"embora a própria conexão esteja garantida, as transferências de dados não são"
Isso é muito simples de explicar. Se você dirigir um carro através de um túnel velho e desmoronando, ele pode entrar em colapso e derrubá-lo. Isso é como uma conexão geral não segura. Imagine o túnel VPN como um túnel perfeitamente seguro de aço de concreto que você dirige. Você nunca será atingido por um colapso do túnel, mas ainda é sua responsabilidade dirigir com cuidado.
No caso da VPN, embora o túnel seja seguro, o conteúdo pode ser perigoso. Então, se alguém que se conecta através de sua VPN começa a enviar vírus, malware e tal, então você não está seguro por nenhum meio e nem os dados são mais. É disso que se trata: não a segurança da VPN, mas a qualidade e segurança dos dados entregues através dela. Praticamente, a VPN não é útil se alguém lhe enviar um arquivo .exe de vírus através da VPN e você obter o arquivo e executá-lo.