Une importante fuite de données personnelles a touché environ 1 300 mairies en France. Cette violation découle d’un incident de sécurité ayant affecté les plateformes « Synbird » et « RDV360 », utilisées pour les démarches administratives — dépôt de demandes de renouvellement ou d’obtention de documents (passeport, carte d’identité) et transmission des pièces justificatives. Des communes comme La Rochelle, Clichy et Brest ont été directement affectées. Au total, des centaines de milliers de données (noms, prénoms, dates de naissance, numéros de téléphone, adresses) ont été exposées, augmentant les risques de phishing, d’usurpation d’identité et d’escroqueries ciblées.
En tant que prestataires, Synbird et RDV360 interviennent comme sous-traitants au sens du RGPD. À ce titre, ils doivent garantir des mesures de sécurité appropriées, préserver la confidentialité des données, notifier tout incident et se conformer strictement à leurs obligations contractuelles. Si la fuite résulte d’un défaut de sécurité, leur responsabilité peut être engagée, tant sur le plan contractuel qu’au regard du RGPD, aux côtés des mairies qui demeurent responsables du traitement. Les communes doivent donc s’assurer de la conformité de leurs prestataires et veiller à ce que les contrats prévoient des garanties solides.
Pour prévenir de telles fuites, plusieurs mesures s’imposent : renforcer la sécurité informatique, réaliser régulièrement des audits pour identifier et corriger les vulnérabilités, former le personnel à la gestion sécurisée des données et aux bonnes pratiques (gestion des accès, détection du phishing), sensibiliser les citoyens, et disposer d’un plan de réponse aux incidents permettant une notification rapide à la CNIL et aux personnes concernées.
Sources : Le Parisien ; Banque des Territoires.