu dans un message inattendu.
Pour une demande d’accès, le Conseil d’État, le 31 décembre 2025, n° 495173, relève que la CNIL a rappelé au responsable son obligation de répondre dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois après réception, ainsi que les possibilités de prolongation prévues par le règlement. Gardez une preuve de réception, les éventuelles demandes de précision et la réponse reçue : la date d’envoi seule ne décrit pas toujours l’ensemble des échanges.
Si une donnée est inexacte, vous pouvez en demander la rectification et, compte tenu des finalités du traitement, demander qu’une donnée incomplète soit complétée. Le Conseil d’État, le 27 septembre 2022, n° 456593, rappelle ces conditions issues de l’article 16 du RGPD et de l’article 50 de la loi du 6 janvier 1978. Distinguez une erreur de fait d’une appréciation ou d’un désaccord plus large. Présentez la mention contestée, la correction demandée et, si nécessaire, les éléments qui la justifient. Une correction chez un acteur ne met pas automatiquement à jour tous les services susceptibles d’utiliser la même information.
Si le problème est l’utilisation à des fins publicitaires, demander l’arrêt de la prospection peut être plus adapté qu’une fermeture générale du compte. L’article L. 34-5 du code des postes et des communications électroniques pose en principe une exigence de consentement préalable pour la prospection directe par courrier électronique utilisant les coordonnées d’une personne physique. Il prévoit une exception encadrée : les coordonnées doivent avoir été recueillies auprès du destinataire lors d’une vente ou d’une prestation, la prospection doit porter sur des produits ou services analogues de la même personne et le destinataire doit pouvoir s’opposer simplement à l’utilisation de ses coordonnées lors de leur collecte puis dans chaque courriel. L’article 56 de la loi du 6 janvier 1978 renvoie, pour l’exercice du droit d’opposition, aux conditions de l’article 21 du RGPD et indique notamment que ce droit ne s’applique pas lorsque le traitement répond à une obligation légale.
Précisez si vous demandez l’arrêt de la prospection par l’organisme lui-même, le retrait d’un partenaire d’une liste de diffusion ou l’arrêt d’un usage déterminé. Gardez le message reçu avec son expéditeur et le chemin par lequel vous avez exercé votre choix. Une désinscription peut régler l’envoi sans répondre à toutes les questions sur l’origine des données ; une demande d’accès distincte peut être utile si cette origine reste importante pour vous.
L’effacement obéit à ses propres conditions. L’article 17 du RGPD vise notamment les données qui ne sont plus nécessaires à la finalité du traitement, certains retraits de consentement lorsqu’il n’existe pas d’autre fondement, ou les données traitées de manière illicite. Le Conseil d’État, le 6 décembre 2019, n° 395335, rappelle ces motifs ainsi que l’exception relative à l’exercice de la liberté d’expression et d’information. Une autre exception concerne les traitements nécessaires à la constatation, à l’exercice ou à la défense de droits en justice, comme le rappelle le Conseil d’État le 12 février 2020, n° 430803. Une conservation résiduelle doit être examinée selon sa finalité et son fondement ; elle ne signifie pas que toutes les réutilisations deviennent possibles.
Pour une page publiée, distinguez la source et l’index d’un moteur de recherche. Retirer un résultat associé à un nom ne supprime pas nécessairement le contenu de la page d’origine ; modifier la page ne fait pas nécessairement disparaître immédiatement tous les résultats ou copies. Relevez les adresses exactes, expliquez l’information visée et contactez les acteurs appropriés en fonction du résultat recherché. Les droits et exceptions doivent être appréciés pour chaque traitement ; une suppression universelle ne peut pas être promise à partir de la seule demande initiale.
Avant de fermer un compte, examinez si vous voulez récupérer certains fichiers. Cherchez les fonctions de téléchargement proposées et vérifiez, avant la fermeture, si les documents récupérés sont lisibles et complets. Une archive de votre profil ne contient pas nécessairement les éléments conservés par d’autres utilisateurs ou les données détenues par des partenaires. Vérifiez aussi les conséquences pratiques de la fermeture sur les achats, abonnements et services associés, à partir des documents contractuels applicables. Si une donnée importante manque, décrivez-la dans une demande distincte adressée au bon organisme.
B. Réagir à une réponse insuffisante et documenter un éventuel préjudice
Une réponse utile permet de comprendre ce qui a été fait pour la demande précise. Si l’organisme indique avoir supprimé un compte mais conserve certaines données, demandez quelles catégories restent conservées, pour quelles finalités et sur quel fondement. Si la réponse est incomplète, reprenez les points manquants sans multiplier des demandes identiques : cela facilite l’identification du désaccord et la conservation d’un dossier lisible.
Vous pouvez formuler votre demande de manière simple : indiquez le service concerné, les données que vous identifiez, le droit invoqué et le résultat recherché. Par exemple, demandez la copie des données liées à votre compte, l’origine disponible d’une adresse utilisée pour la prospection et l’arrêt de cette prospection. Conservez une copie de votre message et du formulaire utilisé. N’ajoutez pas de mots de passe ni d’informations bancaires complètes dans le dossier de réclamation.
Lorsque vous estimez qu’un traitement de vos données viole le règlement, vous pouvez introduire une réclamation auprès d’une autorité de contrôle. Ce droit est rappelé par le Conseil d’État le 20 décembre 2023, n° 471469. En France, la CNIL présente les démarches pour adresser une plainte. Pour un problème d’exercice de droits, préparez la demande adressée à l’organisme, sa preuve de réception et sa réponse éventuelle, ainsi qu’une explication factuelle de ce qui reste contesté.
La réclamation et la demande judiciaire n’ont pas le même objet. La CNIL examine la situation dans le cadre de ses pouvoirs ; sa saisine ne constitue pas une indemnisation automatique. Le Conseil d’État, dans la décision du 31 décembre 2025, n° 495173, a jugé que, dans les circonstances de l’affaire examinée, la clôture d’une plainte après un rappel des obligations au responsable n’était pas entachée d’erreur d’appréciation. Cette solution dépendait du dossier et ne signifie pas qu’une réponse de pure forme satisfait nécessairement toute demande.
Une démarche devant un juge peut poursuivre un objectif différent de la réclamation adressée à l’autorité de contrôle, par exemple demander réparation d’un préjudice. Le choix de la juridiction et de la procédure dépend notamment de la qualité des parties et des demandes présentées : il ne se déduit pas du seul lieu où un site est consultable. Avant d’engager une action, classez les pièces qui permettent de distinguer les faits, les démarches déjà effectuées et le résultat recherché.
L’article 82 du RGPD prévoit la réparation d’un dommage matériel ou moral subi du fait d’une violation du règlement. Dans un arrêt du 24 juin 2026, n° 24-22.792, la Cour de cassation rappelle que la seule violation ne suffit pas à ouvrir droit à réparation : il faut aussi établir le dommage matériel ou moral causé. L’arrêt rappelle également qu’un dommage moral ne doit pas atteindre un seuil de gravité déterminé pour être susceptible de réparation. Une sanction administrative éventuelle ou la réception d’une publicité ne permet pas, à elle seule, de fixer un montant ; il faut examiner les faits et les pièces de chaque situation.
Si vous avez subi des conséquences concrètes, conservez ce qui permet de les expliquer : échanges avec le service, captures datées, frais justifiés, démarches entreprises pour corriger la situation et éléments établissant les effets personnels allégués. Ne publiez pas ces pièces sur un forum pour obtenir de l’aide. Une capture qui contient les données d’autres personnes peut être conservée dans un espace protégé et les informations étrangères à votre dossier peuvent être masquées lors d’un partage adapté.
La sécurité relève aussi des organismes qui traitent les informations. L’article 32 du RGPD impose au responsable et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées au risque. Le Conseil d’État, le 22 juillet 2022, n° 449694, rappelle notamment les critères tenant au contexte et aux finalités du traitement, ainsi que les mesures envisageables selon les besoins, comme le chiffrement, la résilience et l’évaluation régulière. Ce cadre ne garantit pas qu’aucun incident ne puisse jamais se produire ; il ne suffit pas non plus de constater un incident pour déterminer, sans examen, quelles mesures étaient appropriées.
Si un organisme vous informe d’une violation, vérifiez le canal et la provenance du message avant d’utiliser un lien. Accédez au compte par l’adresse habituelle et suivez les mesures pertinentes pour les données annoncées : par exemple, changer un secret réutilisé ou examiner les connexions récentes. Conservez l’information reçue, ses annexes et vos échanges avec le service dans un espace protégé. Une absence d’alerte individuelle ne permet pas, à elle seule, de conclure qu’aucun incident n’a eu lieu ou qu’une obligation a été méconnue.
Conclusion
Protéger ses données personnelles sur internet suppose de combiner des gestes techniques et des démarches adaptées à chaque organisme. Sécuriser la messagerie, limiter les autorisations et choisir les traceurs réduisent certaines expositions ; demander l’accès, la rectification, l’opposition ou l’effacement répond à des situations juridiques différentes. Conserver les échanges et identifier le traitement en cause permet ensuite de comprendre une réponse, de saisir l’autorité compétente si nécessaire et d’évaluer un éventuel recours sur des faits précis.