Sur la vie privée numérique, on affirme beaucoup et on prouve peu. Un camp vend la panique, l'autre vend des produits, et tous deux avancent des chiffres que personne ne vérifie. Cet article tente l'inverse : établir ce qu'un appareil envoie réellement, ce qu'un système d'exploitation durci y change, ce qu'il ne change expressément pas, et ce qu'il vous coûte au quotidien.
Le résultat dérangeant d'abord : le gain le plus important ne se trouve pas dans le système d'exploitation. Il tient à deux ou trois décisions qui ne coûtent rien et que la plupart des gens ne prennent jamais.
Ce qui a été mesuré
L'étude la plus citée est celle de Douglas Leith, au Trinity College de Dublin, publiée en 2021 et évaluée par les pairs lors de la conférence SecureComm. Elle a enregistré le trafic d'un appareil Android et d'un iPhone, télémétrie désactivée et sans compte connecté.
Le résultat au repos : Android envoyait environ 1 Mo en douze heures, iOS environ 52 Ko. Les deux appareils prenaient contact en moyenne toutes les quatre minutes et demie. Sur les deux plateformes étaient notamment transmis l'IMEI, le numéro de série du matériel, le numéro de série de la carte SIM et le numéro de téléphone.
L'honnêteté impose de citer l'autre partie. Google a contesté le volume : le chercheur aurait mal compté la surcharge TCP/IP, l'écart serait d'un ordre de grandeur. Leith a répondu qu'il comptait les données utiles, Google les en-têtes de protocole en plus. L'essentiel est ce qui n'a jamais été contesté dans ce débat : que ces données sont envoyées. On s'est disputé sur la quantité, pas sur le fait. Apple n'a jamais répondu malgré plusieurs sollicitations ; qui affirme qu'Apple a rejeté l'étude n'a pas de source pour le dire.
L'objection habituelle veut que la mesure date de 2021. Pour Android, elle est réglée : Leith a mesuré de nouveau en 2025 sur un Pixel 7 sous Android 14, résultats publiés dans la revue Computers & Security. Constat : cookies publicitaires, identifiants de suivi des clics et identifiants d'appareil liés à la publicité sont stockés sur l'appareil puis renvoyés, dès la configuration d'usine, au repos, sans qu'aucune application Google n'ait jamais été ouverte, sans consentement et sans possibilité de refus. Pour iOS, il n'existe pas de mesure aussi récente, car les iPhone modernes ne se laissent plus ouvrir à cet effet. Qui affirme au présent qu'« Android envoie vingt fois plus qu'iOS » va au-delà de la source.
Fait notable, Google documente lui-même une partie de ces flux. La description du service de configuration des appareils Android énumère la collecte de l'IMEI, du numéro de série, des adresses MAC, des données SIM et opérateur, de l'adresse IP et d'un identifiant d'abonné tronqué. Aucune possibilité de refus n'y est prévue.
La contradiction qui résume le mieux l'affaire
Pas besoin de dramatiser. Il suffit de poser deux documents côte à côte.
Le propre règlement de Google Play interdit d'associer l'identifiant publicitaire à des données personnelles ou à des identifiants permanents de l'appareil comme le numéro de série, l'adresse MAC ou l'IMEI. C'est précisément pour cela qu'il est réinitialisable.
Une étude évaluée par les pairs, publiée en 2023 dans PLOS ONE, a mesuré chez Samsung, Xiaomi, Realme et Google qu'un identifiant matériel durable voyage dans la même connexion que l'identifiant publicitaire réinitialisable. Les auteurs en tirent sobrement la conséquence : cela vide de leur sens les identifiants réinitialisables. Qui réinitialise son identifiant publicitaire coupe un fil, alors qu'un autre court juste à côté.
Où vont les données
L'essentiel de la collecte ne naît pas dans le système d'exploitation, mais dans les applications, quel que soit le système installé. Une application exécute du code tiers dans son propre processus, avec ses propres autorisations. Un site web ne le fait pas.
L'ampleur du phénomène n'a pas à être estimée. Une étude portant sur plus de 86 000 applications du Play Store allemand, publiée à l'USENIX Security 2021, a montré que 34,3 % d'entre elles envoyaient des données personnelles à des régies publicitaires avant tout consentement.
La revente est elle aussi documentée. Des enquêtes de netzpolitik.org et de la radio publique bavaroise ont obtenu sur une place de marché de données un jeu de 3,6 milliards de points de localisation provenant de 11 millions d'identifiants publicitaires en Allemagne, sous forme d'échantillon gratuit. Ni piratage, ni fuite : un échantillon commercial.
Le mécanisme technique est consultable par tous, car la spécification des enchères publicitaires en temps réel est publique. Une requête d'enchère contient notamment l'identifiant publicitaire en clair, la latitude et la longitude avec leur précision, l'adresse IP, le modèle d'appareil, l'opérateur et l'identifiant de l'application dans laquelle l'annonce s'affiche. Chaque participant à l'enchère voit ces données, même s'il ne remporte pas l'enchère.
Côté régulateur américain, une réserve est rarement mentionnée : les procédures connues contre des courtiers en données de localisation se sont toutes conclues par des transactions sans amende et sans reconnaissance de culpabilité. Ce sont les griefs d'une autorité, pas des faits établis. Et ces transactions contiennent une exception expresse pour les besoins de la sécurité nationale.
GrapheneOS : de quoi il s'agit
GrapheneOS est un système Android libre, conçu pour la sécurité, porté par un projet à but non lucratif d'une quinzaine de salariés à plein temps et entièrement financé par les dons. Il fonctionne aujourd'hui uniquement sur les appareils Google Pixel, et la raison est technique : seuls ces appareils permettent, après l'installation, de reverrouiller le bootloader en y enregistrant une clé de signature propre dans l'élément sécurisé. C'est seulement ainsi que le démarrage vérifié (Verified Boot) fonctionne pleinement. Un bootloader déverrouillé est expressément considéré par le projet comme une installation incomplète.
Deux points rendent la présentation courante obsolète :
Le lien exclusif avec Pixel prend fin. En mars 2026, le projet a annoncé un partenariat de long terme avec Motorola Mobility ; les premiers appareils sont attendus pour 2027. Le partenariat n'est pas exclusif, et aucun argent n'est versé à GrapheneOS.
L'avance en matière de mises à jour s'est réduite. Depuis juin 2025, le règlement européen sur l'écoconception impose pour tout smartphone mis sur le marché au moins cinq ans de mises à jour de sécurité. L'avantage Pixel, c'est donc sept ans contre cinq, et non plus sept contre deux.
Ce que GrapheneOS résout réellement
Google Play sans privilèges. Sur un Android standard, les services Play sont privilégiés et servent de socle aux fonctions système. Sur GrapheneOS, si vous les installez, ils tournent comme une application ordinaire dans le bac à sable, sans aucun accès spécial selon le projet, et limités au profil dans lequel vous les installez. Le système ne s'en sert jamais comme socle.
Localisation sans Google. Les requêtes sont redirigées vers une implémentation propre, la position est calculée sur l'appareil, et seul un identifiant de réseau est transmis.
Des autorisations qu'Android ne connaît pas. L'accès au réseau et aux capteurs peut être retiré application par application ; les applications reçoivent alors des valeurs nulles au lieu des données des capteurs. S'y ajoutent des périmètres de stockage et de contacts, un allocateur de mémoire durci et des profils séparés dotés de leurs propres clés.
Moins de Google en arrière-plan. Pour la vérification de connectivité, la synchronisation de l'heure, l'almanach GNSS et l'assistance à la localisation sur le réseau mobile, GrapheneOS utilise ses propres serveurs et empêche la transmission de l'identifiant d'abonné et du numéro de téléphone.
Extraction de données sur un appareil verrouillé. C'est là que se situe l'effet le plus solidement établi : nombre limité de tentatives de code, limitation du débit dans l'élément sécurisé, redémarrage automatique après inactivité. Selon des documents ayant fuité d'un fournisseur d'outils d'investigation, les appareils verrouillés sous une version à jour de GrapheneOS sont réputés illisibles. La provenance de ces documents est fragile : utile comme indice, pas comme preuve.
Ce que GrapheneOS ne résout expressément pas
Cette section manque dans presque toutes les présentations, et le projet se montre remarquablement franc sur ce point.
Le réseau mobile. La documentation indique en toutes lettres que la connexion au réseau de l'opérateur suppose forcément de s'identifier auprès de lui, et que le mode avion est le seul moyen d'échapper à la localisation par le réseau mobile. Les appels et SMS classiques sont à éviter, car ils reposent sur la confiance envers l'opérateur.
La même chose sous une plume juridique, à titre de simple description technique : dans l'arrêt Carpenter, la Cour suprême des États-Unis constate qu'un téléphone produit des données de cellule par son seul fonctionnement, sans autre action de l'utilisateur que l'allumage, et qu'il n'existe aucun moyen d'éviter cette trace, sauf à déconnecter l'appareil du réseau.
Le mode LTE seul ne protège pas des IMSI-catchers. Le projet précise expressément que cette fonction sert uniquement à réduire la surface d'attaque et ne doit pas être comprise comme un moyen de faire confiance au réseau mobile. La présenter autrement, c'est aller au-delà de ce qu'annonce l'éditeur.
Le DNS chiffré apporte peu pour l'instant. Là aussi, de l'aveu même du projet : comme l'adresse de destination et le nom du serveur restent visibles, le DNS chiffré « ne vaut pas encore grand-chose » et n'est expressément pas un substitut à un VPN ou à Tor. De plus, le comportement de filtrage révèle qu'un filtrage a lieu, ce qui peut en soi servir à reconnaître un appareil.
Les fuites VPN ne sont pas entièrement résolues. En toutes lettres : le projet ne considère pas cela, pour l'heure, comme une fonction complète.
La reconnaissance d'un appareil reste possible. Les mesures contre les identifiants d'appareil seraient un bonus secondaire ; il resterait de nombreux canaux auxiliaires pour reconnaître un appareil d'une application à l'autre.
L'anonymat n'est pas promis. Le projet ne le revendique nulle part, et sa phrase sur le mode avion revient de fait à y renoncer. Qui cherche l'anonymat cherche autre chose qu'un système d'exploitation.
L'eSIM nécessite toujours des composants propriétaires de Google. Sa gestion est désactivée par défaut et peut être activée, mais elle requiert des composants inchangés du micrologiciel Pixel. L'affirmation selon laquelle GrapheneOS aurait sa propre implémentation eSIM est fausse ; seule la dépendance à Google Play a disparu.
Et il ne contourne aucun contrôle matériel. Expressément pas, car ce serait fragile et casserait sans cesse. C'est honnête, et cela mène directement à la section suivante.
Le vrai prix : les applications bancaires
Google exploite une interface par laquelle les applications vérifient l'état de l'appareil. Elle connaît plusieurs niveaux. Le niveau intermédiaire exige, selon les propres termes de Google, une image constructeur certifiée ; un bootloader verrouillé ne suffit pas. GrapheneOS passe le niveau de base, pas les deux niveaux supérieurs, non par manque de sécurité, mais faute de licence.
Il existe une voie techniquement supérieure, fournie par Android lui-même : l'attestation matérielle standardisée. Elle permet à une application de vérifier directement et cryptographiquement l'état de démarrage et d'accepter les clés de systèmes alternatifs, sans passer par un service Google. GrapheneOS publie ses clés signées et lisibles par machine, précisément pour que les éditeurs puissent le faire.
La situation en chiffres, selon les indications du projet lui-même fin juillet 2026 : environ dix pour cent des applications bancaires vérifient l'intégrité de l'appareil, environ quatre-vingt-dix pour cent fonctionnent. Et l'évolution ne serait ni nettement meilleure ni pire : davantage d'éditeurs utilisent la vérification Google, et dans le même temps davantage d'éditeurs acceptent l'attestation matérielle comme alternative.
Pour la France, la situation est plutôt bonne. Dans la liste collaborative vers laquelle renvoie GrapheneOS, environ vingt-cinq applications françaises sont signalées comme fonctionnelles, parmi lesquelles Mes Comptes BNP Paribas, L'Appli SG, La Banque Postale, Crédit Mutuel, CIC, Banque Populaire, Hello bank!, Fortuneo, Monabanq, Nickel, Qonto et France Identité. Avec des réserves explicites : BoursoBank semble ne plus fonctionner pour les nouvelles connexions, et Mes Comptes LCL ne démarre qu'après désactivation d'un réglage de sécurité pour cette application. Cette liste est alimentée par les utilisateurs ; GrapheneOS décline expressément toute garantie à son sujet. Elle sert d'orientation, pas d'engagement.
Le paiement sans contact via Google Pay ne fonctionne pas. En Europe, c'est moins pénalisant qu'ailleurs, car plusieurs banques ont leurs propres applications de paiement mobile, dont certaines figurent dans la même liste française (CIC Pay, Paiement mobile CA), et Curve Pay ainsi que PayPal fonctionnent aussi. Hors d'Europe, le projet ne connaît pas de solution.
La situation évolue, et dans les deux sens : début août 2026, un grand prestataire de paiement a nouvellement exclu GrapheneOS, tandis que plusieurs banques traditionnelles l'ont expressément autorisé. Si vous dépendez d'une application précise, vérifiez avant de changer, et gardez au besoin un deuxième appareil.
Trois affirmations répandues qui ne tiennent pas
« Android Auto ne fonctionne qu'avec un câble. » Faux. Les deux modes sont pris en charge ; le sans-fil demande simplement davantage d'autorisations.
« L'appareil photo est moins bon. » À moitié vrai, et c'est précisément là que se loge l'erreur. La même application donne la même qualité que sur le système d'origine, et l'application Pixel Caméra fonctionne sans que Google Play doive être installé. L'appareil photo fourni avec GrapheneOS est volontairement plus sobre : moins d'images combinées pour le HDR, et le panorama, l'astrophotographie ou les photos animées ne figurent expressément pas dans la feuille de route.
« Déverrouiller le bootloader annule la garantie. » Aucune déclaration de Google ne le dit. Les conditions de garantie pour l'Espace économique européen précisent que la garantie commerciale du fabricant ne porte pas atteinte aux garanties légales ; sont exclus les dommages causés par des modifications. GrapheneOS déclare que les appareils Pixel restent couverts, mais aucune confirmation de Google n'existe à ce sujet. Traitez-le comme une question ouverte, pas comme une question tranchée.
Ce qui apporte plus que n'importe quel système d'exploitation
Classé par effet rapporté à l'effort.
1. Signal pour tout ce qui est sensible. Les deux grandes messageries chiffrent les contenus. La différence porte sur les métadonnées, et elle est vérifiable, car Signal publie les injonctions judiciaires reçues et ses propres réponses. Dans tous les cas documentés de 2016 à mars 2026, Signal n'a pu fournir que deux choses : la date d'inscription et la date de dernière connexion. Dans le cas le plus récent, des données étaient demandées pour 37 numéros ; sept comptes n'existaient pas, pour 24 il n'y avait aucune donnée. À titre de comparaison, WhatsApp énumère lui-même dans sa politique de confidentialité européenne ce qu'il collecte : la façon dont vous interagissez avec d'autres, le moment, la fréquence et la durée de vos activités, ainsi que le modèle d'appareil, le niveau de batterie, la force du signal, le réseau mobile et l'adresse IP. Qui ne stocke rien ne peut rien livrer. C'est le seul point de cette liste dont la preuve existe sous forme de dossiers judiciaires.
2. Moins d'applications, plus de navigateur. L'étape structurellement la plus efficace, et presque personne ne la franchit. Un module tiers intégré hérite de toutes les autorisations que vous accordez à l'application, et Apple reconnaît dans ses propres règles qu'il y a suivi même si le développeur n'utilise pas le module à cette fin. Une application supprimée est la seule mesure efficace à cent pour cent.
3. Une authentification à deux facteurs résistante à l'hameçonnage. Les clés de sécurité matérielles et les passkeys sont liées au domaine ; une fausse page de connexion ne peut pas produire de validation valide. C'est de la cryptographie, pas une heuristique de détection. Google rapporte, d'après sa propre étude, qu'aucun utilisateur utilisant exclusivement des clés de sécurité n'a été victime d'un hameçonnage ciblé. Pour un patrimoine important, le scénario catastrophe réaliste est la prise de contrôle d'un compte, pas la publicité personnalisée. Au passage : l'étude Google de 2019 souvent citée, avec ses chiffres de 100 %, portait sur les vérifications par téléphone, pas sur les clés de sécurité ; les deux sources sont régulièrement confondues.
4. Autorisations de localisation et applications inutilisées. Position approximative plutôt que précise, « uniquement pendant l'utilisation », autorisations ponctuelles. Android retire automatiquement les autorisations des applications restées inutilisées pendant des mois et vide leur cache. Vu la précision avec laquelle les données de localisation se négocient, l'option approximative est le réglage isolé le plus efficace.
5. Supprimer l'identifiant publicitaire, efficace mais limité. Sous Android, toute lecture renvoie ensuite une suite de zéros ; sous iOS, il en va de même sans autorisation de suivi accordée. L'effet est mesurable : après l'introduction de la demande d'autorisation sur iOS, la transmission de l'identifiant publicitaire est passée d'un quart des applications à zéro. Mais le nombre de modules de suivi est resté pratiquement le même, et l'identifiant matériel décrit plus haut voyage toujours. Deux minutes d'effort, à juger avec lucidité. Sur iOS, il vaut aussi la peine d'actionner le réglage distinct pour la publicité personnalisée propre à Apple, que la demande d'autorisation de suivi ne couvre pas.
6. Hygiène des comptes. La suppression automatique des données d'activité réduit le stock chez le plus grand collecteur. Avec la précision qui s'impose : Google écrit qu'il vise à retirer les données de l'affichage, et se réserve expressément une conservation plus longue à des fins légales.
7. Le choix du navigateur. Safari bloque entièrement les cookies tiers et efface après sept jours sans interaction les stockages créés par script ; Firefox cloisonne les cookies par site. Ni l'un ni l'autre ne protège contre le service auquel vous êtes connecté.
8. Le DNS chiffré, le point le plus surestimé. Utile pour filtrer, mais il ne masque pas les adresses de destination et ne rend pas anonyme. GrapheneOS le dit de sa propre fonction plus clairement que la plupart des éditeurs ne le feraient.
9. La couche mobile. Il n'existe ici aucune solution côté appareil, et ce n'est pas une mesure, c'est une limite. Le mode avion coupe réellement la liaison radio, au prix de l'injoignabilité.
Un mot sur le droit français, car il diffère de ce que l'on suppose souvent : en France, la conservation généralisée des données de trafic et de localisation existe. Le code des postes et des communications électroniques permet au Premier ministre de l'imposer aux opérateurs par décret, pour un an, lorsqu'une menace grave contre la sécurité nationale est constatée. En avril 2021, le Conseil d'État a admis une telle conservation généralisée pour la seule sécurité nationale, face à une menace grave. Ces décrets se succèdent depuis 2021 ; le plus récent date du 30 septembre 2026. Ce qui ne dépend d'aucune obligation de conservation existe de toute façon : les opérateurs produisent ces données pour leurs propres besoins d'exploitation.
Le lien avec la protection du patrimoine
La vie privée numérique n'est pas de la protection du patrimoine, et il serait malhonnête de le prétendre. Elle réduit deux risques concrets : la prise de contrôle de comptes et l'agrégation d'informations en un profil exploitable par d'autres. Le premier est un vrai risque financier, le second relève plutôt de la souveraineté.
Ce que la vie privée numérique ne fait expressément pas : elle ne protège aucun patrimoine contre une saisie légale. Ce que les autorités savent de votre patrimoine dépend des obligations de déclaration et des registres, pas de votre téléphone ; jusqu'où cela va aujourd'hui, nous l'avons documenté sur la page consacrée au registre européen des actifs. Et la question de savoir si un patrimoine est attaquable en cas de crise se tranche par la structure dans laquelle il est détenu : c'est l'objet de la protection du patrimoine, des structures de protection et de nos pages sur l'investissement à l'étranger.
Qui confond les deux investit son effort au mauvais endroit. Un téléphone durci avec un patrimoine non protégé est une combinaison nettement moins bonne que l'inverse.
Pour savoir où en est votre patrimoine, la consultation personnelle est le bon point de départ. La consultation se déroule en anglais.
Questions fréquentes
Les applications bancaires fonctionnent-elles sous GrapheneOS ?
Pour la plupart, oui. Le projet estime lui-même la part des applications bancaires qui ne fonctionnent pas à environ dix pour cent et juge l'évolution globalement stable. Pour la France, la liste collaborative signale environ vingt-cinq applications comme fonctionnelles, dont BNP Paribas, SG, La Banque Postale, Crédit Mutuel, CIC et Banque Populaire. Google Pay ne fonctionne pas ; le paiement sans contact passe par les applications de plusieurs banques ainsi que par Curve Pay et PayPal.
GrapheneOS me rend-il anonyme ?
Non, et le projet ne le prétend pas. Il complique le profilage par la plateforme et les applications. Il ne change rien à ce que voit votre opérateur mobile, puisque selon le projet lui-même le mode avion est le seul moyen d'échapper à la localisation par le réseau, et rien aux comptes ouverts à votre nom.
Pourquoi uniquement les appareils Google Pixel ?
Parce que seuls ces appareils permettent de reverrouiller le bootloader après l'installation avec une clé propre, condition d'un démarrage vérifié complet. Cela change : depuis mars 2026, un partenariat existe avec Motorola Mobility, et les premiers appareils sont attendus pour 2027.
Déverrouiller le bootloader annule-t-il la garantie ?
Aucune déclaration de Google n'existe à ce sujet. Les conditions de garantie pour l'EEE précisent que la garantie commerciale du fabricant ne porte pas atteinte aux garanties légales ; sont exclus les dommages causés par des modifications. GrapheneOS déclare que les appareils Pixel restent couverts, mais Google ne l'a pas confirmé.
Un téléphone sécurisé protège-t-il mon patrimoine ?
Non. Il réduit le risque de prise de contrôle d'un compte et limite le profilage. Ce que les autorités savent de votre patrimoine dépend des obligations de déclaration et des registres, et la vulnérabilité d'un patrimoine dépend de la structure dans laquelle il est détenu. Aucun système d'exploitation n'influe sur l'un ou l'autre.