GAFAM : que savent-ils vraiment de vous ?

La der­nière fois, je vous racon­tais l’his­toire de Tim Ber­ners-Lee, l’in­gé­nieur qui a inven­té le web et a choi­si de l’of­frir au monde entier sans en gar­der l’ex­clu­si­vi­té. Un web ouvert, décen­tra­li­sé, pen­sé pour être par­ta­gé par toutes et tous. Sauf que, ces der­nières années, Tim Ber­ners-Lee lui-même s’in­quiète de ce que son inven­tion est deve­nue : un espace où quelques acteurs seule­ment concentrent une bonne par­tie du pou­voir et de nos données.

Ces acteurs, on les résume sou­vent par un acro­nyme : les GAFAM. Que savent-ils de nous ? C’est la ques­tion que je vou­lais creu­ser avec vous aujourd’hui.

Qui sont les GAFAM ?

GAFAM, c’est l’a­cro­nyme qui désigne cinq entre­prises amé­ri­caines : Google, Apple, Face­book (rebap­ti­sé Meta en 2021), Ama­zon et Micro­soft. À elles cinq, ces entre­prises pèsent plu­sieurs mil­liers de mil­liards de dol­lars en bourse et touchent, direc­te­ment ou indi­rec­te­ment, la qua­si-tota­li­té des per­sonnes connec­tées au web dans le monde.

Un smart­phone (Apple ou un sys­tème conçu par Google), un moteur de recherche, une mes­sa­ge­rie, un réseau social, des achats en ligne, un poste de tra­vail : il est presque impos­sible de tra­ver­ser une jour­née sans croi­ser au moins un de leurs ser­vices. C’est jus­te­ment parce que ces ser­vices sont par­tout, sou­vent gra­tuits, qu’il vaut la peine de regar­der d’un peu plus près com­ment ils fonctionnent.

Des services gratuits, mais gratuits comment ?

Voi­là une ques­tion toute simple, mais qu’on ne se pose peut-être pas assez sou­vent. Quand un ser­vice ne coûte rien à l’a­chat, c’est géné­ra­le­ment qu’il se rému­nère autre­ment, et la don­née per­son­nelle en fait lar­ge­ment partie.

N’a­vez-vous jamais enten­du cette phase : « Quand c’est gra­tuit, c’est toi le pro­duit ». Voi­là qui résume bien la chose.

Le prin­cipe est simple : plus une entre­prise en sait sur vous (vos centres d’in­té­rêt, vos habi­tudes, votre loca­li­sa­tion), plus elle peut vendre à ses annon­ceurs et annon­ceuses de la publi­ci­té ciblée, donc plus effi­cace, donc plus chère. Ne vous est-il jamais arri­vé de cher­cher à ache­ter une éta­gère ou autre sur Google et de retrou­ver par la suite des publi­ci­tés sur ce thème dans votre fil Face­book ou Instagram ?

Les GAFAM ont ame­né ce prin­cipe à une échelle notable, en croi­sant les don­nées de mil­liards de comptes.

Concrètement, quelles données sont collectées ?

Le plus sou­vent, on l’i­ma­gine sans vrai­ment se rendre compte de l’am­pleur réelle. Voi­ci quelques exemples par­mi les plus courants :

• l’his­to­rique de navi­ga­tion et de recherche
• la loca­li­sa­tion, y com­pris quand l’ap­pli­ca­tion n’est pas ouverte
• les contacts, les habi­tudes d’a­chat, les centres d’in­té­rêt déduits de vos interactions
• le conte­nu de cer­tains échanges (mes­sages, recherches vocales) selon les ser­vices et les para­mètres choisis

Rien de tout cela n’est illé­gal en soi : ces entre­prises informent, en théo­rie, dans leurs condi­tions d’u­ti­li­sa­tion. Le pro­blème, c’est que ces condi­tions sont rare­ment lues, et que le consen­te­ment don­né en quelques secondes ne reflète pas tou­jours l’am­pleur réelle de ce qui est collecté.

Pourquoi ça mérite qu’on s’y intéresse

On pour­rait se dire que ça ne nous concerne pas direc­te­ment, tant qu’on n’a « rien à cacher ». C’est quelque chose que j’en­tends très sou­vent. « Je n’ai rien à cacher » Mais la ques­tion n’est pas là : il s’a­git sur­tout de savoir ce qui est fait de ces infor­ma­tions, et par qui.

Les auto­ri­tés de pro­tec­tion des don­nées s’y inté­ressent d’ailleurs de très près. Par exemple, en sep­tembre 2025, la CNIL a infli­gé à Google une amende de 325 mil­lions d’eu­ros pour avoir affi­ché des publi­ci­tés entre les cour­riels des per­sonnes uti­li­sant Gmail sans leur accord, et pour avoir dépo­sé des tra­ceurs (cookies) lors de la créa­tion de comptes Google, sans consen­te­ment valide des per­sonnes rési­dant en France. C’est un exemple par­mi d’autres, qui montre que le sujet n’a rien d’a­nec­do­tique, y com­pris aux yeux des régulateurs.

Ces ser­vices sont à ban­nir du jour au len­de­main. En vrai, ça prend du temps. En tout cas, ils rap­pellent qu’il est utile de rete­nir cette infor­ma­tion, et de reprendre, quand c’est pos­sible, un peu de contrôle sur ses propres données.

Reprendre un peu de contrôle : des gestes simples

Voi­ci quelques pistes concrètes.

1. Connaître et exer­cer ses droits : Le RGPD (le règle­ment euro­péen sur la pro­tec­tion des don­nées) vous donne plu­sieurs droits, oppo­sables à n’im­porte quelle entre­prise qui traite vos données :

• le droit d’ac­cès, pour savoir ce qu’une entre­prise détient sur vous
• le droit de rec­ti­fi­ca­tion et d’ef­fa­ce­ment de vos données
• le droit à la por­ta­bi­li­té, pour récu­pé­rer vos don­nées dans un for­mat réuti­li­sable et les trans­fé­rer ailleurs
• le droit d’op­po­si­tion, notam­ment à la pros­pec­tion commerciale

Ces demandes doivent rece­voir une réponse dans un délai d’un mois maxi­mum. La CNIL met à dis­po­si­tion des modèles de cour­rier pour vous accom­pa­gner dans ces démarches.

2. Véri­fier ses réglages de confi­den­tia­li­té : La plu­part des ser­vices pro­posent, quelque part dans leurs para­mètres, de limi­ter la col­lecte de don­nées ou la per­son­na­li­sa­tion publi­ci­taire. Ce n’est pas tou­jours mis en avant, mais ça se trouve, et ça vaut le coup d’y consa­crer dix minutes.

3. Tes­ter des alter­na­tives : Il n’est pas néces­saire de tout chan­ger d’un coup. On peut s’y prendre petit à petit, ser­vice par ser­vice, à son rythme. Voi­ci quelques pistes euro­péennes ou libres, selon les usages :

• pour la recherche en ligne : Qwant ou Duck­Duck­Go, ou encore Lilo, plu­tôt que Google
• pour la mes­sa­ge­rie élec­tro­nique : Pro­ton Mail ou créer une adresse per­son­na­li­sée avec votre propre nom de domaine, au lieu de Gmail/
• pour le sto­ckage en ligne (pho­tos, docu­ments) : Next­cloud, notam­ment pro­po­sé par o2switch à par­tir de l’offre Cloud, au lieu de Google Drive.
• pour la navi­ga­tion web : Fire­fox au lieu de Chrome
• pour la mes­sa­ge­rie ins­tan­ta­née : Signal au lieu de WhatsApp.
• pour la visio­con­fé­rence : Jit­si au lieu de Google Meet
• pour la bureau­tique (trai­te­ment de texte, tableur) : LibreOf­fice ou OnlyOffice
• Linux comme sys­tème d’exploitation

Ce sont des points de départ, pas des obli­ga­tions. L’i­dée n’est pas de culpa­bi­li­ser qui que ce soit d’u­ti­li­ser tel ou tel ser­vice au quo­ti­dien, mais sim­ple­ment de savoir qu’il existe des choix, et que ces choix ont un impact.

Per­son­nel­le­ment, j’ai quit­té Face­book il y a plu­sieurs années. J’ai quit­té What­sApp pour Signal. J’ai quit­té Gmail pour ma propre adresse avec mon propre nom de domaine. Je n’a­li­mente plus Ins­ta­gram ni X (ex twit­ter). Au delà de me dire que je vou­lais quit­ter les GAFAM, je me suis fait la réflexion sur la ques­tion de l’é­ta­le­ment de ma vie pri­vée et du temps que je per­dais à scrol­ler plu­sieurs heures par jour. Enfin, j’u­ti­lise le moteur de recherche Lilo au quotidien. 

Même sans compte Gmail, est-on vraiment à l’abri ?

Voi­là un exemple concret qui montre bien les limites de ces bonnes réso­lu­tions. Pre­nons mon cas : j’u­ti­lise une adresse email per­son­na­li­sée, avec mon propre nom de domaine, plu­tôt qu’une adresse Gmail. Sauf que dès qu’une per­sonne m’é­crit depuis une adresse @gmail.com, ce mes­sage passe par les ser­veurs de Google avant d’ar­ri­ver jus­qu’à moi. Mon adresse, le conte­nu du mes­sage et cer­taines méta­don­nées sont donc trai­tés, à ce moment-là, par les sys­tèmes de Google, même si je n’ai moi-même aucun compte chez eux.

Ce trai­te­ment sert avant tout à des usages plu­tôt légi­times : fil­trage anti-spam et anti-phi­shing, détec­tion de mal­wares dans les pièces jointes, ou fonc­tion­na­li­tés « intel­li­gentes » pro­po­sées à la per­sonne qui uti­lise Gmail (réponses sug­gé­rées, résu­més auto­ma­tiques, etc.). 

Donc, même en choi­sis­sant soi­gneu­se­ment ses propres outils, une par­tie de nos échanges conti­nue de tran­si­ter par les ser­veurs des GAFAM, dès qu’une des per­sonnes en face uti­lise, elle, un de leurs ser­vices. On n’a, à ce moment-là, ni consen­te­ment à don­ner ni contrôle réel sur la situa­tion. C’est une bonne rai­son de ne culpa­bi­li­ser per­sonne dans ses choix numé­riques : nos don­nées per­son­nelles ne dépendent jamais uni­que­ment de nos propres décisions.

Tim Ber­ners-Lee n’a jamais vou­lu bre­ve­ter le web ni le confier à une poi­gnée d’ac­teurs. Il l’a offert à toutes et tous, avec l’i­dée que le web devait res­ter un espace de par­tage plu­tôt qu’un espace de contrôle. 

La tran­si­tion n’est pas un pro­cess facile. Je vous le concède. Et moi-même, j’u­ti­lise tou­jours l’en­vi­ron­ne­ment Apple dans mon tra­vail ou encore Google drive, parce que mes clients les uti­lisent. Par contre je mets un point d’hon­neur à ne plus uti­li­ser Face­book et WhatsApp. 

Et vous, est-ce un sujet auquel vous tenez ?

Image à la Une : mon­tage créé par Valé­rie Galas­si / Cré­dits : Daria Stra­te­gy, Ber­nard Her­mant, Pearse O’Hal­lo­ran, Lar­ry Cos­tales, Donald Teel