Données personnelles : la grande évasion

Mais que se passe-t-il sur le grand internet français ? Ces derniers mois, plusieurs services publics en ligne ont laissé échapper des données personnelles concernant, dans certains cas, plusieurs millions de personnes. En février dernier, France 2 révélait que la Cégedim, éditeur de logiciels pour professionnel·les de santé, a été victime d’un vol de données. Dans le même temps, le Fichier national des comptes bancaires et assimilés (Ficoba) était aussi piraté. En avril, c’est l’Agence nationale des titres sécurisés (ANTS) qui signale à son tour une intrusion informatique. On pourrait encore citer d’autres exemples, mais la liste, qui implique à la fois des portails administratifs et des services en ligne privés, est bien longue.

Sur le dark web, nos données se vendent à prix d’or

La plupart du temps, les personnes concernées par ces fuites reçoivent un communiqué de la part de l’organisme victime, contenant quelques excuses, d’éventuelles mises en garde, et des promesses de renforcer la sécurité. En parallèle, sur le dark web, nos données – numéro de téléphone, adresse mail, nom et informations personnelles diverses – se vendent à prix d’or.

Inscrire son 06 – que l’on ne donnerait pas en pleine rue – dans un formulaire en ligne est loin d’être anodin. Si cette information venait à fuiter, elle serait très utile aux « grossistes de la donnée », comme les appelle Nono, salarié de la Quadrature du net, l’association qui lutte contre la censure et la surveillance. Il explique qu’un simple numéro de téléphone permet de recouper beaucoup d’informations personnelles, et facilite ainsi la création du profil détaillé d’une personne, lequel intéressera les publicitaires avides de ciblages toujours plus précis. Nono est catégorique : « Il existe un marché de la donnée personnelle  », dont sont exclues les personnes à qui appartient cette matière première – nous.

Une fuite de données à la Fédération française de tir et quelques mois plus tard des propriétaires d’armes à feu figurant sur les fichiers étaient cambriolés

Et s’il y a cybermarchandises, il ne manque plus que le cybermagasin ! Récemment, le média Next alertait sur la création d’un moteur de recherches de données personnelles1 accessible au tout-venant. Quelques mois plus tôt, une émission de « Cash Investigation  »2 mentionnait déjà des sites permettant d’acheter des données personnelles irrégulièrement récupérées.

Cette hémorragie de données personnelles est provoquée par des piratages et des intrusions dans des brèches informatiques toujours plus nombreux. En 2025, la Commission nationale de l’informatique et des libertés (CNIL) a été notifiée de 6 167 fuites de données, ce qui représente une augmentation de 9,5 % par rapport à l’année précédente – 2024 atteignant elle-même des records en la matière3.

Ce marché n’intéresse pas seulement les publicitaires. Une fois rendues accessibles à tous·tes, les données piratées sont aussi achetées avec des intentions clairement nuisibles. Ne pas prendre ce phénomène au sérieux équivaut à une «  mise en danger de la vie d’autrui  », selon Nono. Les risques de phishing – qui consiste à utiliser des informations privées pour obtenir la confiance d’une personne et lui soutirer de l’argent par exemple – sont connus. Pour toute personnalité plus ou moins publique, le doxing – exposer une personne cible en dévoilant des informations personnelles au grand jour – constitue aussi une menace sérieuse. Les cas d’usurpation d’identité les plus poussés peuvent aussi pourrir une vie pendant plusieurs mois, voire années. Des personnes ont ainsi été mises en demeure pour des paiements de factures ou d’amendes qui leur étaient étrangères.

La récolte et le stockage des données ne sont pas uniquement le fait des gros groupes privés dont les intérêts financiers sont évidents, c’est aussi un enjeu pour les services de l’État

Aux yeux de la loi, c’est à elles de démontrer n’être pas autrices des actes commis en leur nom. Et pendant ce temps, les dettes s’accumulent. Plus inquiétant encore, en octobre 2025, une fuite de données détenues par la Fédération française de tir a eu lieu, et quelques mois plus tard des propriétaires d’armes à feu figurant sur ces fichiers ont été cambriolés.

Que faire pour endiguer l’évasion des données ? La CNIL et Cybermalveillance.gouv.fr nous encouragent à changer fréquemment de mots de passe, à en choisir des plus robustes, à ne fournir que des informations nécessaires et à ne pas enregistrer sur nos appareils celles qui sont sensibles. Comme si la solution, c’était le petit geste individuel et que le problème venait des usager·es, et pas des organismes qui demandent toujours plus d’informations, toujours plus actualisées – y compris les services publics, dont la numérisation nous oblige à cracher nos informations sensibles sur le web. D’autant plus que la directrice de la CNIL en personne, Marie-Laure Denis, a admis qu’il y a « un problème de moyens alloués à la sécurisation des systèmes d’information ». Son rapport annuel pour 2025 souligne que le budget public pour la commission ne progresse pas au rythme des missions qui lui sont confiées.

Au niveau de l’Union européenne, le Règlement général sur la protection des données (RGPD) tient bon – pour le moment. Signé en 2018, ce gros pavé législatif consacre des droits fondamentaux numériques aux usager·es du net : savoir quelles données personnelles sont collectées et détenues, pouvoir les récupérer… Le strict minimum, selon les défenseur·euses de la vie privée sur le web4. Pourtant, un projet de réforme est envisagé. La course à l’intelligence artificielle, avide de toujours plus de data, et les ouins ouins des autorités étasuniennes, n’y sont pas étrangers. En novembre dernier, le chef de la diplomatie américaine Marco Rubio encourageait ses troupes à faire pression contre ce texte, qu’il juge porteur de « restrictions inutiles et contraignantes  ».

On dit souvent que « le meilleur déchet, c’est celui qu’on ne produit pas ». De la même façon, en matière de confidentialité, la meilleure donnée c’est celle qu’on ne collecte pas. Un mantra qui ne semble pas être celui de nos décideurs. Partout, des data centers sortent de terre, malgré les dangers écologiques, environnementaux et sociétaux qu’ils engendrent sur un territoire5. Or, la récolte et le stockage des données ne sont pas uniquement le fait des gros groupes privés dont les intérêts financiers sont évidents, c’est aussi un enjeu pour les services de l’État. En tête de liste : le Fichier de traitement des antécédents judiciaires (TAJ), commun à la police et à la gendarmerie nationale. Celui-ci contient les données de toutes personnes ayant eu à faire à la justice, que ce soit en tant que plaignant ou en tant que mis en cause : photos, nom, prénom, adresse, etc.

Il y a quelque chose d’alarmant dans le fait qu’un adolescent soit capable d’entrer dans des systèmes contenant les informations personnelles de près de 70 millions de personnes

Autant d’informations détenues par les services de police qui peuvent contenir au passage des détails intimes, comme une orientation sexuelle, ou une confession, quand la plainte concerne une agression homophobe, islamophobe ou antisémite, etc. On s’attendrait donc à ce qu’un tel fichier soit strictement surveillé et protégé. Or, selon le média en ligne Disclose, chaque policier a accès au TAJ via… son téléphone de fonction !

Pour ne rien gâcher, il semblerait que ce soit un jeu d’enfant de déjouer les systèmes informatiques de l’État. Le pirate de l’ANTS, dont dépend la gestion en ligne de nos documents d’identité, avait seulement 15 ans. Interrogé, il a raconté avec quelle facilité il avait exploité les brèches. Peut-être qu’il se la pète un peu (qui ne le ferait pas à sa place ?) ou peut-être qu’il y a quelque chose d’effectivement alarmant dans le fait qu’un adolescent soit capable d’entrer dans des systèmes contenant les informations personnelles de près de 70 millions de personnes. Un système informatique, ça a des failles ; un marchand de données, ça les exploite. Puisque l’offre suit la demande, plus le marché grandit, plus les failles sont exploitées. Ce grand racket semble réaliser le rêve libertarien : presque aucun contrôle de l’État, une législation fantoche, un marché en pleine expansion. Ne pas mettre les moyens pour protéger nos données, y compris celles qu’il nous a extorquées, rend l’État complice, si ce n’est fournisseur officiel.