Le baromètre InCyber des fuites de données personnelles compte 8 613 violations notifiées à la Commission nationale de l’informatique et des libertés (CNIL) en un an, soit 45 % de plus que l’année précédente. Ses auteurs le publient avec l’association Hexatrust et la CNIL, au moment où le Forum InCyber Europe, anciennement Forum international de la cybersécurité (FIC), ouvre ses portes à Lille Grand Palais, du 31 mars au 2 avril 2026.
Le thème de l’édition, « Maîtriser nos dépendances numériques », tombe juste. En effet, le baromètre décrit des fuites passées par des prestataires.
Ce que mesure le baromètre InCyber 2026
Le chiffre de 8 613 correspond à 24 fuites déclarées chaque jour à la CNIL. Une question écrite déposée à l’Assemblée nationale situe ces notifications entre septembre 2024 et septembre 2025. Quant au nombre de personnes touchées, il passe de 8 millions à 12,2 millions, soit une hausse de 53 %.
| Indicateur | Année précédente | Baromètre 2026 | Évolution |
|---|---|---|---|
| Violations notifiées | non précisé | 8 613 | +45 % |
| Fuites malveillantes | 3 649 | 5 841 | +60 % |
| Fuites accidentelles | non précisé | 1 655 | près de +39 % |
| Personnes touchées | 8 millions | 12,2 millions | +53 % |
| Finance et assurance | non précisé | 2 153 structures | +143 % |
Ne confondez pas ce chiffre avec le bilan officiel de la CNIL. Sur l’année civile 2025, la CNIL annonce 6 167 violations notifiées, en hausse de 10 % par rapport à 2024. En effet, les deux sources ne couvrent pas la même période. En pratique, citez la CNIL pour un chiffre officiel, et le baromètre pour la tendance.
D’abord, les fuites malveillantes dominent : 5 841, contre 3 649 l’année précédente. Le baromètre relie cette hausse à la généralisation de l’hameçonnage, des logiciels voleurs d’identifiants (infostealers) et du vol d’identifiants.
Ensuite, le secteur des activités financières et d’assurance devient le plus touché, avec 2 153 structures concernées, alors que l’administration publique occupait cette place l’année précédente.
Des fuites qui passent par les prestataires
Le baromètre résume l’année en une phrase : les brèches ont touché « le secteur de la santé via des prestataires de tiers payant, des opérateurs télécom, des administrations publiques déjà fragilisées et même des dispositifs d’aide sportive gérés par l’État ». Autrement dit, un prestataire compromis expose les données de tous ses clients d’un coup.
Or, le RGPD encadre déjà ce risque. L’article 28 impose un contrat de sous-traitance qui fixe les mesures de sécurité et l’aide attendue du prestataire en cas de violation. L’article 33 impose ensuite de notifier la CNIL dans les 72 heures après la prise de connaissance, et l’article 34 d’informer les personnes quand le risque est élevé. Notre analyse d’une violation chez un sous-traitant de la Région Hauts-de-France montre comment ce délai se joue quand l’incident survient chez le prestataire.
La CNIL au Forum InCyber 2026
Sur place, la CNIL tient le stand D3 pour répondre aux questions du public et des professionnels. De plus, sa présidente, Mme Marie-Laure Denis, intervient lors du sommet d’ouverture le 31 mars. Pour vos questions sur une notification ou un contrat de sous-traitance, ce stand offre donc un interlocuteur direct pendant trois jours.
Ce que le baromètre InCyber change pour votre organisme
Le baromètre confirme une pratique de terrain : le maillon faible se trouve souvent hors de vos murs. Commencez donc par la liste de vos prestataires qui accèdent à des données personnelles. Vérifiez ensuite que chaque contrat prévoit un délai d’alerte en cas d’incident, plus court que vos 72 heures.
Mettez à jour votre procédure de gestion des violations avec un scénario de compromission d’un prestataire, puis testez-la au moins une fois par an. DPO Suite, l’application de conformité de DPO PARTAGE, relie par exemple le registre des violations à celui des sous-traitants. Enfin, formez vos équipes à l’hameçonnage, premier moteur des fuites malveillantes selon le baromètre. Notre article sur la sécurité des fournisseurs, SaaS et IA détaille les questions à poser à vos prestataires.
Sources
La CNIL annonce sa présence et son bilan 2025 dans La CNIL sera présente au Forum InCyber (FIC) du 31 mars au 2 avril 2026.
Maire-info détaille les chiffres du baromètre dans L’inquiétant « boom » des violations de données personnelles.
La période retenue, de septembre 2024 à septembre 2025, figure dans le texte de la question écrite n° 14767 de l’Assemblée nationale.
Le programme et le thème de l’édition figurent sur le site du Forum InCyber Europe.
Questions fréquentes
Combien de violations de données ont été notifiées à la CNIL en 2025 ?
La CNIL annonce 6 167 violations de données notifiées en 2025, soit 10 % de plus qu’en 2024.
Le baromètre InCyber avance 8 613 notifications sur une période de douze mois différente, de septembre 2024 à septembre 2025 selon une question écrite à l’Assemblée nationale.
Qu’est-ce que le baromètre InCyber des fuites de données ?
Le baromètre InCyber est une étude sur les fuites de données personnelles en France, publiée par le Forum InCyber avec l’association Hexatrust et la CNIL.
Il compte ainsi les violations notifiées, les personnes touchées et les secteurs les plus exposés.
Quel secteur subit le plus de fuites de données en France ?
Selon le baromètre InCyber 2026, le secteur des activités financières et d’assurance arrive en tête, avec 2 153 structures concernées.
En revanche, l’administration publique occupait cette première place l’année précédente.
Quand se tient le Forum InCyber 2026 ?
Le Forum InCyber Europe 2026 se tient du 31 mars au 2 avril 2026 à Lille Grand Palais.
De plus, son thème est « Maîtriser nos dépendances numériques ». La CNIL y tient le stand D3.
Que faire si un prestataire subit une violation de vos données ?
Exigez de votre prestataire une information immédiate, puis évaluez le risque pour décider d’une notification à la CNIL dans les 72 heures après en avoir eu connaissance.
En effet, l’article 28 du RGPD oblige le sous-traitant à vous aider à respecter cette obligation. Votre contrat doit donc fixer le délai et le contenu de son alerte.
