Veille & Analyse 

Cybersécurité et piratage

Les fuites de données personnelles sont généralement présentées séparément. Un organisme annonce qu’un nom, une adresse, un numéro de téléphone ou certaines informations administratives ont été compromis. Quelques mois plus tard, une autre fuite concerne d’autres données, détenues par un autre organisme. Pris isolément, chaque incident peut sembler ne révéler qu’une partie limitée de notre identité.

Mais que se passe-t-il lorsqu’une même personne est présente dans plusieurs de ces fichiers et que les informations issues de différentes fuites peuvent être rapprochées ?

C’est la question examinée ici.

Cette page ne cherche ni à désigner un responsable unique, ni à proposer une solution technique. Elle rassemble des informations publiques, les met en perspective et s’intéresse à un risque particulier : celui du recoupement progressif de données provenant de fuites distinctes, susceptible de reconstituer un profil beaucoup plus complet d’une même personne.

Des fuites massives, examinées séparément

France Travail — jusqu’à 43 millions de personnes

En mars 2024, France Travail a annoncé une fuite susceptible de concerner 43 millions de personnes, inscrites actuellement ou au cours des vingt années précédentes, ainsi que des titulaires d’un espace candidat.

Les données accessibles comprenaient notamment : nom, prénom, numéro de Sécurité sociale, adresse postale, adresse mail et numéro de téléphone.

Viamedis / Almerys — plus de 33 millions de personnes

Quelques semaines auparavant, les opérateurs de tiers payant Viamedis et Almerys avaient subi une violation concernant plus de 33 millions de personnes.

Les données compromises comprenaient notamment : état civil, date de naissance, numéro de Sécurité sociale, assureur santé et garanties du contrat.

La CNIL indiquait déjà que ces informations pouvaient être croisées avec des données provenant d’autres fuites.

Free — 24 millions de contrats

En octobre 2024, une attaque contre Free et Free Mobile a permis l’accès aux données correspondant à 24 millions de contrats. Pour certaines personnes, les informations compromises comprenaient également leur IBAN.

Ce que ces chiffres montrent déjà

43 millions ici. Plus de 33 millions là. 24 millions ailleurs.

Ces populations ne sont évidemment pas distinctes. Une même personne peut être présente dans plusieurs de ces bases.

Le problème n’est donc plus seulement ce qui a fuité chez chaque organisme. Il devient ce que plusieurs fuites peuvent révéler lorsqu’elles concernent la même personne.

Une échelle déjà considérable

La France compte environ 69,1 millions d’habitants au 1er janvier 2026.

À elle seule, la fuite France Travail était susceptible de concerner jusqu’à 43 millions de personnes. Celle de Viamedis/Almerys, plus de 33 millions. Celle de Free, des données liées à 24 millions de contrats.

Ces chiffres ne s’additionnent pas. Ils montrent au contraire l’importance du chevauchement potentiel entre des populations concernées par plusieurs fuites.

Même Bercy n’est pas à l’abri

En juin et juillet 2026, le système d’information de la Direction générale des Finances publiques (DGFiP) a lui aussi fait l’objet d’accès illégitimes et de vols de données. Selon le ministère de l’Économie et des Finances, ces intrusions ont notamment reposé sur l’usurpation des identifiants d’un agent de la DGFiP et d’un tiers habilité.

Les investigations ont établi que des données concernant 678 000 particuliers et professionnels avaient été consultées ou extraites. Elles comprenaient notamment des identifiants fiscaux, des données d’état civil et de contact, certaines informations fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source, ainsi que des données cadastrales. Les espaces personnels, identifiants et mots de passe des contribuables n’ont, selon la DGFiP, pas été compromis.

L’exemple est particulièrement révélateur : même une administration chargée de données fiscales particulièrement sensibles, disposant de moyens importants et soumise à de fortes exigences de sécurité, ne peut garantir un risque zéro. Mais il soulève aussi une autre question : celle de la responsabilité des organismes qui collectent et conservent ces informations.

Une intrusion informatique ne suffit pas, à elle seule, à démontrer une faute de l’organisme qui en est victime. En revanche, le RGPD impose aux responsables de traitement des obligations qui existent avant même qu’une attaque ne survienne : ne collecter que les données nécessaires, limiter leur durée de conservation et mettre en œuvre des mesures de sécurité adaptées aux risques. La CNIL rappelle également que le respect de ces principes permet de réduire l’ampleur et les conséquences potentielles d’une fuite de données.

La responsabilité ne consiste donc pas seulement à essayer d’empêcher toute intrusion. Elle consiste aussi à limiter en amont ce qui pourrait être exposé si une intrusion réussissait. Plus une base de données est vaste, détaillée et conservée longtemps, plus la question devient légitime : toutes les informations qu’elle contient sont-elles encore nécessaires, pendant toute cette durée, et leur niveau de protection est-il proportionné aux conséquences qu’aurait leur compromission ?

La CNIL rappelle en outre qu’une donnée personnelle ne peut pas être conservée indéfiniment : sa durée de conservation doit être déterminée en fonction de la finalité pour laquelle elle a été collectée.

Une seule personne, plusieurs fuites : comment les données peuvent se recouper

Lorsque plusieurs bases compromises concernent une même personne, certaines informations communes — nom, adresse, email, téléphone, date de naissance ou numéro de Sécurité sociale — peuvent servir de points de rapprochement.

Ainsi, une fuite peut apporter l’identité et les coordonnées, une autre des informations liées à la couverture santé, une troisième un IBAN.

Séparément, chaque fuite ne révèle qu’une partie du profil. Ensemble, elles peuvent permettre de reconstituer une identité beaucoup plus complète.

C’est ce mécanisme de recoupement qui constitue le cœur du problème.

Ce que permet un profil recoupé

Plus le profil est complet, plus il devient exploitable.

Il peut servir à :

• rendre un phishing beaucoup plus crédible ;

• faciliter une usurpation d’identité ;

• tenter de récupérer ou détourner certains comptes ;

• enrichir encore le profil grâce à d’autres fuites déjà disponibles.

Le risque ne vient donc pas seulement de chaque donnée volée, mais de la valeur qu’elle prend lorsqu’elle est combinée aux autres.

Le point aveugle : le risque cumulé

Chaque fuite est généralement analysée séparément : quelles données ont été compromises, combien de personnes sont concernées, quels risques découlent de cet incident.

Mais la même personne peut être présente dans plusieurs fichiers compromis au fil du temps.

Or le risque créé par l’ensemble de ces informations une fois rapprochées apparaît beaucoup moins dans l’analyse de chaque incident pris isolément.

La question reste ouverte

Les grandes fuites de données sont connues, documentées et analysées. Mais leur succession fait apparaître une autre dimension du risque : la possibilité de rapprocher, au fil du temps, des informations provenant de plusieurs sources différentes.

Cette page ne prétend ni désigner un responsable unique, ni apporter une solution technique. Son objectif est simplement de rassembler des faits publics, de les mettre en perspective et de rendre visible une question qui apparaît surtout lorsqu’on les observe ensemble.

C’est cette synthèse qui pose aujourd’hui une question essentielle : qui évalue le risque cumulé créé par plusieurs fuites concernant une même personne ?

C’est cette synthèse qui pose aujourd’hui une question essentielle : qui évalue le risque cumulé créé par plusieurs fuites concernant une même personne ?

Sources

CNIL — France Travail : fuite de données concernant jusqu’à 43 millions de personnes
Informations sur la violation de données annoncée en mars 2024, les catégories de données concernées et les recommandations adressées aux personnes susceptibles d’être touchées.
Consulter la source

CNIL — Viamedis et Almerys : violation de données concernant plus de 33 millions de personnes
Données sur l’ampleur de la violation et les catégories d’informations compromises, ainsi que sur le risque de croisement avec d’autres données issues de fuites distinctes.
Consulter la source

CNIL — Free / Free Mobile : violation de données personnelles
Informations relatives à l’attaque ayant affecté Free et Free Mobile, aux données compromises et aux suites données par la CNIL.
Consulter la source

Insee — Population de la France au 1er janvier 2026
Données démographiques permettant de mettre en perspective l’ampleur potentielle des populations concernées par les principales fuites évoquées dans l’article.
Consulter la source

Ministère de l’Économie et des Finances — Accès illégitimes au système d’information de la DGFiP, 14 août 2026
Communiqué officiel concernant les accès frauduleux au système d’information de la Direction générale des Finances publiques et la nature des données consultées ou extraites.
Consulter la source

Ministère de l’Économie et des Finances — FAQ relative aux accès illégitimes à la DGFiP, 21 août 2026
Précisions officielles sur les données concernées, les personnes touchées et les mesures mises en œuvre à la suite des intrusions.
Consulter la source

CNIL — Sécurité des données : les règles essentielles pour protéger les données et votre activité
Rappel des obligations et bonnes pratiques de sécurité applicables aux organismes traitant des données personnelles. CNIL
Consulter la source

CNIL — Les durées de conservation des données, 2 avril 2026
Rappel du principe selon lequel les données personnelles ne peuvent pas être conservées indéfiniment et doivent l’être pendant une durée déterminée en fonction de leur finalité. CNIL
Consulter la source