En bref
- Une violation de données, c'est quand une entreprise qui détient des informations sur toi en perd le contrôle — à cause d'un pirate, d'une mauvaise configuration ou d'une personne de l'intérieur. Certaines violations sont mineures ; d'autres touchent des centaines de millions de personnes.
- La première étape est de savoir ce qui a été réellement exposé. Toutes les violations ne se valent pas : une adresse e-mail qui fuite, c'est gênant ; un mot de passe qui fuite, c'est urgent ; un document d'identité qui fuite, c'est une longue histoire.
- Plus la violation est grande, plus elle est utilisée plus tard pour du phishing personnalisé avec des détails de ton ancienne vie — parce que les pirates achètent et combinent les bases de données volées.
- Tu peux vérifier gratuitement si ton e-mail ou ton numéro de téléphone apparaît dans des violations connues, grâce à des services fiables. Fais-le une fois maintenant, puis une fois par an.
- Si une information d'identité essentielle a été volée (numéro de passeport, numéro national d'identité, coordonnées bancaires complètes), ce n'est plus une simple "violation de données" — ça devient de la prévention contre le vol d'identité. Agis plus vite et documente tout.
Ce que c'est
Une violation de données se produit quand des informations sur des personnes — en général des clients, des employés, des membres ou des patients — quittent le contrôle de l'organisation censée les protéger. Les causes sont souvent banales plutôt que spectaculaires :
- Un pirate exploite une faille dans le site web de l'entreprise ou chez l'un de ses prestataires.
- Un employé clique sur un e-mail de phishing et le pirate utilise ses identifiants pour télécharger une base de clients.
- Un espace de stockage en ligne a été laissé accessible par erreur.
- Une bande de sauvegarde a été perdue, un ordinateur portable volé, une clé USB oubliée dans un train.
- Un employé mécontent est parti avec la base de données.
- Un fournisseur tiers (le prestataire de paiement, la plateforme marketing, le service d'analyse) a été piraté, emportant les données de l'entreprise avec lui.
Ce qui est exposé varie énormément. Catégories courantes :
- Juste une adresse e-mail — gênant, mais peu risqué en soi.
- E-mail plus mot de passe (souvent "haché" mais parfois en clair) — risque élevé, surtout si tu as réutilisé ce mot de passe ailleurs.
- E-mail, mot de passe, nom, date de naissance, adresse, numéro de téléphone — risque important ; c'est l'ensemble de données qui permet du phishing très convaincant pendant des années.
- Données financières — numéros de carte, numéros de compte bancaire — déclenchent généralement le remplacement de la carte.
- Documents d'identité — passeport, carte d'identité nationale, permis de conduire — risque de vol d'identité à long terme.
- Catégories sensibles — santé, orientation sexuelle, religion, opinions politiques, données biométriques — sous le RGPD, ces données bénéficient de protections supplémentaires et d'obligations de notification.
Comment tu l'apprends
Quelques façons courantes :
- L'entreprise t'envoie un e-mail. "Nous vous écrivons pour vous informer d'un incident qui pourrait avoir affecté vos informations." Lis-le attentivement ; ne clique pas sur les liens ; vérifie ce qui a été exposé en consultant le communiqué officiel de l'entreprise.
- Un titre d'actualité cite une entreprise que tu as utilisée. Recherche le nom de l'entreprise suivi de "violation de données" et lis au moins deux sources indépendantes.
- Un régulateur publie un avis. Dans l'UE, les grandes violations sont signalées aux autorités de protection des données et souvent rendues publiques.
- Un service de surveillance gratuit t'alerte. Have I Been Pwned (haveibeenpwned.com) est le plus reconnu — il te permet de vérifier n'importe quelle adresse e-mail dans les violations publiques connues, et tu peux t'abonner gratuitement aux notifications.
- Un gestionnaire de mots de passe signale des identifiants réutilisés ou compromis.
- Une vague de phishing personnalisé arrive — des e-mails qui connaissent ton ancienne adresse, le nom de ton chien, l'entreprise où tu travaillais en 2017. Ce sont des données volées mises en action.
Que faire
Étape 1 — confirme ce qui a été exposé.
Lis attentivement la communication officielle de l'entreprise. Dans la plupart des pays, ils sont obligés de t'indiquer les catégories d'informations concernées. Était-ce juste ton e-mail, ou aussi un mot de passe, ou aussi une carte de paiement, ou aussi ta pièce d'identité ? La réaction est différente pour chaque cas.
Si la communication est vague — "certaines informations de compte" — cherche des reportages indépendants (journalistes spécialisés en sécurité, avis de l'autorité nationale de protection des données). Ne te fie pas uniquement à la version de l'entreprise.
Étape 2 — agis sur ce qui a réellement été exposé.
- E-mail seulement. Surtout un désagrément. Attends-toi à plus de spam et peut-être plus de phishing. Rien d'autre à faire.
- Mot de passe. Change-le immédiatement sur le site concerné. Si tu l'as réutilisé ailleurs, change-le partout. C'est le moment d'adopter un gestionnaire de mots de passe si tu n'en as pas encore.
- E-mail plus mot de passe. Comme ci-dessus, et active la 2FA sur le compte concerné et sur l'e-mail si ce n'est pas déjà fait.
- Adresse, date de naissance, numéro de téléphone. Attends-toi à du phishing personnalisé pendant des mois. Sois plus prudent que d'habitude quand tu réponds à des messages qui "connaissent" des détails sur toi.
- Données de carte. Appelle l'émetteur de la carte ; demande une nouvelle carte et un nouveau numéro. Surveille tes relevés de près pendant le mois qui suit.
- Données bancaires. Notifie la banque, signale le compte. Surveille les petites transactions "test" avant les grandes.
- Documents d'identité. C'est maintenant un scénario de prévention du vol d'identité, pas juste une réaction à une violation. Voir Récupération après vol d'identité ; mets en place un gel du crédit ; envisage de remplacer le document si ton pays le permet.
- Données personnelles sensibles (santé, orientation sexuelle, religion, etc.). Sous le RGPD, tu as peut-être des droits spécifiques à réparation et indemnisation. Parle à ton autorité nationale de protection des données ; tu as peut-être aussi une action contre l'entreprise.
Étape 3 — fais valoir tes droits.
Dans l'UE, au Royaume-Uni, en Suisse et dans de nombreux autres pays, tu as le droit :
- de savoir quelles données l'entreprise détient sur toi (demande d'accès aux données personnelles).
- de supprimer les données dont l'entreprise n'a plus besoin (droit à l'effacement / droit à l'oubli).
- de t'opposer à certains traitements.
- de déposer une plainte auprès de ton autorité nationale de protection des données.
- de réclamer une indemnisation si tu as subi un préjudice.
La plainte est gratuite, souvent en ligne, et l'autorité enquêtera même si tu ne comprends pas tous les détails techniques.
Ce qu'il NE faut PAS faire
- Ne pas ignorer l'e-mail de notification parce qu'il ressemble à du marketing. C'est rarement une arnaque — mais en cas de doute, va directement sur le site de l'entreprise plutôt que de cliquer sur le lien dans l'e-mail.
- Ne pas répondre aux messages de suivi proposant une "récupération de données" ou une "protection du crédit" que tu n'as pas demandée. Ce sont souvent des arnaques opportunistes ciblant les victimes d'une violation avec des propositions personnalisées.
- Ne pas accepter l'offre de surveillance de crédit gratuite de l'entreprise sans lire les conditions — certaines exigent que tu renonces à ton droit de poursuivre en justice.
- Ne pas changer le mot de passe sur un réseau Wi-Fi public si tu as le choix. Attends d'être chez toi.
- Ne pas supposer que "ils n'ont eu que le mot de passe haché" signifie que le mot de passe est sécurisé. La qualité du hachage varie ; certains hachages sont craquables en quelques heures pour des mots de passe faibles. Change-le.
- Ne pas te blâmer. La violation n'est pas de ta faute. Tu as confié tes données à l'entreprise de bonne foi ; c'est elle qui a failli à sa mission de les protéger.
Utiliser l'IA pour t'aider
Analyser la notification :
"J'ai reçu une notification de violation de données de [entreprise]. Ci-dessous se trouve le message qu'ils ont envoyé et les détails sur la violation que j'ai trouvés dans les actualités. Merci de m'aider à (a) comprendre quelles catégories de mes données ont probablement été exposées, (b) lister les actions les plus prioritaires à entreprendre dans les 24 prochaines heures, (c) identifier les catégories d'attaques de suivi auxquelles je dois être attentif au cours des trois prochains mois, et (d) me dire si la loi sur la protection des données de mon pays me donne des droits ou des recours spécifiques à envisager.
[coller la notification + résumé des actualités]"
Rédiger une demande d'accès aux données :
"Je veux demander à [entreprise] une copie de toutes les données qu'ils détiennent sur moi, en exerçant mon droit au titre du [RGPD / UK DPA / LPD suisse / etc., selon le pays]. Merci de rédiger une lettre formelle en [langue], incluant la base juridique, la portée de la demande et un délai raisonnable pour la réponse. Garde un ton professionnel et ferme."
Qui appeler
- L'entreprise elle-même, via son canal officiel — mais lis d'abord des sources indépendantes pour savoir quoi demander.
- Ta banque ou l'émetteur de ta carte si des données financières ont été exposées.
- Ton autorité nationale de protection des données pour déposer une plainte et vérifier si elle a publié des orientations pour la violation en question.
Autorités nationales de protection des données :
- France — CNIL (cnil.fr).
- Belgique — APD-GBA (autoriteprotectiondonnees.be).
- Suisse (FR) — PFPDT / EDÖB (edoeb.admin.ch).
- Luxembourg — CNPD, Commission nationale pour la protection des données (cnpd.public.lu).
- Monaco — APDP, Autorité de Protection des Données Personnelles (qui a succédé à la CCIN en 2024).
Dans l'UE, les plaintes peuvent être déposées auprès de l'autorité de protection des données de n'importe quel État membre où tu vis, travailles, ou où la violation a eu lieu.
Quand aller plus loin qu'un simple échange
- Une violation concerne des documents d'identité ou des données sensibles de catégorie spéciale et tu vis dans l'UE/Royaume-Uni/Suisse — dépose une plainte formelle auprès de ton autorité de protection des données. L'enquête est gratuite ; si un préjudice réel a été subi, tu as peut-être droit à des dommages et intérêts.
- La violation concerne ta banque, ton assureur ou un prestataire de santé essentiel — parle à un avocat si tu ne peux pas obtenir de réponses claires sur l'étendue et le calendrier. Des mécanismes d'action collective existent pour certaines violations selon les lois nationales.
- Tu reçois des demandes d'extorsion — "nous avons tes données, paie-nous pour les supprimer" — ne paie pas ; signale-le à la police ; les données sont déjà entre de mauvaises mains.
- Les données d'un enfant ont été exposées — les données des enfants bénéficient d'une protection renforcée dans la plupart des pays ; signale-le directement au régulateur. Surveille les comptes ouverts au nom de l'enfant longtemps après la violation.
- Ton employeur a subi une violation et tes identifiants professionnels pourraient être exposés — informe immédiatement l'informatique ; les mêmes identifiants peuvent donner accès aux systèmes internes.
Sources et lectures complémentaires
- Have I Been Pwned — base de données publique de violations
- RGPD UE — Articles 33, 34 (notification de violation), 82 (indemnisation)
- LPD suisse / nLPD — règles actuelles sur les obligations des sous-traitants
- ENISA — rapports annuels sur les tendances en matière de violations de données
- Rapports State of the Phish — vecteurs de phishing après des violations majeures