Vous venez de commander un livre ou une paire de baskets en ligne. Pour finaliser l’achat, vous avez renseigné votre nom, votre adresse postale, votre e-mail et votre numéro de carte bancaire. Ces informations, une fois transmises, ne disparaissent pas : elles sont stockées chez le marchand, parfois chez ses sous-traitants. Protéger ses données personnelles lors des achats en ligne commence par comprendre ce qui arrive à ces informations après le clic de validation.
Ce que les sites marchands conservent (et pourquoi c’est un problème)
La plupart des guides de sécurité en ligne se concentrent sur le moment du paiement. Le risque commence pourtant bien avant, dans les bases de données des marchands eux-mêmes.
Quand vous créez un compte client, le site enregistre au minimum votre identité, votre adresse et votre historique de commandes. Beaucoup y ajoutent un numéro de carte de fidélité, des préférences de navigation ou des listes de souhaits. Toutes ces données restent stockées des mois, parfois des années.
Le problème, c’est que les fuites de données viennent souvent des marchands, pas de votre ordinateur. La CNIL a enregistré 6 167 notifications de violations de données en 2025, un record en hausse d’environ 10 % par rapport à 2024. Le commerce en ligne figure parmi les secteurs les plus touchés en France, avec plus de 180 incidents et des dizaines de millions de personnes concernées.
Un cas concret : début août 2026, un géant de la grande distribution a signalé une fuite portant sur 287 605 clients, exposant noms, prénoms, numéros de carte de fidélité et détails de commandes. Aucune négligence de la part des acheteurs : la brèche venait du système du marchand.
Réduire la surface d’exposition de ses données personnelles
Vous avez déjà remarqué que certains sites proposent d’enregistrer votre carte bancaire « pour la prochaine fois » ? Ce confort a un coût en termes de sécurité. Si le site subit une intrusion, vos coordonnées bancaires sont directement accessibles.
Limiter les informations transmises
Le réflexe le plus efficace consiste à donner le strict minimum. Un site de vente en ligne a besoin d’une adresse de livraison et d’un moyen de paiement. Il n’a pas besoin de votre date de naissance, de votre numéro de téléphone fixe ou de connaître vos centres d’intérêt.
- Ne jamais enregistrer sa carte bancaire sur un site marchand. Ressaisir le numéro à chaque achat prend trente secondes et supprime un vecteur de fuite majeur.
- Utiliser une adresse e-mail dédiée aux achats en ligne, distincte de celle utilisée pour la banque ou l’administration. En cas de fuite, les tentatives de hameçonnage n’atteindront pas votre boîte principale.
- Supprimer son compte client après un achat ponctuel. Si vous ne comptez pas racheter sur ce site, inutile de laisser vos données y dormir pendant des années.
- Refuser systématiquement les cases pré-cochées (« recevoir des offres partenaires », « partager mes données avec des tiers »). Le RGPD impose un consentement explicite, mais beaucoup de sites jouent sur l’inattention.
L’option de la carte bancaire virtuelle
Plusieurs banques françaises proposent de générer un numéro de carte temporaire, valable pour un seul achat. Le principe : le numéro expire après la transaction. Même si le marchand subit une fuite, un numéro de carte virtuelle déjà expiré est inutilisable.
Vérifiez auprès de votre banque si ce service est disponible. Il porte des noms différents selon les établissements, mais le fonctionnement reste identique.
Authentification forte et mots de passe : deux maillons distincts
Pourquoi distinguer ces deux notions ? Parce qu’un bon mot de passe ne remplace pas l’authentification forte, et inversement.
L’authentification forte (ou double vérification) est désormais imposée par la réglementation européenne pour la plupart des paiements en ligne. Concrètement, après avoir entré votre numéro de carte, votre banque vous demande une confirmation supplémentaire : validation dans son application mobile, code envoyé par SMS combiné à un code personnel, ou reconnaissance biométrique.
L’authentification forte protège le paiement, pas le compte client. Votre compte sur le site marchand, lui, est protégé par un simple mot de passe. Si ce mot de passe est « azerty123 » ou identique à celui de votre messagerie, un pirate qui l’obtient accède à votre historique, votre adresse et parfois votre carte enregistrée.
Un mot de passe solide pour chaque site marchand reste donc une protection complémentaire. Un gestionnaire de mots de passe permet de créer et stocker des combinaisons uniques sans devoir les mémoriser.
Réseau Wi-Fi et navigation : le contexte de connexion compte
Acheter depuis le Wi-Fi d’un café ou d’un hôtel expose vos données à quiconque surveille le trafic sur ce réseau. Un attaquant positionné sur le même réseau peut intercepter des informations de connexion ou installer un logiciel malveillant.
Toute transaction financière doit passer par un réseau privé : votre connexion domestique sécurisée par mot de passe, ou votre réseau mobile 4G/5G. Si vous n’avez pas d’autre choix que le Wi-Fi public, utilisez un VPN qui chiffre l’intégralité du trafic entre votre appareil et le serveur distant.
Vérifiez aussi la présence du cadenas et du préfixe « https » dans la barre d’adresse. Ce protocole chiffre les échanges entre votre navigateur et le site. Son absence sur une page de paiement est un signal d’alerte immédiat.
Exercer ses droits après un achat en ligne
Le RGPD donne à tout résident européen des droits concrets sur ses données personnelles. Après un achat, vous pouvez demander au marchand quelles informations il détient sur vous, exiger leur suppression, ou retirer votre consentement au traitement à des fins marketing.
Ces demandes se font par e-mail ou via un formulaire dédié, souvent accessible dans la section « confidentialité » ou « données personnelles » du site. Le marchand dispose d’un mois pour répondre. En cas de refus ou de silence, la CNIL peut être saisie directement en ligne.
Avec la France classée pays européen le plus touché par les fuites de données et second au monde, la protection de vos informations personnelles ne dépend pas uniquement de votre vigilance technique. Limiter les données transmises, éviter le stockage de la carte bancaire, utiliser des mots de passe uniques et exercer vos droits RGPD forment un ensemble cohérent. Aucune de ces mesures n’est suffisante seule, mais combinées, elles réduisent considérablement l’impact d’une fuite chez un marchand.
