Auteur/autrice : admin4461

L’arrivée d’agents autonomes qui négocient des contrats, gèrent des stocks, manipulent des données clients et automatisent des processus décisionnels pose une question juridique classique : en cas d’erreur, qui est responsable ?

Le responsable par défaut : le déployeur

Le rapport de l’ENISA introduit un principe clair : la responsabilité du déployeur. L’entreprise qui active l’agent IA est présumée responsable de ses actes. Si un bot de négociation accepte par erreur un contrat léonin, ou si un agent de support divulgue par mégarde des données de santé, c’est l’entreprise qui est en première ligne face au régulateur (CNIL) ou au juge civil. L’argument « c’est la faute de l’algorithme » est désormais juridiquement nul : on en revient à la responsabilité classique du dirigeant.

La chaîne de responsabilité

La responsabilité peut être répartie sur plusieurs entités. Pour engager celle du fournisseur, le déployeur doit prouver que l’agent IA a été utilisé conformément à l’usage prévu et aux conditions générales, et que le fournisseur n’a pas mis en garde ni fourni de garde-fous dans la documentation technique. Le DPO a ici un rôle à jouer : il supervise le modèle et audite les limites de l’agent avant son déploiement. L’IA peut calculer et estimer un risque, mais n’arbitre pas : seul un humain peut porter la responsabilité finale.

Les bonnes pratiques à envisager avant le déploiement

• exiger du fournisseur la liste des scénarios d’erreurs bloqués par ses filtres ;
• renforcer les contrats : les clauses de responsabilité doivent inclure une mention spécifique sur les « dérives autonomes » de l’agent — si l’IA « hallucine » une clause contractuelle, le fournisseur doit partager le risque ;
• intégrer le scénario de menace « action autonome non autorisée » et évaluer l’impact d’un agent prenant un grand nombre de décisions erronées en très peu de temps.

Source : rapport de l’ENISA sur la sécurité des agents d’IA.

En 2025, le Comité européen de la protection des données (CEPD) a consacré son action coordonnée annuelle au droit à l’effacement prévu à l’article 17 du RGPD. En France, la CNIL a contrôlé six organismes de secteurs et de tailles variés, certains sélectionnés à la suite de plaintes. Le bilan publié offre une photographie précise des forces et fragilités persistantes dans la mise en œuvre de ce droit.

Un droit globalement intégré, mais imparfaitement opérationnalisé

Dans la majorité des cas, les organismes prennent en compte les demandes d’effacement et savent mobiliser les exceptions légales (obligation de conservation, défense en justice, liberté d’expression…). Le cadre juridique est identifié et compris. En revanche, le bilan met en évidence des insuffisances organisationnelles : procédures peu formalisées, circuits de validation flous, absence de traçabilité complète — autant de faiblesses qui fragilisent l’accountability exigée par l’article 5 §2.

Le point noir technique : sauvegardes et suppression effective

La CNIL relève que les données supprimées en base active peuvent subsister dans des sauvegardes, que les procédures de purge ne sont pas toujours documentées, et que les restaurations peuvent réintroduire des données censées être effacées. L’autorité n’exige pas une impossibilité technique absolue, mais une politique documentée garantissant l’inaccessibilité opérationnelle des données effacées, l’absence de réactivation injustifiée et une purge conforme aux cycles de conservation.

Qualité de la réponse aux personnes

Certaines lacunes portent sur la motivation insuffisante des refus, l’absence de référence explicite aux exceptions de l’article 17 §3 et une information incomplète sur les voies de recours. Le respect du droit à l’effacement ne se limite donc pas à la suppression : il inclut la qualité juridique de la décision notifiée.

Des écarts selon la maturité des organisations

Le bilan met en évidence une corrélation entre maturité organisationnelle et conformité : les structures disposant d’un DPO identifié et d’un service juridique structuré présentent des procédures écrites et une meilleure documentation, là où les organismes plus petits peinent à formaliser leurs processus. À l’issue des contrôles, la CNIL a prononcé deux mises en demeure.

Une convergence européenne des constats

Le rapport coordonné au niveau du CEPD montre que les constats français ne sont pas isolés : difficulté d’articulation entre droit à l’effacement et obligations de conservation, insuffisances procédurales, gestion imparfaite des environnements techniques complexes. Il ne s’agit pas d’anomalies ponctuelles, mais de défis structurels de mise en conformité au sein de l’Union.

Source : CNIL — Droit à l’effacement : bilan de l’action européenne.

L’affaire a commencé fin janvier 2026, lorsqu’un accès anormal est détecté au sein du Fichier des comptes bancaires (FICOBA), base nationale recensant l’ensemble des comptes bancaires ouverts en France. Ce n’est que le 18 février qu’elle a été dévoilée au grand public, dans un communiqué du ministère de l’Économie.

Ce fichier, administré par la Direction générale des finances publiques, contient des données telles que l’identité des titulaires, leurs adresses, les établissements bancaires, les numéros IBAN et, dans certains cas, des éléments à caractère fiscal. Environ 1,2 million de comptes auraient été consultés de manière frauduleuse.

L’intrusion ne résulterait pas d’un piratage technique du système central, mais de l’usurpation des identifiants d’un agent disposant d’un accès légitime, révélant une faille dans les mécanismes de contrôle interne. Si les soldes et opérations bancaires n’ont pas été compromis, la divulgation de coordonnées bancaires expose les usagers à des risques accrus de fraude et d’usurpation d’identité. Le ministère a déposé plainte et saisi la CNIL afin d’évaluer le respect des obligations du RGPD.

Cette affaire soulève d’importantes questions relatives à l’obligation de sécurité pesant sur l’administration en tant que responsable de traitement. Le RGPD impose des mesures techniques et organisationnelles appropriées : protection contre les accès non autorisés, authentification forte, gestion rigoureuse des habilitations et traçabilité des accès aux bases sensibles. L’usurpation des identifiants d’un agent laisse supposer une insuffisance des dispositifs de contrôle interne, alors que la nature bancaire et fiscale des données traitées appelle un niveau d’exigence particulièrement élevé.

En cas de manquement caractérisé, la CNIL pourrait prononcer des mesures correctrices, voire des sanctions ; la responsabilité administrative de l’État pourrait également être engagée. Cet événement met une nouvelle fois en lumière les fragilités persistantes de la cybersécurité des fichiers publics sensibles en France.

Sources : Franceinfo ; France 24.

Au cours des douze derniers mois, la scène des cryptomonnaies en France a été le théâtre d’une escalade alarmante de menaces. Ce phénomène n’est plus une abstraction : il touche de plus en plus d’investisseurs, de plateformes et d’acteurs du secteur.

De la donnée dérobée aux risques réels

Plusieurs incidents de fuite de données ont récemment ébranlé le secteur crypto français. La plateforme fiscale de déclaration de cryptos Waltio a confirmé une violation affectant environ 50 000 utilisateurs, dont certaines informations ont été revendiquées sur le dark web. Des acteurs majeurs comme Ledger ont également signalé des fuites liées à des prestataires, exposant des clients à des arnaques ou du phishing. Selon Cybermalveillance.gouv.fr, ces violations ont déjà conduit à des tentatives de contact frauduleux — allant jusqu’à de faux agents se faisant passer pour des représentants de l’ordre ou des services anti-fraude. La compromission de données personnelles n’est donc pas une simple fuite informatique : elle peut déboucher sur des menaces tangibles pour la sécurité des personnes.

L’explosion des attaques physiques contre les détenteurs

La France connaît une augmentation inquiétante d’agressions violentes ciblant directement des détenteurs de cryptomonnaies : attaques physiques (parfois qualifiées de wrench attacks) ou enlèvements visant à forcer les victimes à livrer leurs clés privées. Plusieurs cas très médiatisés ont été rapportés. Des enquêtes suggèrent que certaines de ces attaques ont été facilitées par l’exploitation de données personnelles dérobées, permettant de localiser des cibles potentiellement riches ou simplement identifiables.

Une leçon de sécurité pour tous

Ce double phénomène — fuites de données et attaques ciblées — doit être un signal d’alarme pour toutes les organisations manipulant des données sensibles, qu’il s’agisse de plateformes crypto, d’administrations ou d’entreprises privées. La protection des données personnelles n’est plus seulement une obligation réglementaire : elle constitue une première ligne de défense contre des menaces qui peuvent se matérialiser dans le monde réel, des données mal protégées devenant une ressource exploitable pour l’ingénierie sociale ou l’extorsion.

Mettre en place une sécurité robuste : quelques pistes

• cartographier les données personnelles traitées et stockées, et identifier les points de vulnérabilité ;
• appliquer des politiques de sécurité strictes : chiffrement au repos et en transit, authentification multifacteur, contrôle des accès limité au strict nécessaire ;
• réaliser des audits réguliers et des tests d’intrusion ;
• former et sensibiliser les collaborateurs (phishing, manipulation sociale, mots de passe) ;
• établir des processus de réponse aux incidents bien définis.

La série récente d’incidents ne doit pas être perçue comme une fatalité, mais comme un appel à renforcer une culture de sécurité et de respect de la vie privée : en sécurisant mieux les données aujourd’hui, on protège non seulement des actifs numériques, mais aussi des personnes.

Sources : Cybermalveillance.gouv.fr ; Journal du Coin.

La CNIL a publié le 3 février 2026 une position sur les deepfakes (ou hypertrucages), afin d’aider chacun à se protéger et à signaler les contenus illicites. Le terme vient de la contraction de deux mots anglais : deep learning (« apprentissage profond ») et fake (« faux »). Un deepfake peut être un contenu audio, photo ou vidéo créé ou modifié par IA pour imiter une voix, un visage ou un mouvement avec un réalisme impressionnant.

Les conséquences possibles sont nombreuses :

• atteinte à la vie privée et usurpation d’identité, pouvant gravement porter atteinte à la réputation ;
• cyberharcèlement : humiliation, menaces ou chantage, particulièrement préjudiciables lorsqu’il s’agit de mineurs ;
• fraudes et escroqueries : ouverture de faux comptes, arnaques visant proches ou collaborateurs ;
• désinformation et manipulation de l’opinion ;
• génération de contenus haineux ou pédopornographiques.

La CNIL délivre plusieurs conseils pour se protéger : limiter la diffusion incontrôlée de son image et de ses données, privilégier des messageries privées sécurisées, et utiliser des photos de profil de profil ou de loin pour limiter les risques. Pour identifier un deepfake, elle invite à analyser les contenus (image pixélisée ou floue, mouvements des yeux non naturels, bouche déformée ou mal synchronisée, lumière et ombres anormales) et à vérifier la source.

En cas de problème, la CNIL recommande d’utiliser les outils de signalement des plateformes officielles (cyberharcèlement, contenus illicites, arnaques) et, en cas de délit ou d’atteinte à la réputation, de conserver les preuves (captures d’écran) et de porter plainte.

Source : CNIL — Hypertrucage (deepfake).

La CNIL a condamné, par une décision rendue le 22 janvier 2026, l’établissement public France Travail à une amende administrative de 5 millions d’euros, à la suite d’une fuite de données personnelles massive.

Au premier trimestre 2024, France Travail, chargé de l’accompagnement des demandeurs d’emploi, a été victime d’une cyberattaque ayant conduit à l’extraction illicite de données à très grande échelle. Les attaquants ont eu recours à des techniques d’ingénierie sociale, exploitant les failles humaines et organisationnelles du système. Le résultat fut l’usurpation de comptes de conseillers du réseau Cap Emploi, partenaires de France Travail, donnant accès à une base centralisée contenant des informations sur les personnes inscrites au moment des faits comme sur celles inscrites au cours des vingt dernières années. Après dédoublonnage, le nombre de personnes concernées a été estimé à environ 36,8 millions.

Les données compromises présentaient un degré de sensibilité élevé : identités, numéros de sécurité sociale, coordonnées électroniques et postales, numéros de téléphone. Si les dossiers complets (susceptibles de contenir des données de santé) n’ont pas été consultés, l’ampleur de la violation a placé l’incident parmi les plus graves connus dans le secteur public français.

Au cœur de la décision se trouve l’article 32 du RGPD, qui impose des mesures techniques et organisationnelles adaptées au risque. La CNIL relève que France Travail avait identifié, dans ses analyses d’impact, des mesures de sécurité pertinentes, mais qu’elles n’avaient pas été effectivement déployées ou l’avaient été de manière incomplète. Plusieurs insuffisances ont été mises en évidence : authentification des conseillers Cap Emploi insuffisamment robuste (politique de mots de passe permissive), habilitations définies trop largement (accès à des données de personnes non accompagnées), et dispositifs de journalisation et de détection des comportements anormaux insuffisants.

Pour fixer le montant, la CNIL a tenu compte de la méconnaissance de principes essentiels de sécurité, du nombre très élevé de personnes concernées, de la nature des données et du caractère public de l’organisme. La sanction est assortie d’injonctions de mise en conformité sous astreinte.

Source : CNIL — Sanction de 5 millions d’euros à l’encontre de France Travail.

Le 13 janvier 2026, la CNIL a prononcé deux sanctions administratives à l’encontre des sociétés Free Mobile et Free, respectivement de 27 millions et 15 millions d’euros, à la suite de manquements aux obligations du RGPD.

Ces décisions font suite à une violation de données personnelles majeure survenue en octobre 2024. Les contrôles ont révélé qu’un tiers non autorisé avait pu accéder aux systèmes d’information des deux sociétés, entraînant la compromission de données relatives à environ 24 millions de contrats d’abonnés. Les données concernées incluaient des données d’identification ainsi que des coordonnées bancaires de type IBAN pour les clients communs aux deux entités, caractérisant un risque élevé pour les droits et libertés des personnes.

La CNIL retient d’abord un manquement à l’obligation de sécurité (article 32). Les mesures techniques et organisationnelles ont été jugées insuffisantes : authentification des accès distants via VPN insuffisamment robuste, dispositifs de détection des accès anormaux ou malveillants inexistants ou inadaptés. L’obligation de sécurité impose une approche fondée sur le risque, et la sensibilité des données combinée au volume très élevé de personnes exigeait une protection renforcée.

Elle constate ensuite un manquement à l’obligation d’information des personnes (article 34) : les messages adressés aux abonnés après la violation ne comportaient pas l’ensemble des informations requises (description précise de la violation, conséquences potentielles, mesures de protection), privant les personnes de la possibilité d’exercer utilement leurs droits.

S’agissant spécifiquement de Free Mobile, la CNIL relève enfin un manquement au principe de limitation de la conservation (article 5, 1.e) : conservation de données d’anciens abonnés sans distinction entre ce qui relève d’obligations légales et ce qui est devenu inutile, faute de politique de purge effective.

Compte tenu de la gravité des manquements, du nombre de personnes concernées et de la sensibilité des données, la CNIL a prononcé des sanctions pécuniaires significatives, assorties d’injonctions : mise en conformité des mesures de sécurité sous trois mois et, pour Free Mobile, suppression des données conservées de manière excessive sous six mois.

Sources : CNIL — Sanction Free 2026 ; Le Monde.

Alors que l’État impose une numérisation croissante de nos vies administratives, l’hiver 2025-2026 marque un tournant inquiétant. Entre fuites massives et fragilités structurelles, une question se pose : le gouvernement a-t-il les moyens de ses ambitions numériques ?

Le « toujours plus » de la collecte de données

Jamais nous n’avons autant été sollicités pour prouver notre identité en ligne. Qu’il s’agisse de la généralisation de France Identité, des nouveaux dispositifs de contrôle d’accès aux services publics ou des exigences de KYC (Know Your Customer) dans le privé, le citoyen est devenu un producteur massif de données sensibles : passeports numérisés, IBAN, dossiers familiaux et antécédents médicaux sont la monnaie d’échange obligatoire pour accéder au moindre droit.

Un État « passoire » : le bilan noir des derniers mois

Pourtant, la protection promise vacille. Depuis novembre 2025 : OFII (2,1 millions de dossiers d’étrangers et de demandeurs d’asile), HubEE (160 000 documents administratifs exfiltrés via une plateforme censée sécuriser les échanges entre administrations), ministère de l’Intérieur (fuites de fichiers de police dues à des erreurs basiques), France Travail et Missions locales (données de 1,6 million de jeunes exposées). On demande au citoyen une rigueur absolue, tandis que les infrastructures de l’État peinent à sécuriser des fichiers critiques.

L’illusion de la sanction comme bouclier

Si la CNIL multiplie les amendes records (42 millions d’euros infligés à Free en janvier 2026), ces sanctions interviennent toujours a posteriori : elles punissent les entreprises mais ne restaurent pas la confidentialité une fois les données sur le dark web. Pour les usagers, le préjudice est irréversible — une identité numérique volée ne se « répare » pas comme un mot de passe.

Quatre leviers d’action pour les entreprises du numérique

1. Adopter la sobriété de la donnée : la donnée que vous ne possédez pas est la seule qui ne pourra jamais être volée. Réduisez votre surface d’attaque en supprimant systématiquement les données après traitement.
2. Sortir de la dépendance aux identifiants pivots : privilégiez des méthodes d’authentification décentralisées ou le Zero Trust, sans confiance « par défaut » dans un jeton externe (MFA propriétaire, clés FIDO2).
3. Transformer la transparence en avantage compétitif : mettez en place un portail de transparence en temps réel sur l’état de vos serveurs et vos audits ; l’utilisateur préfère une entreprise qui avoue une tentative d’intrusion et explique comment elle l’a contrée.
4. Investir dans le privacy-by-design plutôt que dans l’assurance : allouez vos budgets à l’architecture technique (chiffrement de bout en bout, anonymisation granulaire) plutôt qu’aux seules polices d’assurance cyber, de plus en plus restrictives.

Sources : TF1 Info ; Journal du Geek.

Par une décision rendue publique le 11 décembre 2025, la CNIL a prononcé une amende d’un million d’euros à l’encontre de Mobius Solutions Ltd, ancien sous-traitant de la plateforme de streaming Deezer, pour plusieurs manquements au RGPD. Cette décision illustre le niveau d’exigence attendu des sous-traitants, y compris après la fin de leur relation contractuelle.

Contexte et faits

L’affaire trouve son origine dans une notification de violation adressée à la CNIL par Deezer en novembre 2022, après la découverte de données d’utilisateurs diffusées sur le darknet. Les investigations ont établi que ces données provenaient des systèmes de Mobius Solutions, qui avait fourni à Deezer une solution SaaS de gestion de campagnes marketing. Bien que le contrat ait pris fin antérieurement, la société avait conservé une copie complète des données de plus de 46 millions d’utilisateurs, stockées sur un environnement de test non sécurisé partagé avec d’autres clients.

Les manquements constatés

La CNIL retient plusieurs violations. D’abord, la conservation des données après la fin du contrat, contraire à l’article 28 §3 g) qui impose au sous-traitant de supprimer ou restituer les données à l’issue de la prestation. Ensuite, le traitement de certaines données à des fins internes (amélioration de ses propres services) sans instruction de Deezer, incompatible avec le principe selon lequel le sous-traitant n’agit que pour le compte du responsable. Puis un manquement à l’obligation de sécurité (article 32), les données ayant été stockées sur un environnement de test insuffisamment protégé. Enfin, l’absence de registre des activités de traitement, pourtant exigé par l’article 30 pour les sous-traitants traitant des données à grande échelle.

Portée territoriale et enseignements

Bien que Mobius Solutions soit établie hors de l’Union, la CNIL s’est déclarée compétente sur le fondement de l’article 3 : les traitements concernaient des personnes situées dans l’Union et participaient à un suivi de leur comportement. Cette décision constitue un signal fort : les sous-traitants disposent d’une responsabilité autonome et doivent mettre en place des procédures claires de suppression en fin de contrat, un encadrement strict des environnements de test et une documentation complète. Elle rappelle aussi aux responsables de traitement l’importance de contrôler effectivement leurs sous-traitants, même après la fin de la relation.

Source : CNIL — Sanction d’un million d’euros à l’encontre de Mobius Solutions Ltd.

Des experts en cybersécurité ont découvert un nouveau virus qui menace les smartphones et les ordinateurs. Avec lui, nul besoin de cliquer sur un lien pour être infecté : il suffit de naviguer sur un site web.

Le virus repose sur des bannières publicitaires affichées sur les sites, qui identifient l’adresse IP de la victime et lui présentent des pages de réclame personnalisées. Lorsque la publicité s’affiche, le programme s’installe sur l’appareil et enregistre tous les appels et messages, mais active aussi le micro et les caméras à l’insu de la victime. D’après les éléments rapportés, « Aladdin » ne serait pas l’œuvre d’un groupe de pirates, mais d’une société spécialisée dans le cyberespionnage.

Les constructeurs comme Google et Apple ont émis des alertes et conseillé à leurs utilisateurs d’activer le mode isolement (Apple) ou la « protection avancée » (Android).

Sources : CNews ; Reuters.