Données volées en ligne : ne pas y chercher son nom, et que faire

Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, a annoncé lundi 5 octobre avoir signalé BrixHub au procureur de Paris, selon l’AFP. Ce moteur de recherche affirme interroger « plus de 11 milliards d’enregistrements issus de fuites de données déjà rendues publiques, françaises et internationales ». À partir d’un nom, il livre adresse, téléphone ou numéro de sécurité sociale, et propose aux personnes concernées de faire supprimer ces informations contre paiement. Le message de la ministre aux victimes, rapporté par l’AFP : « Aux personnes concernées, ne payez jamais pour faire retirer vos données. »

Le réflexe de taper son nom sur un tel site, pour voir, est justement celui que la CNIL déconseille, et pas d’hier. Sa page consacrée aux fuites, publiée en mars 2024, prévient que « certains sites web indiquent détenir les données et pouvoir vous dire si vous êtes ou non concerné(e). La CNIL déconseille de les utiliser. » Les gestes utiles sont ailleurs.

Pratique : les gestes conseillés après une fuite

Taper son nom : un réflexe à éviter

La CNIL ne motive pas sa mise en garde ; les sources réunies ici, et notre propre lecture, en éclairent plusieurs raisons.

Payer pour faire « effacer » sa fiche, d’abord : la ministre l’a déconseillé sans détour en signalant BrixHub. Ces moteurs puisent dans des fichiers déjà en circulation, et les sites eux-mêmes renaissent quand on les ferme : « Quand vous coupez la tête de l’un d’eux, vous en avez automatiquement deux ou trois qui repoussent », prévenait en juin, auprès de franceinfo, Clément Domingo, hackeur éthique et expert en cybersécurité, pour qui « ces données vont se retrouver à vie sur internet ».

À nos yeux, une fiche retirée d’un site ne fait donc pas disparaître le fichier d’origine. S’en servir revient aussi à recourir à des services qui, selon ce que la CNIL indiquait alors à franceinfo, « en l’état actuel du droit, […] n’apparaissent pas conformes à la législation », car « ils fonctionnent en compilant les données issues de violations de données ». Et à confier son nom, son téléphone ou son adresse électronique à un exploitant dont le métier est de vendre ce genre d’informations.

Enfin, l’inquiétude attire les faux sauveurs. Le 24 juin, la CNIL a mis en garde contre de prétendues ligues ou associations « de protection des données personnelles », qui « affirment pouvoir intervenir auprès des plateformes en ligne où les données personnelles seraient diffusées, afin d’en obtenir la suppression ». Leurs courriels peuvent contenir les vraies données des destinataires, « telles que leur identité, leur adresse postale ou encore leur IBAN », et citer le numéro de téléphone de la CNIL, « alors même qu’il n’existe aucun lien » avec elle. Consigne : ne pas répondre, ne pas cliquer, ne rien transmettre.

Savoir si l’on est touché : demander à l’organisme

La CNIL elle-même « n’est pas en mesure de vous informer ou confirmer de la présence de vos données dans le fichier ayant fait l’objet d’une violation. Vous pouvez en revanche interroger l’organisme concerné sur ce point. » C’est d’ailleurs à lui de prévenir : si une violation vous expose à des risques, « l’organisme responsable doit vous en informer ». Si l’on estime que ses données n’ont pas été suffisamment protégées, ou si une plateforme les laisse en ligne un mois après une demande de suppression, une plainte auprès de la CNIL est possible, rappelle Cybermalveillance.gouv.fr.

Le danger, c’est le message qui sonne juste

« On peut envoyer en masse des mails avec le nom, prénom et Iban de la personne et se faire passer pour sa banque », résume Thomas Damonneville, fondateur de StalkPhish, une société spécialisée dans la lutte contre la fraude en ligne, dans une enquête de franceinfo du 21 août, qui cite aussi l’usurpation d’identité et les cambriolages ciblés. La CNIL décrit le même piège : un courriel ou un SMS « qui vous paraîtra réaliste » parce qu’il contient vos vraies données. Selon le baromètre publié le 15 septembre par Cybermalveillance.gouv.fr avec Ipsos Digital, « le taux de Français informés d’une fuite de leurs données personnelles est passé de 30 % en 2025 à 45 % en 2026 », et l’hameçonnage reste « la première malveillance rencontrée (53 %) ».

L’indemnisation se demande au juge

Le guide publié par la CNIL le 2 octobre est clair : « C’est au juge, et non à la CNIL, de l’accorder. » Et « le seul fait qu’une violation de données ait eu lieu ne suffit pas » : il faut un manquement à la sécurité exigée par le RGPD, un préjudice réel et personnellement subi, qui peut être « de la peur ou de l’inquiétude » liées au risque d’un usage abusif, et un lien entre les deux. Le tribunal judiciaire est compétent face à une entreprise, le tribunal administratif face à une administration ; depuis la loi du 30 avril 2025, une action de groupe permet aussi, sous conditions, de demander réparation à plusieurs.

Des annuaires bâtis sur les fichiers piratés

BrixHub n’est pas un cas isolé. C’est la deuxième fois depuis juin que la ministre recourt à l’article 40 du code de procédure pénale, qui oblige tout fonctionnaire ayant connaissance d’un délit à en aviser « sans délai » le procureur, relève Next. Son cabinet dénonce cette fois « l’accès frauduleux à un système de traitement automatisé de données » et « l’extraction et la détention frauduleuse des données informatiques ». Ces services, appelés « lookups », « développent de véritables offres commerciales avec abonnement, accès via API, ou promesse d’effacement des données personnelles contre monnaie sonnante et trébuchante », résume Next. Leur matière première : les cyberattaques subies par des opérateurs, la CAF ou France Travail, selon l’enquête de franceinfo, où Thomas Damonneville explique que « les lookups regroupent et recoupent 20, 30, 100 bases de données différentes ».

En juin, la même rédaction avait révélé un moteur sur lequel circulaient, selon ses sources, 1,2 milliard de données, du numéro de sécurité sociale à l’IBAN en passant par les rendez-vous médicaux. En août, le parquet de Paris lui indiquait que « deux informations judiciaires sont ouvertes concernant des lookups, chacune ayant donné lieu à une mise en examen suivie d’un placement en détention provisoire ». Aucune condamnation n’avait encore été prononcée.

Ce que l’on exige des organismes piratés

En janvier 2026, la CNIL a infligé à France Travail une amende de 5 millions d’euros pour l’« insuffisance des mesures » de sécurité protégeant les données des demandeurs d’emploi, avec une injonction sous astreinte de 5 000 euros par jour : mots de passe durcis, authentification multifacteur pour les conseillers Cap emploi, surveillance des journaux, accès restreints. Le 8 octobre, elle a annoncé la clôture de l’injonction, sans liquider l’astreinte, l’organisme s’étant mis en conformité.

La source ne tarit pas pour autant. Selon son rapport annuel, la CNIL a reçu en 2025 6 167 notifications de violations de données, 9,5 % de plus qu’en 2024, dont une sur deux relevait d’un piratage. Autant de fichiers susceptibles de finir dans un lookup, quelle que soit l’issue des procédures ouvertes contre BrixHub et ses semblables.