Piratage de la Commission européenne : le régulateur face à ses propres règles

Le 24 mars 2026, une attaque contre l’infrastructure cloud AWS hébergeant la plateforme Europa.eu est détectée. Trois jours plus tard, la Commission européenne confirme publiquement la brèche. Le groupe ShinyHunters revendique l’exfiltration de plus de 350 Go de données (bases de données, serveurs mail, documents confidentiels, contrats) sans demande de rançon, avec menace de publication. Le vecteur d’accès initial semble être un compte AWS compromis par ingénierie sociale.

Ce n’est pas le premier incident de l’année. En février 2026, une attaque distincte avait touché la gestion mobile de la Commission via des failles Ivanti. Deux brèches en deux mois pour l’institution qui produit le corpus réglementaire le plus dense d’Europe en matière de cybersécurité et de protection des données.

La Commission a indiqué avoir contenu rapidement l’attaque, sans impact sur ses systèmes internes ni interruption des sites web. Une enquête est en cours pour évaluer l’ampleur exacte de l’exfiltration et notifier les entités concernées. C’est précisément cette notification qui constitue le premier enjeu juridique de l’incident.

Ce que cet incident révèle va au-delà d’une faille technique, et représente l’écart entre ce que la Commission impose aux autres et ce qu’elle s’applique à elle-même.

Ce que l’EUDPR impose à la Commission

La Commission européenne n’est pas soumise au RGPD, en effet ce texte s’applique aux entités des États membres, publiques et privées. Elle est soumise à son équivalent institutionnel : le règlement 2018/1725, dit EUDPR, qui aligne les obligations des institutions européennes sur les principes du RGPD tout en désignant le Contrôleur européen de la protection des données (CEPD) comme autorité de supervision.

Les obligations sont claires : en cas de violation de données à caractère personnel, la Commission doit notifier le CEPD dans les 72 heures suivant la découverte de l’incident. Si la violation est susceptible de présenter un risque élevé pour les droits et libertés des personnes concernées, elle doit également en informer ces personnes sans délai. Ces délais sont identiques à ceux que le RGPD impose aux entreprises privées et que la Commission elle-même a contribué à définir.

L’EUDPR impose également un encadrement contractuel strict des sous-traitants. AWS, en tant que prestataire hébergeant les données de la Commission, doit faire l’objet d’un contrat de traitement des données conforme aux exigences du règlement, incluant notamment base légale du traitement, garanties de sécurité, obligations en cas d’incident. C’est exactement ce que le RGPD impose aux entreprises européennes qui recourent à des prestataires cloud américains. La symétrie est totale sur le papier.

Ce que l’incident soulève en pratique : la notification au CEPD a-t-elle été effectuée dans les 72 heures ? Le contrat avec AWS prévoyait-il les garanties requises par l’EUDPR ? Les personnes dont les données ont été exfiltrées ont-elles été informées ? L’enquête en cours devra répondre à ces questions. En attendant, le silence institutionnel sur ces points précis est lui-même un signal.

La tension structurelle : réguler ce dont on dépend

La Commission européenne utilise AWS pour héberger ses plateformes institutionnelles depuis plusieurs années. Ce choix n’est pas anodin dans le contexte réglementaire qu’elle a elle-même construit. En 2022, un citoyen allemand a porté plainte devant le tribunal de l’Union européenne, reprochant à la Commission d’avoir violé l’EUDPR en confiant l’hébergement d’un site institutionnel à AWS avec transfert de données vers les États-Unis. Le Contrôleur européen de la protection des données a lui-même qualifié cette dépendance aux hyperscalers américains d’incompatible avec les objectifs de souveraineté numérique et d’autonomie stratégique européenne.

La tension est structurelle. AWS est une entreprise américaine soumise au Cloud Act, la loi qui autorise les autorités américaines à accéder aux données hébergées par des entreprises américaines, y compris hors de leur territoire. La Commission a contribué à invalider le Privacy Shield précisément parce que ce cadre ne protégeait pas suffisamment les données européennes de cette exposition. Elle a ensuite adopté le Data Privacy Framework en 2023 comme mécanisme de substitution, un texte dont la solidité juridique est déjà contestée et qui pourrait connaître le même sort que son prédécesseur.

La couche finale est difficilement ignorable : au moment de l’attaque, la Commission mène des enquêtes contre AWS au titre du DMA pour abus de position de gatekeeper sur le marché cloud européen. Elle enquête son prestataire cloud pendant qu’elle se fait pirater via ce même prestataire, sous un régime de protection des données qu’elle impose aux entreprises européennes mais qu’elle peine à s’appliquer à elle-même.

Ce n’est pas une question de mauvaise foi mais de cohérence institutionnelle. Une institution qui produit des règles qu’elle ne s’applique pas intégralement fragilise la légitimité de ces règles. C’est le problème de fond que cet incident expose.

Le régulateur sous la loupe

L’incident ne sera probablement pas le dernier. La Commission européenne, comme toute organisation de cette taille et de cette complexité, restera une cible de choix pour des groupes comme ShinyHunters, dont le mode opératoire repose précisément sur l’exploitation de comptes cloud compromis, un vecteur banal et redoutablement efficace.

Ce qui est moins banal est la position dans laquelle cet incident place la Commission. Elle a produit le RGPD, l’EUDPR, le règlement 2023/2841, le Data Privacy Framework : un corpus qui impose aux entreprises et institutions européennes un encadrement strict de leurs données, de leurs prestataires, de leurs incidents. Elle est désormais en position de devoir démontrer qu’elle respecte elle-même ce qu’elle a imposé aux autres : notification dans les 72 heures, encadrement contractuel d’AWS, information des personnes concernées.

L’enquête en cours dira si ces obligations ont été respectées. Ce que l’incident révèle déjà, c’est que la dépendance structurelle aux hyperscalers américains n’est pas un problème que la réglementation seule peut résoudre, pas tant que l’institution qui produit cette réglementation en dépend elle-même pour faire fonctionner ses propres plateformes.

La souveraineté numérique européenne ne se décrète pas. Elle se pratique, ou elle ne se pratique pas.

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain