Une fuite de données toutes les heures : pourquoi se conformer ?

Le 15 avril 2026, quelqu’un a accédé aux systèmes de l’agence chargée de délivrer les passeports, les permis de conduire et les certificats d’immatriculation français. Cinq jours plus tard, l’ANTS l’a annoncé. Entre les deux : le délai légal de notification de 72 heures était déjà dépassé depuis quatre jours.

Neuf jours avant, Basic-Fit avait mis sept jours à informer le million de membres dont les IBAN venaient d’être exfiltrés. Le 21 avril, le Ministère de l’Intérieur a publié un communiqué : 11,7 millions de comptes ANTS concernés, notification aux particuliers « toujours en cours de réalisation » six jours après la détection de l’incident. Aucune date de notification à la CNIL, obligatoire dans les 72 heures, n’est mentionnée.

La question que personne ne pose franchement est pourtant la seule qui compte : dans ce contexte, pourquoi une organisation ferait-elle l’effort de se conformer au RGPD ?

Le calcul qui ne ferme pas

Quinze mois

Free a été sanctionné en janvier 2026 pour un incident survenu en octobre 2024. Quinze mois plus tard. La décision de la CNIL documente avec précision ce qui aurait dû être en place depuis des années : authentification multifacteur sur les accès VPN, détection des requêtes massives, purge des données de contrats résiliés depuis plus de dix ans. Ces manquements existaient avant l’attaque. Ils ont été rendus visibles par celle-ci. La sanction, 42 millions d’euros combinés pour Free Mobile et Free, est intervenue pendant que les données de 24 millions d’abonnés circulaient.

Pour l’ANTS, le cycle recommence. Une instruction s’ouvrira, une décision tombera dans dix-huit mois, peut-être deux ans. Entre les deux, les données exfiltrées existent et s’utilisent indépendamment de ce que le régulateur décidera.

Le quantum ne suffit pas

On pourrait penser que ce décalage temporel est un dysfonctionnement du système, mais c’est son fonctionnement normal, et il produit un calcul structurellement défavorable à la conformité. Une PME qui consacre du temps et un budget à mettre ses traitements en ordre supporte un coût certain et immédiat. Une organisation qui ne le fait pas supporte un risque différé, incertain, parfois inexistant si l’incident ne se produit jamais ou n’est jamais détecté. Le marché de la conformité RGPD punit les bons élèves et subventionne les mauvais, et ce n’est pas par intention mais par mécanique.

L’argument habituel est que la sanction devient suffisamment dissuasive quand les montants augmentent. La CNIL a prononcé 486 millions d’euros d’amendes en 2025, contre 55 millions en 2024, une multiplication par neuf.

France Travail a été sanctionné de 5 millions d’euros en janvier 2026 pour un incident survenu au premier trimestre 2024. Ce que la décision révèle est plus instructif que le montant : la formation restreinte a expressément relevé que les mesures de sécurité nécessaires avaient été identifiées dans les analyses d’impact de l’organisme avant l’incident, sans avoir été mises en œuvre. L’organisme connaissait ses lacunes, et pourtant il ne les avait pas corrigées. Pour un établissement public, le plafond légal de l’amende est par ailleurs fixé à 10 millions d’euros, indépendamment du volume de données traitées ou du nombre de personnes concernées. Le signal dissuasif est structurellement plafonné avant même que la formation restreinte ne délibère.

Ces sanctions permettent de constater que le montant des sanctions n’a pas modifié la trajectoire opérationnelle. Ici c’est un problème de délai et de certitude.

Ce que la sanction ne mesure pas

Ce qui circule pendant l’instruction

La décision CNIL contre Free documente ce qui s’est passé avant l’attaque, mais pas ce qui s’est passé pendant les quinze mois qui ont suivi. Les données de 24 millions de contrats en circulation, dont les IBAN des abonnés communs aux deux sociétés, ne sont pas dans la délibération. Les tentatives de phishing ciblé construites sur ces données non plus. La sanction clôt un dossier administratif mais elle ne ferme pas la fenêtre d’exploitation.​​​​​​​​​​​​​​​​

Pour les données que l’ANTS vient de laisser exposer, la temporalité est encore plus brutale. Un IBAN se change, laborieusement, mais une date de naissance, non. Un numéro de permis de conduire peut être renouvelé, au prix de démarches auprès de l’agence qui vient précisément d’être compromise. Le communiqué du Ministère exclut les données biométriques et les pièces jointes. Ce qui reste (civilité, nom, prénom, date et lieu de naissance, adresse électronique, identifiant unique) suffit à construire une usurpation d’identité solide. Ces données ont une durée de vie qui dépasse largement celle de n’importe quelle procédure administrative.

L’analyse d’impact ne suffit pas

L’article 35 du RGPD impose une analyse d’impact avant tout traitement susceptible d’engendrer un risque élevé, et le caractère non réinitialisable de certaines données fait partie de ce qui doit être évalué. Une organisation qui traite des données biométriques ou d’état civil à grande échelle et qui ne traduit pas ce risque en mesures effectives a manqué à cette obligation indépendamment de toute violation ultérieure. La violation ne crée pas le problème, mais elle révèle ce qui n’a pas été traité.

La sanction mesure le manquement passé, mais pas le préjudice réel des personnes concernées, dont la réparation relève d’un autre mécanisme, d’un autre délai, et d’une autre procédure.​​​​​​​​​​​​​​​​

Ce qui reste quand on enlève la CNIL

La peur du régulateur est un mauvais fondement pour la conformité, précisément parce que cette peur est rationnellement faible au regard du calcul exposé plus haut. Ce qui reste quand on l’enlève est en réalité plus contraignant, plus immédiat, et moins négociable.

L’action civile existe indépendamment

L’article 82 du RGPD ouvre un droit à indemnisation à toute personne ayant subi un préjudice du fait d’une violation, mais ce n’est pas une procédure CNIL. C’est une action civile, devant le tribunal judiciaire, avec un délai de prescription de cinq ans à compter de la connaissance du dommage. Elle peut être individuelle ou collective : l’article 80 permet à des associations habilitées d’agir au nom de personnes concernées qui y consentent. La CNIL n’est pas partie à cette procédure : son absence ou son inaction n’y change rien.

La responsabilité contractuelle est immédiate

Pour une PME ou un prestataire qui traite des données clients, la chaîne de responsabilité contractuelle s’active indépendamment du régulateur. Un client dont les données ont été exposées à cause d’une défaillance de sécurité peut engager la responsabilité contractuelle de son prestataire sur le fondement du contrat de sous-traitance de l’article 28, si ce contrat existe et précise les obligations de sécurité, ou sur le fondement de la responsabilité délictuelle s’il n’existe pas. L’absence de contrat conforme n’exonère pas : elle aggrave l’exposition.

Le signal inversé

C’est ici que le signal inversé produit par l’impunité institutionnelle devient dangereux pour les acteurs qui ont fait l’effort. Quand l’État ne respecte pas ses propres obligations et n’est pas inquiété dans un délai crédible, la tentation est réelle pour n’importe quel décideur de déprioritiser ce qui semble être un investissement sans retour immédiat. Ce raisonnement est cohérent dans le rapport à la CNIL, mais il est faux dans le rapport aux clients, aux partenaires et aux tribunaux civils.

Le seul argument qui tient

La conformité RGPD n’est pas une assurance contre les sanctions administratives. C’est la documentation de ce qu’une organisation a fait pour protéger les données qui lui ont été confiées. Dans un contentieux civil, cette documentation est la différence entre une faute prouvée et une défense recevable. Dans une relation commerciale, son absence est une information que les donneurs d’ordre et les acheteurs commencent à intégrer dans leurs critères de sélection.

Le communiqué du 21 avril, soit six jours après la détection, indique que la notification directe aux 11,7 millions d’usagers particuliers est « toujours en cours de réalisation ». L’article 34 du RGPD impose cette communication sans délai dès lors que la violation est susceptible d’engendrer un risque élevé. Le Ministère de l’Intérieur documente lui-même, dans son communiqué de presse, le délai dont il aurait à répondre si la CNIL ouvrait une instruction sur ce seul fondement.

L’ANTS ne perdra probablement pas de clients. Elle n’en a pas : ses usagers n’ont pas le choix. Mais une PME en a. Et ses clients, eux, ont vu ce que ça donne quand on fait confiance à une organisation qui n’avait pas fait le travail.

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain