Le 6 octobre 2026, la CNIL a publié une mise en garde contre les sites qui agrègent des données issues de fuites et les rendent consultables par nom, parfois contre paiement. Elle les juge contraires au droit, dit recevoir de nombreuses plaintes et dénonce chaque site identifié au parquet spécialisé en cybercriminalité, selon le compte rendu publié par 01net le 8 octobre. Pour un organisme dont un fichier a fuité, ces sites de fuites de données changent la nature du risque : des informations volées une fois restent accessibles à n’importe qui, longtemps après l’incident.
Ce que la CNIL reproche à ces moteurs de recherche
Pour l’autorité, « en l’état actuel du droit, ces services n’apparaissent pas conformes à la législation ». Elle rappelle que leurs exploitants peuvent être les auteurs mêmes du vol. Un particulier qui y tape son nom confirme alors que la fiche est juste, ce qui lui donne de la valeur. La CNIL dit solliciter éditeurs et hébergeurs, avec peu de réponses, d’où la voie pénale. Le 5 octobre, la ministre déléguée au Numérique a de son côté saisi la procureure de Paris au sujet d’un autre moteur qui revendique plus de 11 milliards d’enregistrements.
La CNIL admet pourtant que ces services répondent à un besoin, des particuliers comme des entreprises : savoir ce qui a fui et ce qui circule encore. Elle réfléchit aux conditions et garanties qui permettraient de proposer une vérification dans un cadre légal, auprès d’acteurs légitimes. Aucun calendrier n’est annoncé.
Le contexte chiffré explique cette inquiétude. La CNIL a reçu 6 167 notifications de violations en 2025, un record en hausse de près de 10 % sur un an, et déjà 2 730 sur les trois premiers mois de 2026. Elle consacre cette année la moitié de ses contrôles à la cybersécurité.
Vos fichiers sur des sites de fuites de données : les conséquences pour l’organisme
Une violation se gère d’ordinaire comme un événement daté : on la détecte, on la qualifie, on notifie, on corrige. L’indexation par ces sites prolonge l’exposition. Les personnes concernées peuvent subir des tentatives d’hameçonnage ciblées des mois plus tard, avec des messages qui citent leur adresse, leur IBAN ou le nom de l’organisme. Et un fichier ancien, jamais repéré, peut réapparaître agrégé avec d’autres fuites.
L’organisme peut avoir déjà notifié la violation et retrouver ses données sur un tel site. Il peut aussi découvrir la fuite par ce biais, sans incident connu, ou recevoir les appels de personnes qui ont vu leurs informations associées à son nom.
Si l’incident est déjà connu et notifié
- Compléter la notification à la CNIL : la diffusion publique des données est un fait nouveau qui alourdit l’évaluation du risque.
- Réévaluer l’information des personnes au titre de l’article 34. Un risque jugé modéré au départ peut devenir élevé quand les données sont consultables par tous.
- Mettre à jour le registre des violations et le plan d’action.
Si l’organisme découvre la fuite sur un de ces sites
- Traiter l’information comme la constatation d’une violation : le délai de 72 heures court à partir du moment où l’organisme en a connaissance.
- Ne pas acheter l’accès ni payer une « suppression » de fiche. La CNIL demande de ne rien payer et de ne rien saisir sur ces sites.
- Faire constater ce qui est visible par une voie qui ne finance pas le site, avec l’appui du prestataire de sécurité et, si besoin, d’un commissaire de justice.
- Chercher l’origine : base exposée, compte compromis, sous-traitant. Les champs présents dans la fiche orientent souvent vers l’application en cause.
- Déposer plainte : la qualification pénale ouvre l’enquête et alimente les signalements déjà transmis au parquet.
Si des personnes vous interrogent
- Préparer une réponse type validée par le DPO : ce que l’organisme sait, ce qu’il a fait, ce qu’il conseille.
- Renvoyer vers le dépliant de la CNIL et de Cybermalveillance.gouv.fr sur les réflexes après une fuite.
- Rappeler que l’organisme ne demandera jamais de mot de passe ni de coordonnées bancaires par courriel ou par téléphone.
Réduire ce qui peut se retrouver indexé
Ces sites prospèrent sur des fichiers trop complets et gardés trop longtemps. Dans les SPST, les collectivités et les établissements de santé que j’accompagne, la revue des durées de conservation et des extractions reste le levier le plus simple : les vieux exports Excel sur un partage réseau, les sauvegardes d’une ancienne application, les fichiers envoyés à un prestataire sans date de destruction. Un fichier purgé ne pourra pas nourrir une fiche agrégée. Côté sécurité, le multifacteur sur les comptes qui accèdent aux bases et une surveillance des exports massifs ferment les voies d’extraction les plus fréquentes.
La page de la CNIL sur la notification des violations rappelle que tout incident se documente en interne, même lorsqu’il n’est pas notifié. Une fuite retrouvée sur un site de recherche n’échappe pas à cette règle.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans la qualification d’une fuite, la notification à la CNIL et la réponse aux personnes concernées. Le logiciel DPO SUITE conserve le registre des violations, les durées de conservation par traitement et la liste des sous-traitants, ce qui aide à remonter vite à l’origine d’un fichier exposé.
