Fuite de données en entreprise : que faire, quelles obligations, comment l’éviter

Une fuite de données est l’accès ou la divulgation non autorisés d’informations détenues par votre entreprise : fichier clients, paie, identifiants, documents internes. Elle vient d’un piratage, d’une erreur d’envoi ou d’un prestataire attaqué. Les premiers gestes : couper l’accès en cause sans éteindre les machines, changer les mots de passe exposés et activer la double authentification, tenir une main courante, prévenir votre prestataire informatique, porter plainte sous 72 heures pour rester indemnisable par l’assurance, et notifier la CNIL dans les 72 heures si des données personnelles sont touchées avec un risque pour les personnes.

La CNIL a reçu 6 167 notifications de violations de données en 2025, 9,5 % de plus qu’en 2024. Et 45 % des Français déclarent en 2026 avoir été informés d’une violation de leurs données, contre 30 % en 2025 (baromètre Cybermalveillance.gouv.fr et Ipsos, septembre 2026).

Qu’est-ce qu’une fuite de données ?

Le RGPD parle de « violation de données à caractère personnel » : une violation de la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de données personnelles, ou l’accès non autorisé à ces données (article 4). Un fichier rendu inaccessible par un rançongiciel en est aussi une.

Les causes fréquentes :

• identifiants volés sur un compte sans double authentification ;
• hameçonnage : un faux message ou un faux appel obtient un mot de passe ou un code ;
• erreur humaine : fichier envoyé au mauvais destinataire, partage ouvert à tous, portable perdu ;
• prestataire piraté : éditeur, hébergeur ou sous-traitant ;
• rançongiciel : les données sont copiées avant d’être chiffrées, puis menacées de publication.

Selon la CNIL, une violation notifiée sur deux en 2025 relève d’un piratage, et les prestataires sont souvent en cause (rapport annuel, mai 2026). Le CERT-FR, l’équipe de réponse aux incidents de l’ANSSI, a suivi près de 200 violations issues d’applications web en 2025 : beaucoup n’ont demandé aucune faille technique (retour d’expérience publié en octobre 2026).

Des fuites massives en France depuis 2024

Quelques cas documentés par la CNIL et Cybermalveillance.gouv.fr :

• Viamedis et Almerys (janvier 2024) : ces opérateurs de tiers payant ont été attaqués, plus de 33 millions de personnes concernées selon la CNIL. Chaque complémentaire cliente a dû prévenir ses assurés.
• France Travail (début 2024) : des comptes de conseillers usurpés par ingénierie sociale ont exposé numéros de sécurité sociale et coordonnées de personnes inscrites sur vingt ans.
• Free et Free Mobile (octobre 2024) : 24 millions de contrats, dont des IBAN.
• Bouygues Telecom (août 2025) : coordonnées et IBAN de clients grand public.
• Hôpital privé de la Loire (été 2025) : 524 867 patients ; l’attaquant a exploré le dossier patient pendant plusieurs jours sans être détecté.

En 2025, les demandes d’assistance de particuliers liées aux violations de données ont bondi de 107 % chez Cybermalveillance.gouv.fr. Les données volées alimentent ensuite hameçonnages ciblés, fraudes au faux conseiller bancaire et usurpations d’identité.

Comment savoir si votre entreprise ou vos salariés sont touchés

Trois signaux : un message de l’organisme victime (« vos informations ont été dérobées »), une alerte de votre navigateur, gestionnaire de mots de passe ou antivirus (« votre service de protection d’identité a détecté une fuite de données »), ou une activité anormale : connexion inhabituelle, règle de transfert ajoutée dans une messagerie, faux e-mails envoyés à vos clients en votre nom.

Une alerte « protection d’identité » signifie qu’une adresse ou un mot de passe figure dans une fuite publiée. Elle ne prouve pas qu’un compte a été utilisé. Changez ce mot de passe partout où il servait, activez la double authentification et méfiez-vous des messages qui reprennent vos informations. Une telle alerte peut aussi être un hameçonnage : vérifiez en passant par le site officiel ou l’application, jamais par un lien reçu, comme le recommande Cybermalveillance.gouv.fr. Google, lui, a supprimé son « rapport sur le dark web » le 16 février 2026.

Vérifier une adresse ou un domaine. Have I Been Pwned indique gratuitement si une adresse apparaît dans une fuite connue et prévient des suivantes. Pour une entreprise, mieux vaut surveiller le nom de domaine entier : c’est gratuit jusqu’à 10 adresses compromises, payant au-delà (conditions de novembre 2026).

Surveiller le dark web. Les données volées s’y revendent, souvent avec des identifiants aspirés par des infostealers. Après une fuite, le CERT-FR recommande de guetter la réapparition des documents. Pour une PME, le plus simple est de confier cette surveillance au prestataire qui supervise le parc.

Les premières heures : les gestes qui limitent les dégâts

1. Couper l’accès en cause (compte, partage, service web, poste) sans éteindre la machine, qui doit rester allumée pour l’enquête, insiste le CERT-FR.
2. Reprendre la main sur les comptes : nouveaux mots de passe, sessions fermées, double authentification sur la messagerie et les comptes administrateurs.
3. Préserver les traces : journaux exportés hors du système touché, captures d’écran datées avec l’adresse de la page si vos données sont publiées.
4. Tenir une main courante : date, heure, personne et action, conservée hors du système compromis.
5. Prévenir votre prestataire informatique et réunir direction, technique, juridique et communication.
6. Ne pas payer une rançon contre la non-publication : payer ne garantit rien et encourage les criminels, rappelle Cybermalveillance.gouv.fr.
7. Se faire aider par le 17Cyber, service en ligne du ministère de l’Intérieur et de Cybermalveillance.gouv.fr, qui aide à qualifier l’attaque et oriente vers les forces de l’ordre.

Un e-mail parti au mauvais destinataire ? Demandez-lui par écrit de le supprimer et gardez sa réponse : la violation doit quand même être documentée.

Obligations légales : CNIL sous 72 heures, personnes, plainte, assurance

• Documenter toute violation, même mineure : faits, effets, mesures prises (article 33 du RGPD).
• Notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf absence de risque pour les personnes (article 33), sur son téléservice. Une notification initiale peut être complétée ensuite.
• Informer les personnes dans les meilleurs délais si le risque est élevé (article 34), par exemple pour des IBAN, des mots de passe ou des données de santé, en expliquant les conséquences et les précautions à prendre.
• Prestataire d’un client ? Prévenez-le dans les meilleurs délais : c’est lui qui notifie.
• Porter plainte au commissariat, à la gendarmerie ou par lettre recommandée au procureur de la République, preuve datée du dépôt.
• Prévenir l’assureur : l’article L. 12-10-1 du code des assurances, issu de la loi LOPMI, subordonne l’indemnisation d’une cyberattaque, vol de données compris, à une plainte déposée au plus tard 72 heures après en avoir eu connaissance (FAQ de la Direction générale du Trésor, août 2026). Cette plainte ne dispense pas de notifier la CNIL.

Les autres obligations sont détaillées dans nos guides sur le RGPD pour les PME et sur la conformité NIS2 et RGPD.

Combien coûte une fuite de données

Selon le rapport d’IBM et du Ponemon Institute publié le 29 juillet 2026, portant sur 602 organisations touchées entre mars 2025 et février 2026, une violation coûte en moyenne 4,99 millions de dollars dans le monde, un record en hausse de 12 %. Pour une PME, l’intérêt de cette moyenne mondiale est la répartition : la hausse vient de la détection, de la remontée des incidents et de la perte d’activité.

Trois sanctions de la CNIL prononcées en 2026 après une fuite montrent ce qui est reproché :

La CNIL sanctionne aussi les petits dossiers : en 2025, elle a prononcé 67 sanctions en procédure simplifiée (20 000 euros au plus), dont 14 pour un défaut de sécurité comme des mots de passe trop faibles ou des comptes partagés.

Prévenir et surveiller : ce qui aurait évité ces fuites

• Double authentification sur la messagerie, le VPN, les accès à distance et les comptes administrateurs (voir notre guide MFA).
• Droits limités : chacun n’accède qu’aux données utiles à son poste, et les comptes des anciens salariés et prestataires sont supprimés.
• Mises à jour des postes, serveurs, pare-feu et logiciels exposés à Internet.
• Chiffrement des portables, des supports amovibles et des sauvegardes : si les données volées sont incompréhensibles, l’information des personnes n’est plus obligatoire (article 34).
• Sauvegardes selon la règle 3-2-1, dont une copie hors ligne testée.
• EDR sur les postes et serveurs pour repérer les comportements anormaux (voir antivirus, EDR et XDR).
• Sensibilisation à l’hameçonnage : aucun envoi de fichier sensible ni changement de RIB sans vérification par un autre canal.

Passer à la surveillance proactive. Les trois décisions citées relèvent une détection absente ou inefficace. Une supervision proactive collecte les journaux (connexions, pare-feu, EDR), alerte sur un comportement anormal (connexion depuis l’étranger, téléchargement massif, nouvelle règle de transfert) et permet d’agir avant que les données sortent. Ajoutez la surveillance des fuites sur votre domaine et un plan de réponse à incident écrit : qui appeler, qui décide, quels contacts (prestataire, assureur, CNIL, 17Cyber). Testez-le chaque année sur un scénario simple, par exemple « la messagerie du comptable est piratée ». La méthode complète est dans notre guide pour sécuriser le système d’information d’une PME.

Réseaux VITALIS accompagne les PME d’Île-de-France depuis son agence unique de Chennevières-sur-Marne (94) : audit cybersécurité gratuit, puis mise en place et supervision des protections, notamment avec ESET, l’une de nos dix marques partenaires. Vous gardez un interlocuteur unique, une réponse sous 1 h ouvrée et une intervention sur site dès J+1. Voir notre offre de cybersécurité pour les entreprises.

Questions fréquentes