“On perd du temps” : ce que vos collaborateurs refusent, jusqu’au jour de la violation de données

Mardi, la mairie de Chambourcy travaillait au stylo et au formulaire papier. Vendredi, Maileva, une marque de Docaposte, filiale de La Poste, confirmait le vol des noms, prénoms et adresses postales de 22 millions de personnes. Entre les deux, une plateforme de téléconsultation, un assureur touché par l’intermédiaire de son prestataire, un outil de rendez-vous médicaux et une dizaine d’autres organismes français ont rejoint la liste. Et pendant ces mêmes 96 heures, dans les organismes que j’accompagne, j’ai entendu les phrases habituelles sur la double authentification, les vieux courriels et le manque de temps.

96 heures en France, du 9 au 13 novembre 2026

Les violations de données ont quitté depuis longtemps la catégorie des accidents rares. En 2025, la CNIL a reçu 6 167 notifications, un record, en hausse de 9,5 % sur un an. Un incident sur deux relevait d’un piratage. Une quarantaine de violations touchaient des bases de plus d’un million de personnes, une dizaine de plus qu’en 2024. Et dans son rapport annuel, la CNIL relève que les violations impliquent souvent des prestataires.

Ces chiffres ne couvrent que les incidents notifiés. Ils ne disent rien de la probabilité qu’une organisation donnée soit touchée l’an prochain. La semaine qui s’achève donne pourtant une idée assez concrète du rythme.

Une partie de cette liste repose sur des revendications de pirates que les organismes n’ont pas confirmées. La prudence s’impose avant de reprendre un chiffre annoncé sur un forum. Un DPO ne peut pas pour autant attendre une confirmation publique pour évaluer la situation de son propre organisme, surtout lorsque le prestataire en cause traite ses données.

Maileva, Qwertys, Logicielnet : votre prestataire a été piraté, la notification vous revient

L’affaire Maileva concentre à elle seule une bonne partie des difficultés que rencontre un DPO. Le service, qui permet aux entreprises d’envoyer courriers et recommandés en ligne, a suspendu ses opérations le 23 septembre. Dans un document daté du 5 octobre, Docaposte indiquait qu’un pirate avait exploité une faille applicative pour accéder au système de production. Le chiffre de 22 millions de personnes a été obtenu après dédoublonnage des destinataires, tous clients confondus. Il a fallu près de deux mois pour que l’entreprise parle expressément de vol. Et personne ne sait aujourd’hui combien de ces 22 millions de personnes ont été informées.

Les 22 millions de personnes concernées sont les destinataires des courriers envoyés par plusieurs milliers d’entreprises, de bailleurs, de laboratoires ou de collectivités clientes de Maileva. Dès le 5 novembre, un réseau de laboratoires de biologie et un bailleur social du Pas-de-Calais avaient d’ailleurs prévenu des personnes concernées à cause de cet incident.

Le RGPD répartit clairement les rôles. Le sous-traitant doit informer le responsable du traitement dans les meilleurs délais après avoir pris connaissance de la violation (article 33, paragraphe 2). Le responsable du traitement évalue le risque, notifie la CNIL si nécessaire et informe les personnes lorsque le risque est élevé. Les obligations de notification et d’information restent donc à la charge du client, même lorsque la fuite se produit chez le prestataire.

La CNIL a mesuré ce que cela produit. Les attaques contre Weda et Harvest ont déclenché à elles seules plus de 11 600 notifications d’entreprises clientes, pour deux incidents. Ces notifications ne figurent même pas dans le bilan 2025.

Cette réponse résume le problème mieux que n’importe quel audit. Un organisme peut avoir un registre impeccable et ignorer qu’un service de la comptabilité, des ressources humaines ou du recouvrement envoie des courriers par une plateforme en ligne. Le jour de l’alerte, la question « sommes-nous concernés ? » peut demander deux jours de recherche.

La dernière question compte plus qu’elle n’en a l’air. Un destinataire qui reçoit un courriel de Maileva, puis un autre de son bailleur, puis un troisième de son laboratoire pour le même incident ne comprend plus rien. Les escrocs, eux, comprennent très bien : un faux message « suite à la cyberattaque » arrive généralement dans les jours qui suivent l’annonce.

Le mot de passe seul, porte d’entrée des grandes fuites

Dans près de 80 % des violations de grande ampleur constatées par la CNIL en 2024 et 2025, l’intrusion a été rendue possible par l’usurpation d’un compte protégé par un simple mot de passe. Ce chiffre devrait clore la plupart des débats sur la double authentification. Il ne les clôt pas.

Cette semaine encore, dans des organismes différents, j’ai entendu :

Certaines de ces objections sont légitimes. D’autres traduisent une mauvaise compréhension des enjeux ou une résistance au changement. Quelques-unes reviennent à refuser les responsabilités qui accompagnent l’utilisation de données personnelles.

Les utilisateurs ont un métier. Ils soignent, vendent, instruisent des dossiers, répondent à des clients. Saisir des codes à répétition et perdre plusieurs minutes pour ouvrir un outil les agace, et une politique de sécurité mal conçue finit toujours par produire des contournements. Considérer toute opposition comme de la mauvaise volonté serait injuste.

Le raisonnement déraille lorsqu’une mesure est refusée au seul motif qu’elle ajoute une contrainte. Personne ne peut obtenir à la fois une navigation sans limite, l’absence d’authentification renforcée, l’accès permanent à toutes les informations, le libre choix de ses outils et une garantie de sécurité. L’organisation doit décider du niveau de risque qu’elle accepte, réduit ou évite, et cette décision ne relève pas de la préférence de chaque utilisateur.

Le RGPD impose au responsable du traitement des mesures techniques et organisationnelles appropriées au risque. Il ne lui demande pas de supprimer toute gêne pour les équipes. Encore faut-il que la direction assume ce rôle. Le DPO conseille, alerte, contrôle et recommande ; il n’a pas vocation à imposer seul des règles que la direction refuse de porter. Une politique que la direction ne s’applique pas à elle-même, ou qu’elle laisse contourner par certains, perd sa crédibilité en quelques semaines.

« Je ne veux pas utiliser mon smartphone personnel » : une objection fondée en droit

Le second facteur d’authentification déclenche presque toujours la même réaction : les collaborateurs refusent d’installer une application professionnelle sur leur téléphone personnel. Ils ont des arguments.

Dans sa recommandation sur l’authentification multifacteur, la CNIL rappelle que l’employeur doit en principe fournir les moyens nécessaires à l’activité professionnelle. Le recours à l’équipement personnel peut être envisagé sous conditions, sans devenir une obligation systématique. La direction doit prévoir une solution pour les salariés qui n’ont pas de téléphone compatible ou qui ne veulent pas mélanger usage privé et usage professionnel.

Renoncer à la double authentification n’en découle pas. Entre imposer le smartphone personnel et abandonner la protection, il existe des applications sur téléphone professionnel, des clés matérielles, des cartes à puce, des certificats et des mécanismes d’authentification sans mot de passe. L’objectif consiste à retirer la contrainte inutile en gardant la protection.

KeoPass et les clés matérielles : sécurité et simplicité peuvent aller ensemble

La clé biométrique française KeoPass illustre cette évolution. Selon son fabricant, le dispositif associe biométrie locale, FIDO2, certificats et authentification forte, avec, selon les configurations, un contrôle des accès physiques. L’utilisateur s’authentifie avec un objet dédié au lieu de dépendre de son téléphone personnel.

Une clé compatible FIDO2 résiste bien au hameçonnage lorsqu’elle est utilisée dans un parcours FIDO2 correctement configuré. Les clés d’accès reposent sur des mécanismes cryptographiques liés au service auquel l’utilisateur se connecte : un faux site ne peut pas récupérer un code que l’utilisateur aurait saisi par erreur. Pour une messagerie Microsoft 365 compromise par un faux écran de connexion, scénario très courant, la différence est considérable.

Plusieurs vérifications restent indispensables avant un déploiement : compatibilité réelle avec chaque environnement et chaque logiciel métier, procédure de remplacement en cas de perte, conditions d’usage de la biométrie. Les fonctionnalités annoncées par un fabricant ne garantissent pas la compatibilité avec tous les outils de l’organisme. La conservation des données biométriques dans la clé elle-même est un atout pour la protection des données, sans dispenser d’examiner le cadre réglementaire applicable.

Le DPO et la direction devraient alors se demander ensemble pourquoi maintenir une authentification pénible si une solution techniquement et économiquement adaptée protège mieux et gêne moins.

« Je veux pouvoir naviguer librement » : la liberté numérique a des règles

Certains salariés considèrent que leur ordinateur professionnel doit leur ouvrir tous les sites de leur choix. Les restrictions sont vécues comme un signe de défiance.

Une simple page Internet peut pourtant servir de point d’entrée à une infection, à un vol d’identifiants ou à une fuite. Les risques dépassent largement les sites douteux : des pages légitimes sont compromises, de faux outils professionnels circulent par la publicité, et des services d’intelligence artificielle reçoivent chaque jour des documents confidentiels sans que l’utilisateur mesure ce qu’il transmet.

Bloquer Internet n’a aucun sens. Un filtrage proportionné, une protection des navigateurs, une gestion des extensions, des autorisations adaptées aux métiers et une procédure simple de déblocage offrent un équilibre raisonnable. La direction doit en revanche pouvoir affirmer qu’un poste professionnel obéit aux règles de l’organisme. Les dispositifs de contrôle supposent une information des salariés, une proportionnalité réelle et, le cas échéant, la consultation des représentants du personnel.

La messagerie, armoire d’archives sans clé

Combien de collaborateurs conservent dix ou quinze ans de courriels ? Combien gardent des dizaines de milliers de messages, avec des certificats médicaux, des pièces d’identité, des bulletins de salaire, des évaluations ou des échanges confidentiels en pièces jointes ? Beaucoup créent des dossiers, classent leurs messages et pensent avoir organisé leurs informations.

Des dossiers dans Outlook ne font pas un système d’archivage. Ils n’apportent aucune garantie sur les durées de conservation, les habilitations, la traçabilité, la sauvegarde ou la suppression.

Les conséquences apparaissent au pire moment. Un compte compromis donne potentiellement accès à des années de correspondance. Un départ rend la transmission des dossiers compliquée. Une demande d’accès oblige à fouiller des volumes considérables. Et une violation voit son périmètre gonfler en proportion de tout ce qui a été conservé sans raison. Dans les revendications de la semaine, HomeMaison illustre ce mécanisme côté client : les historiques de commandes accumulés depuis des années font partie du lot.

Pourquoi garder un document reçu par courriel il y a dix ans ?

La bonne pratique distingue la correspondance professionnelle des documents qui doivent rejoindre un environnement métier. Un contrat conservé plusieurs années va dans l’espace prévu pour les contrats. Un document médical reste dans le système habilité à l’héberger. Une pièce RH rejoint le dossier du salarié, avec ses règles d’accès et sa durée de conservation.

Un courriel peut lui-même constituer une preuve. Supprimer toutes les correspondances après extraction des pièces jointes serait une erreur. Garder indéfiniment l’ensemble des messages, sans justification ni politique de conservation, en est une autre. L’organisme devrait définir des durées par catégorie de messages et par finalité, mettre en place des règles d’archivage et de suppression, puis accompagner les utilisateurs progressivement.

Le nettoyage doit être organisé. Il ne doit ni détruire des pièces nécessaires, ni intervenir pour faire disparaître des informations après une demande d’accès, la découverte d’un incident ou l’ouverture d’un contentieux.

Lorsqu’on demande à un collaborateur de rechercher des messages dans sa boîte, la réponse est souvent : « Je n’ai pas le temps. » Le jour où cette même boîte devient le périmètre d’une violation, l’organisme doit parfois examiner plusieurs années de correspondance en quelques jours. Le temps économisé sur l’organisation des données revient alors, multiplié, et dans l’urgence.

Microsoft 365 : beaucoup croient leurs courriels sauvegardés

« On est sous Microsoft, tout est sauvegardé chez eux. » La phrase repose sur une réalité : Microsoft met en œuvre des mécanismes importants de disponibilité, de réplication et de récupération. La disponibilité d’une messagerie ne constitue pas pour autant une stratégie de sauvegarde.

Dans Exchange Online, les éléments supprimés restent en général récupérables pendant 14 jours par défaut, avec des possibilités de configuration et des mécanismes de conservation supplémentaires. Certaines politiques Microsoft Purview conservent des informations pendant des durées définies. Ces mécanismes ne forment pas automatiquement une sauvegarde indépendante permettant de restaurer librement les données à un état antérieur, et Microsoft le précise dans sa propre documentation.

Microsoft propose aussi, en 2026, Microsoft 365 Backup, un service qui protège notamment les boîtes Exchange Online, les espaces OneDrive et les sites SharePoint. Il doit être activé, configuré et payé à part. Affirmer que Microsoft n’offre aucune sauvegarde serait donc faux. La vraie question porte sur les organismes : combien ont activé une sauvegarde adaptée, vérifié son périmètre et testé une restauration ?

Une entreprise peut disposer d’une messagerie parfaitement fonctionnelle sans la capacité de restauration dont elle aurait besoin. Le DPO n’a pas à choisir seul une solution de sauvegarde. Il est en revanche dans son rôle lorsqu’il interroge le responsable informatique et la direction : quels périmètres sont sauvegardés, pendant combien de temps, qui peut restaurer, en combien de temps, que se passe-t-il après une suppression massive, les sauvegardes résistent-elles à la compromission d’un compte administrateur, à quand remonte le dernier test de restauration ? Les conditions contractuelles et les éventuels transferts de données liés à la solution retenue méritent le même examen.

Une licence Microsoft 365, même professionnelle, ne répond à aucune de ces questions. Et une sauvegarde jamais restaurée lors d’un exercice reste une hypothèse.

« Chercher dans mes courriels ? Je n’ai pas le temps. » Le droit d’accès n’attend pas

Une demande d’accès révèle souvent des failles d’organisation que les audits classiques n’avaient pas fait apparaître. Un salarié, un ancien salarié, un client ou un usager demande une copie des données le concernant. Le DPO identifie les services susceptibles de détenir des informations et sollicite leur aide. Les réponses arrivent vite.

Dans certains cas, un seul collaborateur détient plusieurs dizaines de milliers de courriels, et personne ne sait lesquels concernent le demandeur. La demande devient un travail de fouille.

L’article 15 du RGPD ne prévoit aucune exception liée à la charge de travail des équipes. L’organisme répond dans les meilleurs délais et, en principe, dans un délai d’un mois. Une prolongation de deux mois est possible lorsque la complexité ou le nombre des demandes le justifie, à condition d’en informer le demandeur dans le premier mois. Pour certains dossiers médicaux, le droit français prévoit des délais spécifiques plus courts.

La réponse suppose de déterminer les données concernées, de les rechercher, de séparer ce qui est communicable de ce qui ne l’est pas, de protéger les droits des tiers et de préparer une restitution compréhensible. Transmettre une boîte de messagerie entière serait aussi fautif qu’écarter par principe tous les échanges internes au motif qu’ils seraient sensibles ou utiles dans un contentieux. Les droits des tiers, le secret des correspondances et certains secrets protégés peuvent justifier des limitations, à condition de les apprécier au cas par cas et de pouvoir justifier chaque refus.

Le DPO ne peut pas faire seul le travail de toute l’organisation

Organiser les moyens de répondre revient au responsable du traitement. Les ressources humaines doivent pouvoir retrouver les informations RH, le service informatique doit disposer de capacités d’extraction, les responsables métier doivent identifier les dossiers de leur activité. Le DPO accompagne, conseille sur le périmètre, surveille les délais et coordonne. Il ne devrait pas devenir la seule personne chargée de retrouver tout ce que l’organisme détient.

Une direction qui exige le respect du RGPD sans dégager le temps nécessaire organise elle-même le non-respect de ses obligations. Une procédure écrite ne suffit pas : il faut des responsables nommés, des habilitations adaptées, des délais internes plus courts que les délais réglementaires et une escalade prévue quand les informations n’arrivent pas.

Le collaborateur qui fixe ses propres règles de sécurité

Toutes les résistances ne viennent pas d’un manque de formation. Dans certaines structures, des collaborateurs expérimentés, avec une forte personnalité ou une position importante, contestent systématiquement les règles qui dérangent leur manière de travailler. Ils refusent la nouvelle authentification, rejettent les restrictions, utilisent des outils non autorisés ou estiment que certaines procédures ne les concernent pas. Leur valeur professionnelle pousse l’encadrement à tolérer ces écarts, et l’organisme finit par appliquer deux politiques de sécurité : une pour les autres, une pour eux.

La situation est dangereuse. Un risque ne disparaît pas parce que la personne est compétente, ancienne ou difficile à convaincre.

Transformer la sécurité en conflit personnel serait une autre erreur. Le DPO n’est ni le supérieur hiérarchique du collaborateur ni l’autorité disciplinaire. Son rôle consiste à objectiver les risques, proposer des mesures adaptées et porter les difficultés au bon niveau de décision. La méthode qui fonctionne examine chaque objection, distingue la vraie difficulté de travail du refus injustifié, puis propose une solution proportionnée. Si l’authentification prend trop de temps, on étudie une méthode plus simple. Lorsqu’une restriction bloque une activité légitime, une procédure de dérogation règle le problème. Et le collaborateur chargé de fouiller des milliers de messages doit recevoir des moyens et du temps.

Une fois la difficulté examinée, les moyens fournis et la mesure confirmée, la règle s’applique, personnalité forte ou non. La direction doit soutenir cette position, faute de quoi le DPO passera plus de temps à négocier des mesures élémentaires qu’à améliorer la protection des données.

Le jour de la violation, les mêmes collaborateurs deviennent indispensables

Un salarié clique sur un lien frauduleux et saisit ses identifiants. Un tiers ouvre sa messagerie. L’organisme doit savoir immédiatement si des messages ont été consultés ou téléchargés, si des règles de transfert ont été créées, si d’autres comptes sont touchés. Si la boîte contient quinze ans de correspondance et des milliers de pièces jointes, l’évaluation du risque devient un chantier.

Il faut recueillir les explications du titulaire du compte, consulter les journaux, vérifier les opérations effectuées, identifier les données personnelles exposées. Le collaborateur peut être en congé, en déplacement ou peu disposé à revenir sur ses habitudes. Le service informatique peut ne pas avoir conservé les journaux assez longtemps. La direction peut découvrir que personne ne connaît les règles de sauvegarde. Les équipes métier peuvent ignorer ce que contenait la messagerie. L’incident technique tourne à la crise d’organisation.

La mairie de Chambourcy a fait cette semaine le choix le plus prudent : couper le réseau, basculer sur papier, porter plainte, informer la CNIL. Ce choix suppose que quelqu’un ait l’autorité de le prendre un week-end, et que les agents sachent travailler sans leurs logiciels le lundi matin.

L’article 33 du RGPD impose au responsable du traitement de notifier à la CNIL, dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance, toute violation susceptible d’engendrer un risque pour les droits et libertés des personnes. Toutes les violations doivent être documentées. Lorsque le risque est élevé, les personnes concernées doivent être informées, sauf exception. Ce délai de 72 heures ne laisse aucune place à l’attente. Une notification initiale peut partir sans connaître tous les détails ; elle se complète ensuite.

Une organisation ne peut pas découvrir ses responsabilités pendant la crise

Un plan de réponse aux incidents précise à l’avance qui décide de bloquer un compte, qui examine les journaux, qui contacte les prestataires, qui évalue les conséquences, qui prépare les notifications et qui assure la continuité. Il prévoit les absences, les congés, les week-ends et les responsables injoignables. Si tout repose sur un seul administrateur, la préparation est insuffisante. Le meilleur test consiste à simuler une violation pendant que plusieurs personnes clés sont indisponibles. Une procédure que personne ne sait appliquer sans son rédacteur reste théorique.

Ce que l’IA peut faire, et ce qu’elle ne fera pas à votre place

« Il faudrait une IA qui fasse tout ça. » La demande a du sens. Une grande partie des difficultés décrites vient de tâches longues et répétitives : rechercher des documents, classer, repérer des doublons, examiner des messages, tenir des tableaux de suivi. Des outils d’IA peuvent, dans certaines conditions, accélérer ce travail. Il faut séparer les usages réels des promesses commerciales invérifiables.

Associé à des outils de recherche adaptés, un système d’IA peut aider à repérer les messages et pièces jointes qui concernent une personne, regrouper les échanges liés et préparer un premier inventaire pour une demande d’accès. Il peut signaler les éléments à examiner avec attention : données de santé, informations sur des tiers, correspondances potentiellement protégées. Une IA peut aussi manquer des documents, confondre deux homonymes ou proposer une qualification erronée. La validation humaine reste obligatoire avant toute communication de données.

Pour la gestion des messageries, l’IA peut identifier des catégories de pièces jointes, proposer leur rangement dans des espaces métier ou signaler des contenus anciens relevant d’une politique de conservation. La décision de supprimer ne doit jamais être laissée à un algorithme sans règles précises ni contrôle : une suppression automatique mal réglée détruit des preuves. L’analyse des boîtes ne doit pas non plus glisser vers une surveillance généralisée des salariés.

Lors d’une violation, un outil d’IA peut aider à rapprocher des journaux, repérer des activités inhabituelles, consolider la chronologie et préparer le dossier de notification. La qualification de la violation, l’évaluation du risque et la décision de notifier restent entre les mains des personnes compétentes.

Les organismes pressés tombent parfois dans une contradiction : vouloir protéger des données personnelles et, pour les retrouver plus vite, les confier sans précaution à n’importe quel service d’IA. Avant tout déploiement, il faut examiner l’hébergement, la confidentialité, les accès du fournisseur, les transferts hors de l’Espace économique européen, l’utilisation éventuelle des contenus pour l’entraînement, les durées de conservation et l’effacement, puis limiter les documents accessibles à l’outil. Un assistant connecté à toutes les messageries sans gestion stricte des habilitations crée une nouvelle source de violation.

L’accumulation des petites dérogations

Peu d’organismes décident de négliger la sécurité. La situation se dégrade par petites touches. Une exception pour faciliter le travail d’un collaborateur. Un ancien logiciel conservé. Un compte resté actif après un départ. Une sauvegarde reportée. Une application adoptée sans validation. Des documents laissés dans une messagerie faute d’espace de classement. Chaque décision paraît secondaire ; ensemble, elles produisent un système d’information dont plus personne ne maîtrise les accès, les données et les dépendances.

L’affaire des réfrigérateurs de supermarchés en offre une version spectaculaire. Quel que soit l’attaquant, et Paris désigne cette semaine les Gardiens de la révolution iraniens, l’ANSSI avait constaté que ses recommandations n’étaient pas systématiquement appliquées et relevé des défauts de sécurisation élémentaire. Un service d’État a exploité des négligences ordinaires.

Le shadow IT, ces outils utilisés sans validation des responsables compétents, suit la même pente. L’IA générative l’accélère : un collaborateur peut verser un document confidentiel dans un service externe, brancher un assistant sur sa messagerie ou automatiser un transfert d’informations sans avoir le sentiment d’installer quoi que ce soit. Le DPO doit regarder les pratiques réelles autant que l’inventaire officiel, avec les équipes informatiques, les achats, les responsables métier et les utilisateurs eux-mêmes.

Former reste nécessaire, vérifier devient indispensable

Un collaborateur formé au hameçonnage peut encore envoyer un fichier au mauvais destinataire. Un responsable qui connaît le RGPD peut ignorer une sollicitation du DPO. Un administrateur convaincu de l’importance des sauvegardes peut n’avoir jamais testé une restauration. La sensibilisation doit s’accompagner de règles appliquées, de moyens techniques et de contrôles.

Chaque erreur humaine ne relève pas de la faute individuelle. Une interface confuse, une surcharge de travail, des procédures contradictoires ou l’absence d’outils favorisent les incidents. Des erreurs d’envoi répétées doivent conduire à examiner la sélection des destinataires, la configuration de la messagerie et les outils de partage. Un refus récurrent de contribuer aux demandes d’accès doit conduire à regarder les ressources et la répartition des tâches. L’objectif consiste à supprimer les causes prévisibles des incidents, sans chercher systématiquement un coupable.

Exercices : tester avant de subir

« Sommes-nous conformes au RGPD ? » La question est trop large pour mesurer la capacité d’un organisme à traverser un incident. Une direction obtiendra des réponses plus utiles en demandant une démonstration à son DPO, à son RSSI et à ses responsables informatiques.

Une réponse positive sur le papier ne prouve rien. Seul un exercice le montre.

L’actualité de la semaine fournit un scénario prêt à l’emploi : « Notre prestataire d’envoi de courriers nous informe qu’il a été piraté et que nos destinataires figurent dans le périmètre. » Les équipes doivent retrouver le contrat, identifier les envois et les catégories de données, obtenir les informations du prestataire, évaluer le risque, décider de notifier ou non dans les 72 heures et préparer l’information des personnes. Un second scénario classique part d’un compte Microsoft 365 compromis avec des connexions suspectes : isoler le compte, consulter les journaux, mesurer le contenu de la boîte, décider.

Un exercice de droit d’accès complète utilement le dispositif. Un ancien collaborateur demande ses données : qui les détient, comment les rechercher, comment protéger les tiers, comment répondre dans le délai ? On découvre souvent qu’un logiciel ne permet aucune extraction simple, que certaines informations n’existent que dans des courriels, ou que plusieurs responsables ignorent leur rôle. La préparation sert précisément à trouver ces faiblesses avant qu’elles ne deviennent des urgences.

Pour le DPO : préparer le prochain incident plutôt que subir le précédent

Un DPO ne peut pas empêcher seul un piratage, une erreur humaine ou une faille chez un sous-traitant. Il peut transformer la préparation de l’organisme, à commencer par un registre des traitements plus opérationnel. Au-delà des finalités, des bases légales et des catégories de données, il devient utile de savoir quels logiciels hébergent les informations, quels prestataires interviennent, quels métiers disposent des accès, où se trouvent les sauvegardes et qui peut participer à une recherche. Avec ce registre, la question « sommes-nous concernés par Maileva ? » trouve sa réponse en dix minutes.

Les durées de conservation prennent aussi une autre dimension. Une donnée gardée inutilement aggrave les conséquences d’une violation ; une donnée supprimée trop tôt peut empêcher l’organisme de respecter ses obligations ou de se défendre. Gestion documentaire, sécurité et droits des personnes avancent ensemble.

Le DPO doit enfin garder la trace de ses recommandations, des risques signalés, des décisions prises et des refus éventuels, pour permettre des arbitrages éclairés et suivre les mesures correctrices. Une recommandation sans responsable, sans échéance et sans suivi reste une observation.

Cette traçabilité est au cœur de DPO SUITE : registre des traitements relié aux logiciels et aux sous-traitants, registre des violations avec calcul des échéances de notification, suivi des demandes de droits et de leurs délais, plan d’actions avec responsables et dates. Le jour où un prestataire annonce un incident, l’outil indique quels traitements il touche et combien de temps il reste.

Le prochain organisme concerné pourrait être le nôtre

Après chaque violation, le DPO voit ce qui aurait pu l’empêcher ou en limiter les effets : journaux manquants, données gardées sans raison, procédures jamais appliquées, sauvegardes insuffisantes, responsables injoignables. Puis il retourne à ses autres dossiers. Le risque consiste à traiter chaque incident comme la malchance d’un autre, alors que les mêmes fragilités, les mêmes objections et les mêmes décisions repoussées existent partout.

Chaque violation et chaque demande d’accès difficile peut servir d’exercice pour tous les organismes accompagnés. Si l’affaire Maileva touchait demain un autre client, saurait-il répondre en 72 heures ? Ses collaborateurs participeraient-ils aux recherches ? Ses sauvegardes fonctionneraient-elles ? Sa direction prendrait-elle les décisions nécessaires un vendredi soir ?

Les 6 167 notifications de 2025 ne prouvent pas que chaque entreprise subira un incident grave. Les 96 heures qui viennent de s’écouler rendent simplement intenable l’idée que cela n’arrive qu’aux autres. La sécurité peut être proportionnée, compréhensible, financée et intégrée aux pratiques. Les clés d’authentification modernes, les sauvegardes testées, les politiques de conservation et l’IA bien encadrée y aident, à condition de les mettre en place.

Le jour où une violation survient, plus personne ne se plaint des quelques secondes perdues à cause de la double authentification. Les collaborateurs veulent savoir si leurs informations ont fuité, si les données pourront être récupérées et si quelqu’un tient la barre. Chaque organisme devra alors assumer les mesures qu’il a choisi de ne pas prendre.

Sources et références

• CNIL, Rapport annuel 2025, publié le 18 mai 2026 : 6 167 notifications, part du piratage, rôle des prestataires.
• Banque des Territoires, La CNIL somme les collectivités de respecter les règles de base de l’hygiène informatique : usurpation de comptes protégés par simple mot de passe.
• CNIL, Recommandation relative à l’authentification multifacteur : équipements personnels et mesures alternatives.
• CNIL, Le droit d’accès des salariés à leurs données et aux courriels professionnels.
• CNIL, Violations de données personnelles : les règles à suivre.
• CNIL, Guide de la sécurité des données personnelles, édition 2024.
• Cyberattaque.org, Docaposte confirme le vol des adresses de 22 millions de Français, 13 novembre 2026.
• FrenchBreaches, Maileva : 22 millions de personnes touchées : faille applicative, document Docaposte du 5 octobre.
• Infos Yvelines, Cyberattaque à Chambourcy, 10 novembre 2026.
• i24NEWS, Cyberattaque visant 700 sites en France : Paris menace l’Iran de représailles.
• FrenchBreaches et Fuites Infos : Qare, Macif Avantages, 1001RDV, HomeMaison, La Rez, UFOLEP, LaSante.net.
• Microsoft Learn, Sauvegarde des courriels dans Exchange Online et Présentation de Microsoft 365 Backup.
• Microsoft Learn, Méthodes d’authentification FIDO2 et clés d’accès.
• KeoPass, présentation officielle de la clé biométrique : fonctionnalités annoncées par le fabricant.

Questions fréquentes