Comment savoir si un VPN gratuit collecte plus de données qu’il n’en protège ? J’ai commencé par refuser une permission

Il me restait onze minutes avant le départ du train.

Le Wi-Fi de la gare fonctionnait, mon ordinateur était déjà rangé et je voulais simplement protéger un peu mieux la navigation de mon téléphone avant d’ouvrir deux comptes personnels.

J’ai installé l’un des VPN gratuits proposés dans la boutique Android.

L’application s’est ouverte.

Puis Android m’a demandé si je voulais lui communiquer ma position précise.

J’ai relu la fenêtre.

Position précise.

Pour un VPN.

Mon premier réflexe a été de chercher une explication technique. Peut-être que l’application voulait connaître ma position pour sélectionner le serveur le plus proche. Peut-être que c’était nécessaire au tunnel.

J’ai appuyé sur Refuser.

Le VPN s’est connecté quand même.

Mon adresse IP a changé.

Les pages se chargeaient.

Et ma question a changé avec elles.

Je ne me demandais plus seulement si ce VPN gratuit cachait mon adresse IP.

Je voulais savoir pourquoi une application capable de fonctionner sans ma position avait essayé de l’obtenir avant même de commencer à me protéger.

Le problème est devenu beaucoup plus concret cet été

Quelques jours avant cette comparaison, Proton publiait les résultats d’une enquête menée pendant plusieurs mois sur plus de 7 000 applications VPN mobiles dans le monde.

Le chiffre qui m’a arrêté n’était pas celui des serveurs.

Dans les applications de leur échantillon téléchargées aux États-Unis, Proton indique que 85 % contenaient au moins un tracker. L’enquête identifiait également 64 applications VPN utilisant des données GPS ou d’autres informations de géolocalisation.

Proton reste lui-même un fournisseur de VPN, et ces chiffres ne permettent évidemment pas de conclure que tous les VPN gratuits collectent ce type de données.

Ils montrent en revanche quelque chose de beaucoup plus utile pour mon problème.

Un VPN peut parfaitement masquer mon adresse IP aux sites que je visite tout en disposant, dans son application, d’autres moyens de recueillir des informations sur mon appareil.

GPS.

Identifiant publicitaire.

Données techniques.

Mesures d’utilisation.

Compte utilisateur.

Le tunnel peut donc protéger une information tandis que l’application en demande une autre.

C’est cette différence que je n’avais jamais vraiment regardée.

J’avais toujours commencé par lire « no logs »

Ma vieille méthode de comparaison tenait presque en deux étapes.

Le VPN dit-il « no logs » ?

Est-il gratuit ?

Si la première réponse était oui et la seconde aussi, j’avais l’impression d’avoir trouvé une bonne affaire.

Mais « no logs » répond surtout à une question située plus loin dans le parcours :

que conserve le fournisseur à propos de mon activité une fois que j’utilise son service ?

La demande de géolocalisation devant moi posait une question plus immédiate :

qu’est-ce que l’application essaie d’obtenir de moi avant même que je commence à naviguer ?

La nuance paraît petite.

Elle a complètement changé mon test.

Je n’avais plus envie de commencer par une promesse.

Je voulais commencer par les données que je pouvais voir partir de mes propres mains.

Android donne déjà deux indices qu’il ne faut pas confondre

Je suis revenu sur la fiche de l’application dans Google Play.

Il y avait d’abord la section Sécurité des données.

Puis la liste des permissions.

Je pensais jusque-là que les deux racontaient la même chose.

Google explique qu’elles répondent en réalité à deux questions différentes. La section Sécurité des données repose sur les déclarations du développeur concernant la collecte, le partage et l’utilisation des informations. Les permissions montrent, elles, les capacités auxquelles l’application peut demander accès sur le téléphone.

Cette distinction m’a donné une méthode très simple.

Je regardais ce que le développeur disait collecter.

Puis ce que l’application demandait réellement.

Enfin, je comparais les deux avec ce dont un VPN avait besoin pour accomplir ma tâche.

Google impose également des règles spécifiques aux applications utilisant VpnService, notamment sur le chiffrement du trafic et l’utilisation de données personnelles sensibles.

Je n’avais donc pas besoin de devenir analyste sécurité pour faire un premier tri.

Il suffisait déjà de regarder ce que l’application voulait obtenir.

J’ai commencé à utiliser le bouton « Refuser » comme test

La CNIL recommande le même principe de fond : lorsqu’une application demande une permission, elle devrait choisir l’accès le moins intrusif capable de répondre à son besoin, et limiter la collecte aux données réellement nécessaires.

Alors j’ai arrêté d’interpréter chaque demande comme une obligation technique.

J’ai commencé à tester.

Localisation précise ?

Refuser.

Le VPN fonctionne toujours.

Contacts ?

Pourquoi un tunnel réseau en aurait-il besoin ?

Microphone ?

Même question.

Photos ?

Même réflexe.

Une permission inhabituelle n’est pas automatiquement la preuve d’un comportement malveillant. Certaines fonctions peuvent avoir une justification réelle.

Mais lorsqu’une donnée peut être refusée et que le service principal fonctionne exactement pareil, l’information devient beaucoup plus facile à évaluer :

elle n’était pas nécessaire à ce que j’étais venu faire.

Pour moi, ce test avait plus de valeur qu’une politique de confidentialité de quinze pages lue après l’installation.

Je n’étais visiblement pas le seul à m’arrêter devant la localisation

Une discussion publiée au printemps 2026 sur r/VPN partait presque de la même hésitation.

Un utilisateur voyait son application VPN demander sa position précise alors que le service promettait parallèlement une politique « no logs ». Sa question n’était pas de savoir si toute géolocalisation était forcément abusive.

Il cherchait surtout à comprendre comment juger une promesse de confidentialité lorsqu’une application demandait une information qui lui paraissait sans rapport avec le travail essentiel du VPN.

C’est ce détail qui rendait la discussion utile.

Le problème ne commence pas forcément lorsqu’on découvre une fuite spectaculaire.

Il commence parfois devant une fenêtre Android parfaitement banale :

Autoriser ?

On appuie machinalement sur oui.

Puis on se souvient seulement après qu’on avait installé l’application pour donner moins d’informations, pas davantage.

J’ai supprimé le premier VPN, mais pas parce qu’il était gratuit

Je ne voulais pas remplacer une simplification par une autre.

Un VPN gratuit peut être financé par les abonnements payants du même fournisseur.

Il peut servir d’offre d’entrée limitée.

Il peut avoir une politique claire et une réputation solide.

À l’inverse, payer une application ne garantit pas qu’elle minimise les données.

Le prix n’était donc pas mon nouveau critère.

Le critère était devenu :

combien d’informations dois-je céder avant d’obtenir le tunnel dont j’ai besoin ?

Le premier VPN avait bien modifié mon adresse IP.

Il avait simplement perdu ma confiance au moment où il m’avait demandé une information dont son fonctionnement semblait pouvoir se passer.

Je l’ai supprimé.

Et cette fois, je n’ai pas recherché « meilleur VPN gratuit ».

J’ai cherché une application avec laquelle je pouvais commencer en donnant moins.

Le premier résultat intéressant avec OnlydogVPN est arrivé avant la connexion

J’ai installé OnlydogVPN.

Je m’attendais presque automatiquement à l’écran habituel.

Adresse e-mail.

Mot de passe.

Confirmation.

Connexion au compte.

Pour l’usage de base testé ici, ce parcours n’était pas nécessaire.

J’ai pu ouvrir l’application et lancer la protection sans commencer par créer un compte traditionnel avec adresse e-mail et mot de passe. Le service présente aussi cette conception comme l’un de ses choix de confidentialité.

Ce n’était pas aussi spectaculaire qu’un nouveau protocole ou qu’une carte remplie de centaines de serveurs.

Pour ce sujet précis, c’était beaucoup plus convaincant.

Je pouvais constater directement une donnée que je n’avais pas fournie.

Pas besoin de croire une promesse expliquant comment mon adresse e-mail serait protégée après sa collecte.

Je n’en avais simplement pas donné une pour commencer.

J’ai connecté le tunnel.

Vérifié mon adresse publique.

Puis rouvert les deux services que je voulais consulter avant le départ.

Ils se sont chargés normalement.

Le train est arrivé.

Mon problème initial était terminé.

C’est seulement après que j’ai regardé ce qui partait pendant la navigation

Une fois assis, j’ai continué à lire quelques pages sur le téléphone.

C’est là que j’ai remarqué le compteur de requêtes bloquées.

Le service filtre certaines requêtes publicitaires et de suivi et rend leur blocage visible dans l’application.

Le compteur a commencé à monter pendant ma navigation.

Ce n’était pas la raison principale pour laquelle j’avais gardé l’application.

Ne pas créer une nouvelle identité e-mail/mot de passe avait déjà répondu à ma question la plus importante.

Mais ce compteur prolongeait naturellement la même logique.

D’abord, moins d’informations données au VPN pour commencer.

Ensuite, moins de requêtes inutiles autorisées à partir pendant l’utilisation.

Et cette fois, je pouvais voir le résultat sans ouvrir un analyseur réseau ou ajouter une nouvelle extension.

Après avoir passé vingt minutes à me demander quelles données quittaient mon téléphone, cette visibilité avait beaucoup plus de valeur qu’une nouvelle phrase promettant simplement « plus de confidentialité ».

Je ne peux pas voir l’intérieur d’un fournisseur depuis mon téléphone

C’est la limite que je garde.

OnlydogVPN possède une histoire publique plus courte, moins d’avis indépendants et moins de recul que plusieurs grands fournisseurs installés depuis longtemps.

Depuis mon téléphone, je peux vérifier ce que l’application me demande.

Je peux regarder ses permissions.

Je peux constater que l’usage de base ne m’impose pas un compte traditionnel avec e-mail et mot de passe.

Je peux vérifier le changement d’IP et observer le compteur de requêtes bloquées.

Je ne peux pas auditer moi-même chaque serveur, chaque journal interne et chaque ligne de code du service.

Mais cette limite m’a finalement aidé à distinguer deux formes de confiance.

Il y a ce qu’un fournisseur me demande de croire.

Et il y a ce qu’il me permet simplement de ne pas lui donner.

Pour mon usage quotidien, je donne désormais beaucoup plus de poids au second.

Le test le plus utile se fait finalement avant le bouton « Connecter »

Je pensais qu’il fallait être expert pour déterminer si un VPN gratuit recueillait trop de données.

Analyser le trafic.

Décompiler l’application.

Identifier tous les SDK.

Lire chaque clause juridique.

Ces méthodes peuvent aller beaucoup plus loin.

Mais je n’en ai pas besoin pour repérer les premiers signaux.

Je commence avant même la connexion.

Que dit la section Sécurité des données ?

Quelles permissions l’application demande-t-elle réellement ?

Que se passe-t-il si je refuse celles qui semblent sans rapport avec le tunnel ?

Dois-je immédiatement créer une identité de compte ?

L’application fonctionne-t-elle toujours lorsque je lui donne moins ?

Cette dernière question est devenue la plus révélatrice.

Le premier VPN pouvait masquer mon IP tout en demandant ma position précise alors que le tunnel fonctionnait sans elle.

Le petit service que j’ai finalement gardé avait moins de recul public, mais il m’a permis de commencer la protection sans ajouter d’abord une nouvelle identité e-mail/mot de passe, puis de voir une partie des requêtes de suivi qu’il arrêtait pendant l’usage.

Je cherchais au départ à savoir combien de données un VPN protégeait.

Je regarde maintenant l’autre côté du bilan.

Si je veux savoir ce que me coûte réellement un VPN gratuit en confidentialité, mon premier test n’est plus ce qu’il promet de cacher après la connexion : c’est ce qu’il essaie d’obtenir de moi avant que j’appuie sur Connecter.