On reçoit un mail de relance d’un site qu’on ne reconnaît pas, on clique sans réfléchir, et trois jours plus tard un compte bancaire est compromis. Ce scénario, banal en 2026, illustre à quel point la protection des données personnelles ne se joue plus uniquement dans les paramètres de confidentialité d’un navigateur. Le RGPD encadre toujours la collecte et le traitement des informations par les entreprises, mais les menaces côté utilisateur ont changé de nature.
Infostealers et phishing avancé : les vrais risques pour vos données en 2026
Les concurrents détaillent longuement le fonctionnement du RGPD ou les obligations des entreprises. On va commencer par l’autre bout : ce qui menace concrètement un internaute quand il ouvre son ordinateur le matin.
Le rapport ENISA Threat Landscape 2026, publié le 15 septembre 2026, identifie le phishing comme la principale technique d’ingénierie sociale observée dans les incidents analysés en 2025. Les kits de phishing « as-a-service » se sont multipliés, permettant à des attaquants sans compétences techniques de monter des campagnes crédibles en quelques heures.
L’autre menace montante, ce sont les infostealers. Ces logiciels malveillants ne se contentent plus de voler un mot de passe. Selon le même rapport ENISA, ils extraient désormais les identifiants, les données de navigation, les jetons d’authentification multifacteur (MFA) et les cookies de session. Concrètement, même avec un mot de passe solide et une double authentification activée, un appareil infecté peut compromettre l’ensemble de vos comptes.
On a publié un dossier complémentaire sur les données personnelles sur dubraz.com via Blognet News qui détaille les obligations des sites en matière de collecte et de consentement.
Ce que ça change au quotidien : la mise à jour du système d’exploitation et des applications n’est pas un conseil générique, c’est la première ligne de défense contre les infostealers. L’usage d’un gestionnaire de mots de passe limite aussi l’exposition, parce qu’on ne tape plus ses identifiants dans un formulaire potentiellement piégé.
Contrôles CNIL en 2026 : recrutement, algorithmes et ce que ça implique pour les utilisateurs
On parle souvent de la CNIL comme d’un gendarme lointain qui sanctionne les grandes plateformes. En 2026, ses thématiques prioritaires de contrôle touchent des secteurs qui concernent directement les particuliers dans leur vie courante.
Parmi les axes retenus cette année figurent notamment le recrutement et le répertoire électoral unique. En pratique, cela signifie que la CNIL vérifie comment les employeurs collectent et conservent les données des candidats, et comment les fichiers électoraux sont gérés au niveau algorithmique.
Pour un internaute qui postule en ligne, la conséquence est directe : on peut demander à un recruteur quelles données il conserve, sur quelle base légale, et pendant combien de temps. Le droit d’accès et le droit à l’effacement prévus par le RGPD s’appliquent aussi aux CV déposés sur une plateforme de recrutement il y a trois ans.
Exercer son droit d’accès sans attendre une fuite
La plupart des internautes découvrent leurs droits après un incident. On peut agir en amont. Tout organisme qui traite des données personnelles doit répondre à une demande d’accès dans un délai encadré par le RGPD.
Quelques situations où cette démarche a un impact concret :
- Vérifier quelles informations un ancien employeur ou une agence d’intérim conserve encore dans ses fichiers, plusieurs années après la fin d’un contrat.
- Demander à un site e-commerce la liste complète des données associées à votre compte, y compris l’historique de navigation et les préférences publicitaires.
- Exiger la suppression de données sur une plateforme de petites annonces où vous n’êtes plus actif depuis longtemps.
Si l’organisme ne répond pas ou refuse sans motif valable, la CNIL peut être saisie directement via son formulaire de plainte en ligne.
Consentement aux cookies et traceurs : ce qui a réellement changé
On clique sur « Tout accepter » par réflexe. Le problème, c’est que ce geste autorise souvent des dizaines de traceurs publicitaires à collecter des données de navigation, de localisation et de profil d’achat.
La politique de confidentialité d’un site doit détailler la finalité de chaque traitement et la base légale utilisée (consentement, intérêt légitime, exécution d’un contrat). En pratique, les retours varient sur ce point : certains sites affichent des bandeaux conformes mais renvoient vers des politiques de confidentialité rédigées dans un jargon difficilement compréhensible.
Refuser les cookies non importants ne doit jamais être plus compliqué qu’accepter. C’est un principe que la CNIL rappelle régulièrement. Si un site impose plus de clics pour refuser que pour accepter, il est potentiellement en infraction.
Trois réflexes pour limiter le pistage au quotidien
- Configurer le navigateur pour supprimer automatiquement les cookies à la fermeture, ce qui neutralise la majorité des traceurs persistants sans bloquer la navigation courante.
- Déconnecter les sessions ouvertes sur les services sensibles (banque, messagerie, santé) après chaque utilisation, surtout sur un appareil partagé. C’est la parade la plus directe contre le vol de cookies de session par un infostealer.
- Utiliser des adresses mail distinctes pour les services critiques et les inscriptions à des newsletters ou promotions, afin de compartimenter les risques en cas de fuite.
Authentification multifacteur : protection utile mais pas infaillible
On recommande partout d’activer la double authentification, et c’est un bon réflexe. L’authentification multifacteur bloque la grande majorité des tentatives d’accès non autorisé par mot de passe volé.
Le rapport ENISA 2026 apporte une nuance technique : les attaques dites Adversary-in-the-Middle sont capables de détourner des jetons de session en temps réel, contournant ainsi la protection MFA. Ce type d’attaque reste plus sophistiqué que le phishing classique, mais il se démocratise via les mêmes kits « as-a-service ».
La MFA reste nécessaire, mais elle ne remplace pas la vigilance sur les liens reçus par mail ou SMS. Un lien de phishing qui redirige vers un proxy malveillant peut capturer le jeton MFA au moment même où l’utilisateur s’authentifie légitimement.
Le meilleur complément à la double authentification reste la combinaison d’un gestionnaire de mots de passe (qui refuse de remplir un formulaire sur un domaine inconnu) et d’un système d’exploitation à jour (qui limite l’installation d’infostealers). Aucune mesure isolée ne suffit : c’est l’empilement de couches de protection qui réduit réellement le risque de compromission de vos données personnelles.
