Pourquoi vos données circulent même si vous avez cliqué “refuser” et comment reprendre le contrôle ?

Vous avez refusé les cookies, désactivé certaines publicités personnalisées et pourtant, une application semble encore connaître vos habitudes. Ce décalage ne signifie pas nécessairement que votre refus a été ignoré : plusieurs mécanismes de collecte et de partage fonctionnent indépendamment du bandeau affiché sur un site.

Au Canada, la protection des renseignements personnels repose sur des règles fédérales et provinciales dont la portée varie selon l’organisation et la situation. Ces règles encadrent certaines collectes et utilisations, mais elles ne remplacent pas les précautions à prendre sur votre téléphone, vos comptes et vos services financiers.

Reprendre le contrôle consiste à réduire les accès inutiles, sécuriser les comptes qui pourraient être compromis et savoir réagir lorsqu’une fuite survient. Certaines mesures prennent quelques minutes. D’autres exigent une démarche auprès d’une entreprise ou d’une agence de crédit. L’objectif réaliste n’est pas de devenir invisible, mais de limiter les renseignements exposés et leurs conséquences possibles.

Pourquoi « refuser les cookies » ne vous rend pas invisible et ce qui vous suit quand même

Refuser les cookies limite certains mécanismes de suivi, mais ne désactive pas automatiquement toutes les collectes de renseignements personnels. Les applications peuvent utiliser des identifiants publicitaires, des permissions déjà accordées ou des accès à des comptes externes. Le résultat dépend des réglages, des pratiques de chaque service et des règles juridiques applicables.

Le bandeau de consentement agit principalement sur les technologies et traitements auxquels il se rapporte. Trois autres mécanismes méritent une vérification distincte :

• L’empreinte numérique de l’appareil : certaines caractéristiques techniques du navigateur ou du téléphone peuvent être combinées pour tenter de reconnaître un appareil, même sans cookie traditionnel.
• Les identifiants publicitaires mobiles : ils peuvent servir à rattacher des activités publicitaires à un appareil, sous réserve des restrictions imposées par le système et des réglages de l’utilisateur.
• Les échanges entre services : une application peut disposer de renseignements communiqués directement, obtenus par une intégration autorisée ou transmis par un partenaire dans un cadre juridiquement applicable.

Une politique de confidentialité évoquant des « partenaires de confiance » mérite donc d’être examinée. Cette expression ne constitue toutefois pas une autorisation juridique générale : la communication des renseignements personnels doit respecter les obligations de consentement ou les exceptions applicables.

Au niveau fédéral, la Loi sur la protection des renseignements personnels et les documents électroniques, ou LPRPDE, prévoit différentes modalités de consentement selon le contexte. Un consentement implicite peut être approprié dans certaines circonstances, mais des renseignements sensibles ou des utilisations inattendues peuvent exiger un consentement exprès.

Au Québec, la Loi 25 a renforcé plusieurs obligations de transparence et de consentement. La Commission d’accès à l’information présente les principaux changements apportés par la Loi 25, notamment les exigences touchant certaines fonctions d’identification, de localisation ou de profilage.

Ces dispositions ne signifient pas que toutes les données doivent être effacées dès qu’un utilisateur refuse des cookies. Des utilisations et communications sans consentement restent possibles dans les cas prévus par la loi.

Pour identifier les accès encore actifs, procédez à un premier audit :

1. Ouvrez les autorisations de chaque application dans les réglages iOS ou Android et relevez celles qui accèdent à la localisation, aux contacts, au microphone ou aux photos.
2. Examinez les réglages d’identifiant publicitaire et de suivi. Selon le système, utilisez les options disponibles pour limiter le suivi, supprimer ou réinitialiser l’identifiant.
3. Consultez les applications et services tiers associés à vos comptes Google et Apple, puis révoquez les accès devenus inutiles.

La liste obtenue ne prouve pas qu’une entreprise utilise abusivement vos renseignements. Elle révèle surtout les autorisations et connexions que vous pouvez examiner.

Une fois ces mécanismes identifiés, l’étape la plus productive consiste à modifier les autorisations qui ne correspondent plus à votre usage quotidien.

Comment réduire votre exposition en 30 minutes avec 7 réglages simples sur votre téléphone

Une séance de 30 minutes permet de réduire plusieurs formes courantes de pistage sur un smartphone. Commencez par les permissions sensibles, puis vérifiez les options publicitaires, l’activité enregistrée dans vos comptes et les connexions à des services tiers. Ces modifications limitent certaines collectes futures sans supprimer automatiquement les renseignements déjà conservés.

Les durées suivantes constituent un budget pratique indicatif, et non des temps mesurés. Les intitulés exacts des menus varient selon le modèle, le système et sa version.

Sur iPhone, examinez les menus Confidentialité et sécurité, notamment les services de localisation et le suivi. Sur Android, recherchez le gestionnaire d’autorisations et les paramètres de confidentialité publicitaire. Les fonctions ne sont pas strictement identiques : le réglage Apple de suivi interapplications ne doit pas être confondu avec les commandes publicitaires d’Android.

Pour la localisation, privilégiez une autorisation limitée à l’utilisation de l’application. Lorsque l’option existe et que le service fonctionne correctement ainsi, préférez une position approximative à une position précise.

Le réglage relatif à l’activité Web et applications mérite une attention particulière : certains renseignements sont associés à un compte Google et non uniquement à un appareil. Modifier les préférences locales du téléphone ne suffit donc pas toujours à modifier leur conservation dans le compte.

Avant de désactiver une fonction, examinez ce qu’elle permet. Certaines restrictions peuvent affecter des recommandations, des historiques ou des fonctionnalités que vous souhaitez conserver.

Ces actions portent essentiellement sur les accès et collectes futurs. Pour des renseignements déjà détenus par une entreprise, une demande d’accès, de rectification ou de retrait du consentement peut être pertinente selon la loi applicable. Au Québec, certains droits supplémentaires existent, sans constituer un droit inconditionnel à l’effacement.

Le téléphone présente désormais moins d’accès inutiles. Il reste à protéger les comptes eux-mêmes, car un réglage publicitaire ne peut empêcher l’utilisation d’un mot de passe déjà volé.

Gestionnaire de mots de passe ou VPN : quel outil vous protège le plus pour environ 5 $CAD par mois

Pour réduire les conséquences des fuites de données personnelles, un gestionnaire de mots de passe est généralement prioritaire sur un VPN. Il facilite l’utilisation de secrets différents sur chaque compte. Un VPN agit plutôt sur la confidentialité de la connexion réseau et ne bloque ni le piratage d’un service ni l’exploitation de mots de passe réutilisés.

Ces outils répondent à deux problèmes distincts. Le gestionnaire conserve et génère des mots de passe robustes, tandis que le VPN établit un tunnel chiffré entre votre appareil et son fournisseur. Il peut masquer votre adresse IP publique aux sites consultés, mais il déplace aussi une partie de la confiance vers l’exploitant du VPN.

Sur un réseau Wi-Fi public, un VPN peut ajouter une protection réseau, particulièrement pour des communications autrement insuffisamment protégées. Il ne rend toutefois pas un utilisateur anonyme et ne remplace ni HTTPS, ni les mises à jour, ni l’authentification multifacteur.

Le budget d’environ 5 $CAD par mois est un repère de comparaison, pas le prix garanti de ces services. Des solutions gratuites ou intégrées, notamment Bitwarden, le trousseau iCloud et Google Password Manager, peuvent couvrir les besoins essentiels. Les fonctions, conditions commerciales et niveaux de service doivent être vérifiés avant de choisir.

Un bon gestionnaire doit notamment proposer une protection solide du coffre, des mises à jour suivies, une méthode de récupération compréhensible et des garanties techniques vérifiables. Le chiffrement, la transparence des audits indépendants et le cadre juridique de l’entreprise sont des critères utiles.

Vous pouvez également examiner si votre adresse courriel figure dans une fuite connue à l’aide d’un service spécialisé comme Have I Been Pwned, sans en déduire automatiquement que chacun de vos mots de passe a été divulgué.

Si vous possédez plusieurs comptes bancaires, gouvernementaux et commerciaux, sécuriser leurs identifiants présente un intérêt immédiat. Si vous utilisez fréquemment des réseaux tiers, évaluez ensuite l’intérêt complémentaire d’un VPN réputé.

Le choix de l’outil importe moins que son utilisation régulière : un gestionnaire correctement configuré ne sera pleinement utile que si les mots de passe réutilisés sont effectivement remplacés.

L’erreur qui mène au vol d’identité : réutiliser le même mot de passe sur 5 sites

Réutiliser un mot de passe sur cinq sites expose tous les comptes concernés lorsqu’un seul service divulgue ce secret. Les fraudeurs peuvent tester automatiquement les identifiants compromis ailleurs : c’est le bourrage d’identifiants, ou credential stuffing. Le nombre de cinq est illustratif ; la réutilisation entre seulement deux comptes crée déjà un risque.

Imaginez un scénario hypothétique : votre compte sur une boutique en ligne est compromis. Vous avez utilisé le même mot de passe pour ce site et votre messagerie. Un fraudeur qui obtient ces identifiants pourrait tenter d’accéder à votre boîte courriel, puis utiliser les fonctions de récupération d’autres comptes.

Cette chaîne n’est pas automatique. Les contrôles de connexion, l’authentification multifacteur et les protections propres à chaque service peuvent l’interrompre. Mais elle montre pourquoi l’adresse courriel principale mérite une attention particulière.

Le Centre canadien pour la cybersécurité explique les risques de réutilisation des mots de passe et recommande d’employer des secrets différents pour les comptes, puis de modifier les identifiants réutilisés après une compromission.

Pour rendre la démarche réaliste, classez les comptes par conséquence possible :

• Priorité immédiate : messagerie principale, services financiers, comptes gouvernementaux et gestionnaire de mots de passe.
• Priorité élevée : boutiques conservant des moyens de paiement, stockage infonuagique et comptes donnant accès à des données personnelles sensibles.
• À poursuivre : réseaux sociaux, forums, abonnements et autres services, sans considérer leur réutilisation de mots de passe comme acceptable.

L’objectif final reste un mot de passe unique pour chaque compte. Cette hiérarchisation indique uniquement dans quel ordre intervenir si vous ne pouvez pas tout modifier immédiatement.

Activez ensuite l’authentification multifacteur. Lorsqu’elles sont proposées, les clés de sécurité ou les méthodes résistantes à l’hameçonnage offrent une protection intéressante. Une application d’authentification évite certains risques propres aux codes SMS, notamment ceux liés au détournement d’un numéro de téléphone. Le SMS demeure néanmoins préférable à l’absence totale de second facteur dans de nombreux contextes.

Après une fuite confirmée, changez le mot de passe du compte concerné, puis celui de chaque autre compte utilisant exactement le même secret. Vérifiez les connexions inconnues, les paramètres de récupération, les sessions ouvertes et les opérations inhabituelles. Si votre adresse courriel a été divulguée sans que son mot de passe le soit, cela ne prouve pas à lui seul que son secret doit être remplacé.

Empêcher l’accès aux comptes limite une grande partie du risque, mais certaines fuites exposent directement des données d’identité ou des renseignements financiers. Dans ce cas, les mesures de protection du crédit deviennent pertinentes.

Quand geler votre crédit après une fuite de données pour éviter une fraude en votre nom

Au Québec, le gel de sécurité du dossier de crédit peut être pertinent lorsque des renseignements personnels compromis risquent de servir à demander du crédit en votre nom. Gratuit auprès de Equifax et de TransUnion, il empêche certaines communications du dossier. Sa disponibilité ne doit toutefois pas être présumée identique dans toutes les provinces canadiennes.

Trois mécanismes souvent confondus remplissent des fonctions différentes :

Au Québec, l’Autorité des marchés financiers précise que le gel et l’alerte à la fraude sont gratuits. La surveillance de crédit décrite dans ses informations constitue un service distinct qui peut être payant. Les consommateurs peuvent également consulter gratuitement leurs dossiers de crédit auprès des agences concernées.

La distinction territoriale est essentielle : le droit au gel de sécurité décrit par l’Autorité concerne le Québec. Un consommateur établi dans une autre province doit vérifier les protections et services effectivement accessibles dans sa juridiction.

La réaction dépend ensuite de ce qui a réellement été exposé. Une fuite limitée à une adresse courriel appelle surtout une vigilance contre l’hameçonnage. Si des données d’identité sensibles, comme le numéro d’assurance sociale, et d’autres renseignements permettant une usurpation sont concernés, le risque justifie une évaluation plus approfondie des protections disponibles.

Dans ce second cas, vérifiez vos dossiers auprès des deux agences, recherchez les demandes ou comptes inconnus et examinez l’opportunité d’une alerte à la fraude ou, au Québec, d’un gel de sécurité. Ces mesures ne correspondent pas à une prescription automatique fondée sur un seul type de donnée.

Selon les explications de l’Autorité des marchés financiers sur le dossier de crédit, il faut s’adresser à Equifax et à TransUnion pour mettre en place les mesures pertinentes. N’assumez pas qu’une démarche auprès de l’une produit automatiquement le même effet auprès de l’autre.

Avant de demander un nouveau prêt ou un produit de crédit, pensez également à la levée du gel, lorsqu’il existe. Certaines communications nécessaires à l’examen de la demande pourraient être bloquées. Les modalités de retrait doivent être vérifiées directement auprès de chaque agence.

Enfin, le gel ne bloque pas toutes les consultations : certaines situations, notamment des vérifications permises pour le logement ou l’assurance, peuvent suivre des règles différentes.

Ces précautions deviennent particulièrement utiles lorsque vos données financières sont réparties entre plusieurs établissements ou applications, y compris des services fintech.

Pourquoi les fintech attirent autant au Canada malgré des banques solides — et ce que vos données y font

Les fintech attirent les consommateurs canadiens par leurs interfaces mobiles, la simplicité de certaines démarches et leurs modèles de frais. Mais multiplier les services financiers peut aussi multiplier les entreprises qui détiennent des renseignements personnels. Avant d’ouvrir un compte, il faut comprendre quelles données sont recueillies, comment elles circulent et comment mettre fin aux accès accordés.

Une application de gestion budgétaire, par exemple, peut avoir besoin de consulter les transactions bancaires pour produire un tableau de dépenses. Selon le service et son mode d’intégration, cet accès peut passer par une interface autorisée ou par la communication d’identifiants bancaires.

Ces modalités n’offrent pas les mêmes garanties. Communiquer directement le mot de passe d’un compte bancaire à un tiers accroît les risques associés à sa conservation et à son utilisation. Une interface d’autorisation peut offrir des contrôles plus précis, mais son existence ne dispense pas d’examiner les permissions accordées.

Avant d’utiliser une fintech, vérifiez son statut et ses partenaires. Une banque membre de la Société d’assurance-dépôts du Canada, une entreprise de paiement enregistrée auprès de la Banque du Canada et un fournisseur de services technologiques ne relèvent pas nécessairement du même cadre de supervision.

L’enregistrement d’un fournisseur de services de paiement ne signifie pas qu’il possède une licence bancaire ni que tous les soldes détenus bénéficient d’une assurance-dépôts. La nature juridique du service doit donc être distinguée de son apparence commerciale.

Posez également quatre questions pratiques :

• Quels renseignements sont nécessaires pour ouvrir et maintenir le compte ?
• Les données sont-elles communiquées à des fournisseurs ou partenaires, et pour quelles finalités ?
• Existe-t-il un mécanisme clair pour révoquer l’accès aux comptes bancaires connectés ?
• Que deviennent les renseignements après la fermeture du service, compte tenu des obligations de conservation applicables ?

La fermeture d’un compte dormant est souvent préférable au maintien d’un service inutile. Elle ne garantit cependant pas la suppression immédiate de tous les documents d’identification, car certaines données peuvent devoir être conservées pour des motifs légaux ou réglementaires.

Pour reprendre le contrôle, recensez les applications financières que vous n’utilisez plus, vérifiez leurs connexions bancaires et demandez la fermeture lorsque cela convient. Conservez une confirmation et les indications reçues concernant la conservation de vos renseignements.

Moins de services inutilisés signifie moins d’accès à surveiller. Il faut toutefois rester attentif aux tentatives de fraude qui exploitent l’identité de banques, d’applications et d’organismes officiels.

Comment vérifier un message suspect en 2 minutes sans cliquer et sans vous tromper

Pour vérifier un message suspect, n’utilisez ni son lien, ni son numéro de rappel, ni son invitation à répondre. Ouvrez vous-même l’application officielle de l’organisme concerné ou retrouvez ses coordonnées indépendamment du message. Cette démarche simple évite de fonder votre décision sur une identité d’expéditeur éventuellement falsifiée.

Deux minutes représentent ici un objectif pratique pour une première vérification, pas une garantie que l’authenticité d’un message pourra toujours être établie dans ce délai.

Commencez par identifier ce que le message vous demande : paiement immédiat, connexion à un compte, transmission d’un code, confirmation d’identité ou téléchargement d’un document. Plus la demande paraît urgente, plus il est important de la vérifier par un canal indépendant.

Sur un courriel, consultez l’adresse complète de l’expéditeur lorsque votre application la rend accessible. Sur un texto, sachez que le numéro affiché peut être trompeur. Les noms d’entreprises connus et les indicatifs canadiens ne constituent pas des preuves suffisantes.

Évitez de toucher un lien suspect, même pour examiner son adresse. Certaines applications permettent un aperçu par appui prolongé, mais le comportement varie et le risque d’ouverture involontaire n’est pas nul. Il est plus sûr de retrouver indépendamment le site ou l’application légitime.

Si un message semble provenir de l’Agence du revenu du Canada, de Service Canada ou de votre banque, ouvrez directement le canal officiel que vous utilisez habituellement. Vérifiez les notifications ou contactez l’organisme à partir de coordonnées obtenues sans passer par le message reçu.

Vous pouvez aussi rechercher le nom de l’organisme associé au terme « arnaque » pour repérer d’éventuels avertissements. Cette recherche complète la vérification officielle, sans la remplacer.

Les fraudeurs peuvent exploiter de vraies informations personnelles, notamment des renseignements issus de fuites. Un message qui mentionne votre nom ou une situation plausible n’est donc pas nécessairement authentique.

Le Bureau de la concurrence recommande de ne pas répondre aux messages frauduleux, même lorsqu’ils proposent d’envoyer « STOP » ou « NON ». Au Canada, les messages indésirables peuvent être transférés au 7726 (SPAM) pour signalement à l’opérateur mobile. Une tentative d’hameçonnage peut également être signalée au Centre antifraude du Canada.

Après le signalement, bloquez l’expéditeur lorsque cela est possible, puis supprimez le message. Si vous avez déjà communiqué un renseignement sensible, la simple suppression ne suffit plus : des mesures de protection du compte ou de paiement deviennent prioritaires.

Cette méthode reste valable même face à un texto très crédible. Comprendre les ressorts de cette crédibilité aide aussi à éviter qu’un proche ne se fasse piéger.

Pourquoi les arnaques par texto réussissent encore sur certains destinataires et comment vous en prémunir

Les arnaques par texto exploitent souvent l’urgence, la peur de perdre un avantage ou la crédibilité d’un événement quotidien. Un faux avis de livraison peut paraître plausible lorsqu’une personne attend réellement un colis. La protection repose donc moins sur la reconnaissance des fautes que sur une règle constante : ne jamais agir sur une demande sensible sans vérification indépendante.

Le mécanisme s’appelle l’hameçonnage par SMS, ou smishing. Le fraudeur se fait passer pour une entreprise, une institution financière ou un organisme public afin d’obtenir un paiement, un mot de passe ou d’autres renseignements confidentiels.

Selon les conseils du Bureau de la concurrence sur les fraudes par texto, les messages suspects doivent être vérifiés par un autre moyen. Le sentiment d’urgence, l’usurpation d’identité et les demandes de renseignements sensibles constituent des signaux importants.

Les données circulant après une fuite peuvent rendre certaines tentatives plus convaincantes. Toutefois, un texto contenant des informations personnelles exactes ne prouve pas que celles-ci proviennent du suivi publicitaire ou d’une fuite particulière. Plusieurs origines sont possibles.

La bonne défense combine plusieurs couches :

• Filtrage : activez les fonctions disponibles pour identifier ou isoler les messages d’expéditeurs inconnus, en vérifiant régulièrement les messages légitimes éventuellement filtrés.
• Réduction de l’exposition : lorsque cela convient, utilisez un moyen de contact distinct pour certaines inscriptions commerciales plutôt que votre numéro principal.
• Protection des comptes : privilégiez les mots de passe uniques et les méthodes d’authentification robustes.
• Règle familiale : convenez qu’aucun membre du foyer ne transmet un code, ne confirme un paiement inattendu ou ne communique ses données bancaires sous la pression d’un message.

Cette dernière mesure est particulièrement utile pour les personnes moins familières avec les mécanismes d’hameçonnage. Elle doit rester simple : en cas de doute, vérifier directement auprès de l’organisme, éventuellement avec l’aide d’un proche de confiance.

Si vous avez simplement ouvert un texto sans interagir avec un lien ou transmettre de renseignements, la situation ne correspond pas à celle d’un compte compromis. Si vous avez cliqué, identifiez d’abord ce qui s’est produit : page visitée, mot de passe saisi, fichier téléchargé ou paiement effectué.

Si un mot de passe a été communiqué, remplacez-le rapidement depuis le site ou l’application légitime, puis vérifiez les autres comptes où il a été réutilisé. Examinez les sessions actives et les moyens de récupération. Si un logiciel a été installé, évitez d’utiliser l’appareil pour des opérations sensibles avant d’avoir évalué sa sécurité.

Si vous avez transmis des renseignements bancaires ou autorisé une opération suspecte, contactez immédiatement votre institution financière à partir de ses coordonnées officielles. Conservez les éléments utiles au signalement et communiquez l’incident au Centre antifraude du Canada.

Ces actions sont plus efficaces lorsqu’elles sont décidées à l’avance. Une courte consigne écrite, partagée avec les personnes du foyer, permet d’éviter de chercher la marche à suivre sous la pression.

Choisissez dès maintenant un compte sensible à sécuriser, vérifiez ses méthodes d’authentification et partagez avec votre foyer une règle de vérification indépendante. Ces gestes constituent un point de départ concret pour limiter à la fois l’exposition des données et les risques de fraude.