Tout le monde en parle, personne ne sait vraiment ce que c’est.

Vous avez déjà entendu ce mot dans un reportage sur la surveillance, dans un menu d’appareil photo, ou en lisant une actu sur Meta et la vie privée. Les métadonnées semblent partout. Et elles inquiètent.

C’est normal : ces informations invisibles en disent souvent bien plus que les données elles-mêmes. La justice européenne débat actuellement de leur collecte (avec le projet ProtectEU), pendant que des plateformes comme Instagram ou WhatsApp continuent d’exploiter les métadonnées à grande échelle.

Mais que sont réellement ces fameuses métadonnées ? Pourquoi sont-elles devenues si précieuses pour les entreprises, les États, et parfois contre nous ? Et surtout : que peut-on faire pour les comprendre, les utiliser… ou s’en protéger ?

Dans cet article, on plonge dans les coulisses de ces données discrètes, mais décisives.

Que sont réellement les métadonnées ?

Les métadonnées, ce sont les informations cachées en arrière-plan qui décrivent une donnée principale. On les appelle parfois « données sur les données ». Le terme est dérivé du préfixe grec « méta », qui signifie « au-delà » ou « à côté de ».

Un exemple simple :

• Une photo contient, non-seulement, l’image visible, mais aussi des métadonnées comme la date de prise de vue, la géolocalisation, le modèle de l’appareil photo, voire le nom du propriétaire.
• Un e-mail contient, au-delà du message, des métadonnées comme l’adresse IP de l’expéditeur, l’heure d’envoi, le logiciel utilisé ou la route empruntée.

Ces éléments ne sont pas toujours visibles au premier coup d’oeil, mais ils sont souvent accessibles, exploitables et parfois collectés à votre insu.

On en trouve partout : fichiers bureautiques, documents PDF, sites web, messageries, GPS, photos, vidéos, archives cloud, outils de suivi analytique…

Plus loin dans cet article, nous verrons comment ces métadonnées sont structurées (EXIF, IPTC, XMP…), utilisées (par les entreprises, les services de renseignement, les moteurs IA), et ce qu’il est possible de faire pour les voir, les supprimer ou s’en protéger.

À quoi servent les métadonnées (et à qui) ?

Les métadonnées servent à organiser, classer, retrouver et analyser les données. Elles rendent l’information plus exploitable, que ce soit par un humain ou une machine.

Pour les particuliers, elles permettent :

• De trier ses photos par date ou lieu
• De retrouver un fichier dans Google Drive
• De classer sa musique par genre ou artiste

Pour les entreprises et administrations :

• Indexer les documents dans un catalogue interne
• Suivre le cycle de vie des données (data lineage)
• Optimiser le stockage et les flux d’un data lake

Pour les plateformes web, les gouvernements ou les publicitaires :

• Tracer les comportements des utilisateurs
• Construire des profils

Analyser des réseaux sociaux ou des schémas de navigation

Problème : une fois croisées, ces métadonnées deviennent très bavardes (trop) et peuvent révéler des choses que vous pensiez privées.

Où trouve-t-on des métadonnées dans la vie réelle ?

Les métadonnées sont utilisées dans presque tous les domaines de la vie courante, et ce, depuis très longtemps. L’ancêtre de la métadonnée en imprimerie est le colophon. C’était une note détaillée sur les anciens manuscrits comprenant différentes indications telles que le titre, le nom de l’auteur, le nom du copiste et la date d’impression.

Métadonnées, vie privée et profilage : ce qu’on peut déduire de vous

Prenons un exemple simple.

• Julie ne poste rien. Elle n’a pas de compte public, elle évite les réseaux sociaux.

• par des courtiers en données, qui les agrègent pour créer des profils marketing ou comportementaux ;
• par des plateformes publicitaires, pour savoir à quel moment vous montrer une pub ;
• par des services étatiques, dans le cadre de la lutte contre la fraude, du renseignement ou de la criminalité.

IA et métadonnées : duo puissant, parfois intrusif

Les métadonnées ne servent pas qu’à organiser vos fichiers. Dans le monde de l’intelligence artificielle, elles jouent un rôle déterminant.

Lorsqu’un modèle est entraîné à reconnaître des images, par exemple, il ne s’appuie pas uniquement sur le contenu visuel.

Les métadonnées fournissent un contexte précieux : la date, le lieu, l’appareil utilisé, parfois même les conditions d’éclairage. Ce contexte permet de filtrer les jeux de données, d’améliorer la précision des modèles, ou de corriger des biais.

Mais ce pouvoir a un revers : lorsqu’on utilise des images récupérées sur le web, les métadonnées embarquées peuvent révéler des informations personnelles. Dans le cas de systèmes de reconnaissance faciale, comme celui de l’entreprise Clearview AI, des visages ont été indexés sans consentement, avec des données de lieu, d’appareil, voire de nom d’utilisateur.

©Clearview AI

Bien qu’utile pour les enquêtes, La CNIL a d’ailleurs condamné Clearview pour ce type de pratiques, soulignant que l’exploitation des métadonnées liées à l’image peut constituer une violation de la vie privée.

Les métadonnées peuvent être utilisées pour filtrer automatiquement les images. Mais elles peuvent aussi révéler dans quelle pièce vous avez pris la photo… ou qui se tenait derrière vous.

Que faire pour limiter l’exposition à ses métadonnées ?

Comprendre les métadonnées, c’est bien.

Mais que peut-on faire concrètement pour en reprendre le contrôle ? Voici les gestes simples à adopter dès maintenant :

✅ Désactivez la géolocalisation de vos appareils photo (téléphone, appareil numérique, webcam).
✅ Supprimez les données EXIF avant de publier une image ou un PDF (avec ExifCleaner, ou via les outils Windows/macOS).

✅ Utilisez des outils de nettoyage comme MAT2 (Linux), Metadata++, ExifTool, etc.
✅ Limitez les autorisations des applications : accès caméra, micro, stockage, etc.
✅ Utilisez des messageries sécurisées chiffrées comme Signal, Proton Mail, Tutanota… qui limitent ou chiffrent les métadonnées.
✅ Bloquez le pistage en ligne avec uBlock Origin, Privacy Badger ou les réglages navigateurs.
✅ Évitez les services trop intrusifs, même s’ils sont populaires.

Et les outils classiques dans tout ça ? VPN, navigation privée, antivirus… Ils ont leur utilité, mais ne protègent pas vos métadonnées personnelles :

• Le VPN masque votre IP, mais pas ce que vos applis transmettent.
• La navigation privée évite l’enregistrement local, mais pas la collecte côté serveur.
• L’antivirus, lui, n’a rien à voir avec la question.

Métadonnées : données invisibles, enjeux bien réels

Ce que vous publiez, vous le voyez. Mais ce que vos fichiers, vos appareils, vos apps partagent sans vous en informer clairement… ce sont les métadonnées.

Elles sont invisibles, silencieuses, automatiques mais redoutablement révélatrices.

Elles servent à trier, à améliorer les systèmes, à nourrir les IA.
Mais elles peuvent aussi profiler, surveiller, tracer.

Les ignorer, c’est laisser d’autres s’emparer de votre histoire
Les comprendre, c’est commencer à la reprendre en main. Parce qu’on ne peut pas tout supprimer non plus, mais vraiment limiter la casse.

Depuis le 1er Avril 2025 (non, non ce n’est pas une blague), un débat agite les couloirs de Bruxelles, les hémicycles nationaux et les coulisses des grandes entreprises technologiques européennes : faut-il sacrifier une part de la confidentialité numérique au nom de la sécurité ?

Les VPN, considérés comme un pillier pour la vie privée numérique, se retrouvent dans le viseur des régulateurs. En toile de fond : le projet ProtectEU, la conservation des métadonnées, et le spectre d’un accès généralisé aux communications chiffrées.

Le plan ProtectEU : entre sécurité nationale et surveillance généralisée

Annoncé en 2025 par la Commission européenne, le programme ProtectEU vise à renforcer la résilience numérique de l’Union face aux cybermenaces, au terrorisme et au trafic illicite.

Derrière les objectifs officiels, se dessine une stratégie controversée : permettre un accès légal aux contenus personnels chiffrés, que ce soit dans les messageries sécurisées comme Signal ou Telegram, ou via les connexions VPN.

Le terme « backdoor » (porte dérobée) n’est jamais explicitement utilisé, mais l’idée sous-jacente est claire : créer des mécanismes techniques permettant aux autorités d’accéder aux données en cas d’enquête.

VPN, messageries et métadonnées : une surveillance par contournement

Si le chiffrement de bout en bout rend impossible l’accès au contenu d’un message, les métadonnées qui, quand, où, avec qui restent une mine d’or pour les autorités et les courtiers en données.

Plusieurs rapports européens suggèrent d’imposer aux VPN une conservation étendue de ces données de connexion. C’est un tournant qui risque de piquer : la plupart des VPN sérieux adoptent une politique stricte de non-conservation de log, justement pour éviter toute compromission en cas de pression juridique.

Si la législation venait à évoluer, cela signerait potentiellement la fin des réseaux privés virtuels conformes au RGPD dans l’UE.

Mauvais accueil de la part de l’industrie

Comme il fallait s’y attendre, le projet passe mal.

Les principaux fournisseurs de VPN montent au créneau. Proton, Mullvad, Surfshark ou encore NordVPN dénoncent une atteinte directe à la sécurité des utilisateurs et au principe même du chiffrement de heur niveau.

« Ce que demande l’UE, c’est l’équivalent d’un verrou de porte avec une clé universelle. Et chaque clé finit un jour dans la nature », résume un représentant de Mullvad.

©Mullvad

Déjà en mars 2025, Signal a menacé de se retirer du marché français si un amendement imposant des backdoors dans les messageries chiffrées était adopté.

Le cas Infomaniak : une exception suisse qui fait débat

Tandis que la plupart des acteurs se dressent contre ces propositions, l’hébergeur suisse Infomaniak a surpris en exprimant un soutien conditionnel à un projet similaire en Suisse, au nom d’un « compromis équilibré entre vie privée et sécurité ».

Cette prise de position, saluée par certains responsables politiques, a été perçue comme une trahison par une partie de l’industrie de la cybersécurité.

La France fait du sur place sur la question pour le moment

En France, le débat a pris une tournure spectaculaire avec l’amendement 8 ter, inséré dans un projet de loi contre le narcotrafic.

Il visait à imposer aux services chiffrés, y compris les VPN, de prévoir un accès aux communications sur demande judiciaire.

Rejeté par le Sénat en mars 2025 après une forte mobilisation associative et une levée de boucliers d’acteurs comme Tuta, le service de boite mail sécurisée ou Signal, l’épisode a révélé la fragilité des libertés numériques face à des initiatives sécuritaires de plus en plus directes.

Pour les utilisateurs : faut-il s’inquiéter ?

Le débat n’est pas seulement théorique.

Si ces mesures sont appliquées, elles pourraient entraîner une migration forcée des services vers des juridictions plus protectrices (ou permissives pour certains).

Pour les entreprises comme pour les particuliers, cela signifie repenser les outils utilisés, réévaluer la confiance accordée aux fournisseurs européens, et, pour les plus exposés, envisager des solutions de chiffrement autonomes. Vu ce que le RGPD a déjà couté à certaines entreprises, la pilule risque d’être difficile à avaler.

Conclusion : la fin du chiffrement privé en Europe ?

C’est difficile à dire… De manière générale et un peu partout dans le monde, le principe même de confidentialité en ligne, est ménacé d’une manière ou d’une autre.

Il y a 2 ans le Royaume Uni avait déja du renoncer à affaiblir le chiffrement dans le cadre de l’Online Safety Bill pour des raisons de sécurité.

En tentant d’imposer des backdoors et/ou une surveillance généralisée des métadonnées, l’Europe risque de saboter l’un de ses rares atouts numériques : un écosystème fondé sur la confiance, la conformité RGPD et le respect des droits fondamentaux.

Nous espérons en savoir plus rapidement.

Que masque un VPN ?

Qu’est-ce qu’un VPN cache en ligne ? C’est une question assez souvent posée et dans ce domaine, les réponses sont parfois assez vagues. En réalité, un réseau privé virtuel permet surtout de dissimuler le plus important, la vie privée d’un internaute à quiconque voudrait jeter un regard indiscret voir inquisiteur. Cet article reprend en détail ce qu’un réseau privé virtuel masque vraiment.

Qu’est-ce qu’un VPN ?

Le sigle VPN est l’abréviation de Virtuel Private Network. La traduction exacte en français est Réseau Privé Virtuel (RPV pour les canadiens). Il s’agit d’un dispositif permettant d’établir une connexion sécurisée à travers un tunnel qui chiffre les informations personnelles de son utilisateur. En plus d’empêcher des tiers de scanner les paquets de données, la connexion de l’internaute transite par un serveur qui sert d’intermédiaire. L’adresse IP d’origine sera masquée et remplacée.

Un VPN se présente sous la forme d’une application compatible pour Windows, macOS, iOS, Android, Linux, AppleTV, etc qui s’active et/ou se désactive en fonction des besoins de son utilisateur. Idéalement un internaute devrait toujours être connecté sous réseau privé virtuel.

Comme tout outil de sécurité, un VPN présente des avantages notables : protection des données, confidentialité, accès à des contenus restreints. Veuillez toutzfois noter les quelques inconvénients des VPN, tels qu’un léger ralentissement de la connexion, une compatibilité parfois limitée ou le coût d’un abonnement de qualité.

Votre adresse IP est masquée

Sans VPN, tous les sites Internet qu’un internaute visite peuvent suivre l’adresse IP, ce qui permet d’identifier facilement et de localiser précisément sa position. Sous VPN, ces sites voient uniquement l’adresse IP du serveur, communément nommé proxy VPN. Pour les trackers du site, le visiteur est simplement considéré comme un anonyme.

L’emplacement géographique

Les adresses IP peuvent être utilisées pour suivre une position et l’endroit d’où un internaute se connecte. Comme évoqué dans le point précédant, les fournisseurs de VPN disposent de serveurs dans le monde entier, ce qui permet de cacher sa position et de prétendre accéder à Internet depuis un autre pays. Par exemple, si un utilisateur est physiquement en France et qu’il se connecte à un serveur en Allemagne, une adresse IP allemande lui sera attribuée à la place.

Les internautes ou les voyageurs dans les pays à forte censure peuvent avoir accès à des contenus censurés lorsqu’ils modifient leur véritable localisation avec un VPN. Et pour ceux qui sont sur des réseaux Wi-Fi qui bloquent l’accès à certains sites, un VPN contourne cette restriction.

L’activité en ligne

Sous RPV, les fournisseurs d’accès à Internet (FAI) ne sont plus en mesure de suivre les habitudes de navigation puisque le processus de chiffrement brouille toutes les informations relatives à l’activité en ligne de l’abonné. Les signaux émis transitent de manière illisible dans les 2 sens. (le terme crypté est inexact)

Le chiffrement est l’action d’encoder une information afin que seul le destinataire prévu puisse le comprendre. Une application de cryptographie convertit un message en une séquence totalement indéchiffrable. Même si un tiers s’en empare, il ne sera pas en mesure d’accéder aux données.

Le meilleur VPN proposera toujours l’AES-256 car il est pratiquement impossible à déchiffrer. En effet, cet ensemble de processus utilise des clés de 256 bits qui génèrent plus de combinaisons que le matériel informatique actuel ne peut calculer en des temps raisonnables. On parle de milliers d’années de calcul.

Attention ! Si l’utilisateur est connecté à un service comme Google ou Microsoft, celui-ci peut toujours suivre le comportement d’un abonné connecté via son compte. Pour ce qui est de l’adresse IP, en fonction de la localité du serveur VPN que l’internaute aura choisi, le GAFA supposera simplement que l’internaute navigue depuis un autre endroit. (et encore, ce n’est pas sur)

Les données personnelles

Le fameux gars à capuche embusqué et connecté au Wi-Fi du Starcafé…

Ironie mise à part et bien que trop exploité en terme d’argument commercial, cette information, concernant les données personnelles, est vraie. Initialement, c’étaient les entreprises qui y avaient recours et on comprend aisément pourquoi. Si l’on retrouve cette information concernant les VPN destinés aux particuliers, c’est en grande partie, à cause, des Wi-Fi mis à disposition un peu partout dans des lieux de passage très fréquentés.

En anglais, le terme utilisé est « man in the middle », plus simplement un tiers. C’est le mec improbable qui se pointe en soirée et que personne n’a invité, ni ne connaît. Les Wi-Fi publics ne sont pas sûrs, un mot de passe pour y accéder n’est pas une garantie de sécurité puisque que c’est uniquement l’accès qui est initialement verrouillé.

Bien qu’encore peu répertorié en France, la pratique qui consiste à dérober des paquets de données via un Wi-Fi public est assez répandue aux US. En règle générale, ce sont des Script Kiddies qui se livrent à ces activités de piratage. Un Script Kiddie ou « gamin à script », est, bien souvent, un adolescent qui utilise des codes de hack dénichés sur Internet et qui s’en sert avec l’intention de récupérer des informations confidentielles monnayables sur Internet.
Les réseaux privés virtuels même les VPN gratuits protègent contre cette possibilité mais pas les antivirus.

Pour conclure, un VPN masque vraiment vos activités en ligne dès lors que vous n’êtes pas connecté et identifié à un service tel que Facebook, Gmail, Amazon, ect.

Après une phase d’accès anticipé ayant réuni plus de 100 000 utilisateurs, Proton Wallet est désormais accessible à tous. Ce portefeuille Bitcoin non-custodial, conçu par Proton, l’entreprise suisse derrière Proton Mail, la boite mail sécurisée et le VPN gratuit, Proton VPN, s’inscrit dans une vision plus large : offrir un écosystème numérique sécurisé et indépendant des acteurs centralisés.

Avec des fonctionnalités comme l’envoi de Bitcoin par e-mail, la rotation automatique des adresses pour plus de confidentialité et un code entièrement open source, Proton Wallet veut se démarquer face aux mastodontes du secteur comme Metamask ou Trust Wallet.

Proton Wallet peut-il réellement concurrencer les géants déjà bien établis ?

Un traumatisme financier encore vivace

Il faut dire que le développement de Proton Wallet n’a rien d’anodin dans l’histoire de la firme Suisse. Il trouve ses origines dans un épisode marquant de l’histoire de Proton : en 2014, l’entreprise, créee par des chercheurs du CERN, avait vu ses fonds gelés par PayPal, mettant en péril son activité naissante.

Depuis, Proton a toujours cherché à se détacher des systèmes financiers traditionnels, au point de conserver une partie de ses réserves en Bitcoin comme protection contre de nouvelles ingérences extérieures.
Avec Proton Wallet, l’entreprise propose une alternative aux utilisateurs souhaitant gérer leurs actifs numériques sans intermédiaire et sans dépendre d’une plateforme centralisée.

©Proton

Proton Wallet passe à la vitesse supérieure

Lors de son lancement, Proton Wallet était uniquement accessible via le web, autant dire que son utilité était proche du néant sidéral…

Aujourd’hui, plusieurs fonctionnalités viennent renforcer ce portefeuille et ont le mérite d’attirer notre attention :

✔️ Application mobile disponible sur iOS et Android.
✔️ Transactions sans frais de réseau dans certains cas, un argument fort pour attirer les utilisateurs.
✔️ Toujours non-custodial et open source, garantissant que l’utilisateur garde le contrôle de ses clés privées.
✔️ Rotation automatique des adresses Bitcoin, un plus pour la confidentialité.
✔️ Proton Sentinel, un système de détection des transactions suspectes basé sur l’IA et l’intervention humaine.

Pourquoi Proton s’obstine avec ce projet ?

Proton revendique 100 000 utilisateurs ayant testé son wallet en accès anticipé. Toutefois, ces chiffres concernent uniquement sa communauté existante, ce qui signifie qu’il s’agit d’un premier pas.

Il n’est pas déraisonnable de supposer que Proton Wallet soit avant tout un levier d’acquisition et de rétention pour ses propres utilisateurs. Proton ne cherche peut-être pas forcément à concurrencer Metamask ou Trust Wallet sur leur propre terrain, mais plutôt à compléter son écosystème pour capter et fidéliser une base d’utilisateurs engagée dans sa philosophie de confidentialité et d’indépendance numérique.

Les motivations derrière cette initiative

• Créer une alternative crypto alignée avec leurs valeurs : Proton s’est toujours positionné comme une entreprise anti-surveillance et pro-confidentialité. Avoir un crypto wallet non-custodial et open source (dispo sur GitHub) permet de renforcer cette image, surtout auprès des utilisateurs qui veulent éviter les solutions développées par des entreprises plus « mainstream ».
• Encourager la décentralisation des paiements pour éviter les risques bancaires : Depuis l’épisode de 2014 avec PayPal, Proton semble vouloir limiter sa dépendance aux systèmes financiers traditionnels. Si leur wallet prend de l’ampleur, ils pourraient même imaginer un système de paiement interne, complètement hors du réseau bancaire classique.
• Rétention des utilisateurs existants : Proton a une base d’utilisateurs qui payent pour Proton Mail, Proton VPN, Proton Drive, Proton Calendar et Proton Pass. Proposer un portefeuille sécurisé aux abonnés dans un premier temps permet de créer un effet d’écosystème : plus un utilisateur utilise plusieurs services de Proton, plus il a de raisons d’y rester.
  
• Se positionner sur le long terme dans un secteur incertain : Aujourd’hui, la régulation des cryptos est très floue et changeante. En se positionnant tôt avec un produit sécurisé et respectueux de la vie privée, Proton pourrait (c’est du conditionnel) avoir une longueur d’avance si la demande explose pour des solutions crypto ultra-confidentielles.

Confidentialité et sécurité : un vrai atout ?

Contrairement aux wallets custodiaux (où les plateformes détiennent vos clés privées), Proton Wallet est non-custodial, ce qui signifie que l’utilisateur est le seul maître de ses actifs. Son code open source permet également un audit public, un gage de transparence pour les utilisateurs avertis.

Mais est-il vraiment plus privé que les autres wallets ?

👉 La rotation automatique des adresses Bitcoin est un point positif, mais elle reste une fonctionnalité courante sur des wallets orientés confidentialité comme Samourai Wallet (un wallet non-custodial connu pour son implémentation avancée de CoinJoin afin d’anonymiser les transactions Bitcoin).

Le principal intérêt de Proton Wallet semble être pour ceux qui sont déjà dans l’écosystème Proton et qui veulent une solution intégrée pour gérer leurs cryptos en toute indépendance. Mais pour une adoption plus large, Proton devra encore prouver qu’il apporte une réelle valeur ajoutée face à la concurrence.

La persistance de Proton sur ce projet est intrigante : s’agit-il simplement d’un service de plus pour leur utilisateurs, ou ont-ils une vision à long terme pour bousculer les standards des wallets existants ? Seul le temps le dira.