En France, des fuites massives de données… par manque de « mesures élémentaires »
Triste constat…
Cela ne surprendra personne, mais 2024 était une année noire pour les données personnelles. La CNIL parle de « violations de données d’une ampleur inédite », que ce soit en nombre ou en volume. La Commission détaille le schéma classique des fuites, qui n’a rien d’exceptionnel. 2025 est une année de contrôle des applications mobiles.
La CNIL vient de publier son rapport annuel 2024, une année marquée par de nombreuses fuites de données et incidents de cybersécurité. L’ANSSI avait déjà exposé cette problématique dans son panorama de la cybersécurité.
Les deux vont dans le même sens : il ne fait pas bon être une donnée personnelle en 2024… et Internet devient de plus en plus un annuaire à ciel ouvert. Les données de dizaines de millions de Français sont, en effet, exposées au quatre vents, y compris parfois des informations bancaires.
L’année 2024 était articulée autour de quatre thématiques prioritaires pour la Commission nationale de l'informatique et des libertés : la collecte de données dans le cadre des Jeux olympiques et paralympiques, les données des mineurs collectées en ligne, les programmes de fidélité et tickets de caisse dématérialisé, et enfin le droit d’accès des personnes. Elles représentaient 30 % des contrôles.
Deux fois plus de sanctions
Comme dans tout bilan qui se respecte, il est question de quelques chiffres marquants sur l’année 2024. La Commission a effectué 321 contrôles (166 sur site, 99 en ligne, 44 sur pièces, 12 sur audition), prononcé 180 mises en demeure, 64 rappels aux obligations légales et 87 sanctions.
Commentaires (18)
Le 29/04/2025 à 13h00
Le 29/04/2025 à 13h20
Donc une recommandation pour exiger, c'est assez antinomique !
Par contre, elle sanctionnera probablement sévèrement si cette recommandation n'est pas suivie.
Le 29/04/2025 à 13h35
Mais oui, ce genre de chose pourra devenir un prérequis d'architecture pour les SI. Comme par exemple le fait qu'une interface d'admin exige obligatoirement un MFA.
Fort probable. Probable aussi que ça s'harmonise via l'EDBP comme critère de non conformité.
Le 29/04/2025 à 13h34
Concrètement, je doit être inscrit sur 50 à 100 sites (si je regarde vite fait mon gestionnaire de mots de passe). Croire qu'il est possible de sécuriser ces sites de tels sortent qu'ils n'auront jamais de leak, c'est utopique.
Il faut considérer que si nos infos n'ont jamais été leak, elles se seront de toute façon demain.
C'est donc bien évidement à nous de ne jamais donner plus d'info perso que nécessaire, et même de donner de fausses infos chaque fois que c'est possible. Mon adresse email doit-être associé avec une trentaine de nom/prénom/adresses bidons. Sur les "petits" sites marchand plus sensible aux leak, on peut aussi modifier légèrement (faute de typo volontaire) son nom et son prénom.
Autrement dit, il faut inonder Internet de fausses infos nous concernant pour que la vérité soit noyée.
Je me permets une question hors sujet si quelqu'un d'informé passe par là: est-ce que Next fait bien parti du dispositif de réduction d'impot? (https://next.ink/brief_article/credit-dimpot-pour-le-premier-abonnement-a-un-journal-cest-parti/)
Le 29/04/2025 à 14h16
Le 29/04/2025 à 14h54
https://next.ink/brief_article/stationnement-vol-de-donnees-au-sein-du-groupe-indigo/
Le 29/04/2025 à 15h11
Le 29/04/2025 à 16h56
Souvent les gens n'ont qu'une adresse mail, gmail ou outlook qui est utilisé pour la plupart des comptes.
Des services comme duckduckgo ou simplelogin (maintenant racheté par Proton) proposent un service d'alias de mail permettant de cacher notre adresse réelle. Plutôt pratique.
Le 30/04/2025 à 09h46
Le 30/04/2025 à 09h55
La grosse différence entre un alias et le sub-addressing, c'est qu'avec le sub-addressing, on peut extraire le véritable e-mail, contrairement à l'alias.
Autrement dit : le sub-adressing ne cache pas l'adresse e-mail.
Le 30/04/2025 à 10h00
En plus de ne pas réellement cacher l'adresse, comme tu dis. Bon, je doute que les voleurs de données personnelles s'amusent à extraire la vraie adresse en retirant ce qu'il y a entre le + et le @ mais c'est tellement facile à faire qu'on sait jamais...
Modifié le 29/04/2025 à 16h32
Pour les mails c'est réglé avec les alias (484 actuellement sur SimpleLogin/Proton Pass
Pour le numéro de téléphone, pas de solution malheureusement, à part limiter les endroits où on le renseigne. Il existe des solutions comme pour les alias aux US et UK, mais pour l'instant rien ici.
Le 29/04/2025 à 16h58
Le 29/04/2025 à 18h40
Modifié le 30/04/2025 à 13h48
(Et tous les messages/appels (sauf en cas d'action de ma part) sur cette SIM sont bloqués/ignorés.)
Modifié le 07/05/2025 à 00h56
Le 07/05/2025 à 12h12
Le 30/04/2025 à 11h46