Le 29 octobre 2026, L’Informé a révélé que la CNIL allait contrôler l’Agence nationale des titres sécurisés, devenue France Titres. L’agence avait subi le 15 avril 2026 une cyberattaque sur son portail ants.gouv.fr. Le ministère de l’Intérieur indiquait alors que l’incident pourrait concerner 11,7 millions de comptes de particuliers et de professionnels. Ce contrôle CNIL après une violation n’a rien d’exceptionnel dans son principe : la CNIL contrôle régulièrement des organismes à la suite d’incidents notifiés ou rendus publics. Ce qu’elle va regarder chez France Titres, elle le regarderait chez n’importe quel responsable de traitement.
Ce que l’on sait de l’incident
D’après les informations publiées par le ministère et reprises par la presse en avril, les données exposées concernaient notamment l’identifiant de connexion, la civilité, le nom, les prénoms, l’adresse électronique, la date de naissance et l’identifiant unique du compte, avec selon les cas l’adresse postale, le lieu de naissance et le numéro de téléphone. Le ministère précisait que les pièces justificatives transmises à l’agence n’étaient pas concernées et que les données dérobées ne permettaient pas de se connecter aux comptes. La CNIL et le parquet de Paris ont été saisis, et les usagers concernés ont été informés par courriel. L’agence a publié un communiqué sur son site, invitant à la prudence face aux messages frauduleux se réclamant d’elle.
Le volume et la nature des données font de cet incident une base idéale pour des campagnes d’hameçonnage ciblées : un message qui cite le nom, la date de naissance et une démarche de titre réelle inspire confiance.
Ce qu’examine un contrôle CNIL après une violation
Le contrôle ne se limite pas à l’incident. Les agents de la CNIL cherchent à comprendre comment la violation a été possible, comment elle a été gérée, et si l’organisme respectait ses obligations avant qu’elle ne survienne.
La sécurité avant l’incident
L’article 32 du RGPD impose des mesures adaptées au risque. Les contrôleurs demandent généralement la politique de sécurité, la gestion des habilitations, l’authentification des comptes à privilèges, la journalisation et sa surveillance, les audits et tests d’intrusion récents, et le suivi des vulnérabilités signalées. Les sanctions prononcées ces dernières années montrent que l’absence de mesures élémentaires, comme une authentification forte sur des accès sensibles ou la surveillance des extractions massives, pèse lourd.
La gestion de la violation
L’article 33 impose de notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque. L’article 34 impose d’informer les personnes lorsque le risque est élevé. Le contrôle vérifie les dates : détection, qualification, notification initiale, compléments, information des personnes. Un délai inexpliqué entre la détection et la notification sera examiné.
La documentation de l’article 33, paragraphe 5
Le responsable doit documenter toute violation, notifiée ou non : les faits, leurs effets et les mesures prises pour y remédier. Cette documentation doit permettre à la CNIL de vérifier le respect de l’article 33. Un organisme qui ne tient pas de registre des violations, ou qui ne peut pas reconstituer la chronologie, se trouve en difficulté dès la première demande.
Les sous-traitants
Si un prestataire hébergeait ou développait le portail, le contrôle porte aussi sur le contrat prévu par l’article 28, les obligations de sécurité qu’il contient, le délai d’alerte du sous-traitant et les audits réalisés. La CNIL peut contrôler et sanctionner directement le sous-traitant.
Comment préparer l’organisme à ce contrôle
Tout se joue avant l’incident. Le jour où les contrôleurs se présentent, sur place ou par questionnaire, il est trop tard pour produire des documents qui n’existent pas.
- Tenir un registre des violations à jour, y compris pour les incidents mineurs non notifiés, avec la justification de la décision de ne pas notifier.
- Disposer d’une procédure écrite de gestion des violations : qui détecte, qui qualifie, qui décide de la notification, qui rédige l’information des personnes.
- Horodater chaque étape de la gestion d’un incident et conserver les échanges avec les prestataires, l’ANSSI le cas échéant, les forces de l’ordre.
- Conserver les preuves des mesures de sécurité : rapports d’audit, plans d’action et leur avancement, revues d’habilitations.
- Vérifier que les contrats de sous-traitance fixent un délai d’alerte compatible avec les 72 heures.
- Désigner un interlocuteur pour le contrôle et rassembler à l’avance le registre des traitements, les analyses d’impact et la documentation de sécurité.
Le procès-verbal de contrôle est communiqué à l’organisme, qui peut présenter des observations. La suite dépend des constats : clôture, mise en demeure ou procédure de sanction.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans la gestion des violations de données et la préparation des contrôles CNIL, de la qualification de l’incident à la réponse aux contrôleurs. DPO SUITE tient le registre des violations avec leur chronologie, calcule les délais de notification et conserve les preuves de sécurité et les contrats de sous-traitance.
