Applications gratuites et données personnelles : quand vos infos deviennent un outil de surveillance

Une enquête récente révèle que des espions français ont été pistés via des applications “gratuites” sur leurs téléphones. Derrière ce scandale apparent se cache un modèle économique bien rodé, où les données collectées par les applications et revendues par les Data Brokers peuvent reconstituer des profils précis, avec des implications qui dépassent largement la publicité. Pourquoi personne n’est vraiment protégé, et pourquoi la question est désormais politique et stratégique ?
‍

L’affaire a fait scandale. Début décembre 2025, une enquête du Monde menée par Martin Untersinger et Damien Leloup a révélé une faille gravissime. Plusieurs agents français et personnels de sécurité sensibles ont été suivis à leur insu. Les journalistes ont pu pendant plusieurs jours suivre à la trace des espions dans chacun de leurs déplacements. Comment est-ce possible ? Grâce à de simples applications gratuites sur les smartphones des espions. Elles collectaient, visiblement avec le consentement des utilisateurs, des données publicitaires et de géolocalisation très précise. Parfois au mètre près ! Bien évidemment, des données aussi sensibles étaient rapidement vendues à de Data Brokers, accessibles à bas coût à n’importe quel acteur, y compris privé ou étatique.

À lire aussi : SaaS et IAM : maîtriser la gestion des identités dans le cloud pour plus de sécurité et d’agilité

Ainsi, plusieurs profils sont concernés. On peut citer des officiers de renseignements, des policiers et gendarmes d’élite (GIGN), des militaires affectés à des bases stratégiques, des personnels chargés de la protection des plus hautes personnalités… L’affaire montre que même les professionnels les mieux formés à la sécurité peuvent être exposés, et que nos données “gratuites” ne le sont jamais vraiment. 
‍

Tout de suite dans cette affaire, il y a quelque chose qui frappe. Il n’y a aucun piratage. Il n’y a aucune intrusion. Il n’y a aucun malware. La fuite de données est totalement invisible. Tout repose sur des données collectées avec consentement apparent. Finalement, ce qui choque, ce n’est pas tellement que cela ait été possible, mais plutôt que cela ait été aussi simple. Ainsi, si cela a fonctionné sur des agents de renseignement, cela peut aussi marcher pour monsieur et madame Tout-le-monde. Le problème est donc structurel. 
‍

Applications gratuites et collecte de données : le vrai coût du “gratuit”
‍

Vous connaissez forcément la fameuse citation : “Si c’est gratuit, c’est vous le produit”. Cette affaire ne déroge pas à cette règle. En effet, les applications gratuites ne sont jamais vraiment gratuites. Dans notre société actuelle, tout est payant. Donc, si on nous offre un service “gratuit”, il y a forcément une forme de rémunération basée sur les données personnelles qui valent de l’or. Plus vous utilisez une application et plus elle génère des données exploitables, donc des revenus indirects.
‍
À lire aussi : Palantir : l’entreprise qui façonne la surveillance mondiale et redéfinit la souveraineté

Justement, pour monétiser tout cela, la plupart des applications gratuites intègrent de SDK publicitaires, des composants fournis par des acteurs tiers chargés d’afficher des annonces et d’optimiser le ciblage. Avec cela, vos identifiants sont collectés, vos données d’usage sont rassemblées et parfois même vos signaux de localisation sont amassés. Ensuite, ces briques logicielles les transmettent à des plateformes externes. Avec une mutualisation d’innombrables applications, ces SDK permettent de suivre un utilisateur et de restituer des profils très précis, souvent à l’insu des utilisateurs. 
‍

Ces profils sont ensuite vendus à des Data brokers. Ces entreprises agrègent, enrichissent les données pour créer des profils détaillés et traçables. Ils sont ensuite revendus à des annonceurs et des acteurs privés à moindre coût. En pratique, les traces laissées sur votre téléphone peuvent ainsi être transformées en un véritable outil de surveillance, sans qu’aucune intrusion technique ne soit nécessaire.
‍

Données marketing transformées en renseignement low cost
‍

Ce mécanisme peut sembler anodin dans sa globalité, surtout lorsqu’il sert à cibler des publicités. Pour autant, il prend une tout autre dimension lorsqu’il s’applique à des profils sensibles, comme des espions français par exemple. Les données collectées par les SDK et revendues par les data brokers permettent ainsi de suivre les habitudes, les déplacements d’une personne, mais surtout de reconstituer ses routines, ses réseaux et ses lieux fréquentés.
‍
À lire aussi : L’avenir du pentest en Europe : sécurité continue, conformité NIS2 et DORA en 2026

Ainsi, ce qui est normalement conçu pour le marketing, se transforme en une sorte de renseignement low cost. Quiconque à des accès possède une visibilité quasi complète sur une personne, sans avoir à pirater son smartphone ni contourner une quelconque sécurité. Mais même en connaissant ce mécanisme, il serait illusoire de croire que l’on peut se protéger simplement avec des réglages ou de la vigilance. Les données continuent de circuler, souvent à votre insu, et le consentement seul ne suffit pas à garantir votre anonymat.
‍

Protection illusoire : pourquoi vos données restent exposées
‍

Vous pouvez tenter de désactiver la géolocalisation de votre smartphone et limiter autant de permissions que vous voulez, aucun réglage seul ne permet d’assurer à 100% l’anonymat. Les applications et les SDK peuvent utiliser d’autres signaux pour collecter toujours plus d’informations. Pour identifier et localiser un utilisateur, ils peuvent utiliser le Wi-Fi, le Bluetooth et les capteurs de l’appareil.
‍
À lire aussi : Panne Cloudflare : quand une erreur interne révèle la fragilité structurelle de l’Internet mondial

Le consentement en lui-même ne suffit plus. Les politiques de confidentialité sont faites pour épuiser l’utilisateur. Elles sont longues, floues et très difficiles à interpréter. Évidemment, si l’utilisateur veut pouvoir utiliser l’application, il est obligé de s’y soustraire. En pratique, la charge pour se protéger devient irréaliste, et même les profils les plus formés à la sécurité, comme les agents du renseignement, restent exposés. Ainsi, le problème dépasse largement les simples réglages ou bonnes pratiques. Il devient avant tout un enjeu collectif, politique et stratégique, qui interroge notre capacité à maîtriser nos données dans un écosystème dominé par la monétisation et la surveillance.
‍

Souveraineté numérique et enjeux politiques des données personnelles
‍

L’affaire des applications gratuites révèle les limites du cadre réglementaire actuel, comme le RGPD, face aux Data Brokers et à la circulation internationale des données. La gratuité apparente des services numériques cache une dépendance économique profonde à la publicité ciblée, qui rend difficile toute régulation stricte.

À lire aussi : Vol d’identité numérique : comment l’IA et les deepfakes transforment la cybersécurité

Au-delà de la technique, il s’agit d’un arbitrage implicite sur la souveraineté numérique : tolérons-nous que nos données personnelles, y compris celles de profils sensibles, circulent librement à des fins marketing ou stratégiques ? Cette question est désormais centrale : la maîtrise des données ne peut plus être un choix individuel, elle relève d’une responsabilité collective et d’un cadre politique capable de protéger les citoyens et les intérêts nationaux. Sommes-nous prêts à accepter que nos données personnelles soient devenues un outil de surveillance invisible, tant que l’on croit bénéficier du “gratuit” ?

‍

Illustration générée par IA