À qui faire confiance pour sécuriser nos données ?

Il y a trois jours, le 14 août 2026, la Direction Générale des Finances Publiques a subi une cyberattaque.¹

Selon le communiqué officiel, les données de 678 000 usagers ont été volées :

[Ce vol concerne] notamment des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source, et en ce qui concerne les entreprises, des données telles que leur raison sociale ou leur SIREN. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées. […] Les identifiants et les mots de passe des particuliers et des professionnels n’ont pas été compromis.²

Ces données sont apparues sur le dark web par le forum Pwnforums. Toutefois, les pirates proposent à la vente les données de 2 041 778 personnes, soit un peu plus que ce qu’annoncent les autorités.³

Cet évènement ravive une question légitime : à qui peut-on faire confiance pour confier nos données en toute sécurité ?

La France, une mi-année 2026 difficile

#

Le mois de janvier 2026 a ouvert l’année sur une amende de cinq millions d’euros adressée à France Travail par la CNIL “pour ne pas avoir assuré la sécurité des données des personnes en recherche d’emploi”.⁴

Le mois suivant, il s’agit d’un accès illégitime au fichier national des comptes bancaires “qui recense l’ensemble des comptes bancaires ouverts dans les établissements bancaires français et contient des données à caractère personnel : coordonnées bancaires (RIB / IBAN), identité du titulaire et adresse.”⁵ Plus d’un million de comptes sont concernés.⁶

En avril, il s’agit de la plateforme de l’agence nationale des titres sécurisés (ANTS) qui a eu une fuite de données comprenant “identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte,” et “adresse postale, lieu de naissance, téléphone” si remplis dans le profil.⁷ Bilan : 11,7 millions de comptes concernés.⁸

À vrai dire, l’État lui-même a préféré passer par les États-Unis pendant six ans pour stocker les données hautement sensibles de français que sont les informations médicales et permettre l’entrainement de l’intelligence artificielle.⁹

Les États-Unis et le privé : la solution ?

#

L’État français a préféré passer par les États-Unis pendant six ans pour stocker les données médicales… jusqu’à cette année.¹⁰ Ce retour arrière nous questionne sur la capacité des États-Unis et de ses entreprises comme Microsoft à garantir un usage légitime et sécurisé de nos données.

En effet, le Patriot Act américain donne une extrême latitude aux États-Unis pour exploiter nos données à partir du moment où elles sont stockées chez une entreprise américaine. Le texte permet notamment “l’accès aux dossiers et autres éléments en vertu de la loi sur la surveillance des renseignements étrangers” (section 215) ainsi que l’accès “à certains documents commerciaux” (section 501).¹¹

Justifié par la nécessité de lutter contre le terrorisme, ce motif a déjà été largement outrepassé par les autorités américaines pour collecter illégalement des informations sensibles.¹²

“Jamais mieux servi que par soi-même”

#

Cette défaillance des tiers à assurer la sécurité de nos données n’est pas une question nouvelle. Elle va même jusqu’à consterner le fondateur du web en personne, Tim Berners-Lee :

Aujourd’hui, quand je regarde mon invention, je ne peux m’empêcher de me poser la question suivante : le Web est-il encore libre ? Non, pas dans son intégralité. On constate qu’une poignée de grandes plateformes collectent les données personnelles des utilisateurs pour les partager avec des courtiers commerciaux, voire avec des gouvernements répressifs.¹³

Cette collecte de données et ce stockage distant sont devenus un automatisme rarement questionné, mais nous pourrions imaginer un fonctionnement différent.

Par exemple, si plutôt que d’envoyer automatiquement les données vers des tiers (service public, amazon, google…), vous décidiez où elle se trouve, qui y accède, quand et dans quel but ?

Cette tâche vous parait compliquée ? En réalité, vous le faites déjà.

Lorsque vous partez en vacances et décidez de poster une photo sur votre compte social, vous décidez :

• ce que vous souhaitez partager (un repas, un paysage…),
• à qui (à vos amis proches, aux utilisateurs inscrits sur la plateforme),
• quand vous le souhaitez (jusqu’à ce que vous décidiez de supprimer le contenu).

En revanche ceci serait contre-intuitif : partir en vacances avec un employé intrusif d’une entreprise de tourisme qui capture chacun de vos instants (photo, voix, localisations, boutiques visitées, articles achetés…) afin de les exploiter et de les revendre sans que vous en ayez la maitrise.

Pourtant, c’est ce que nous acceptons régulièrement, comme en témoignent les conditions d’utilisations de Google¹⁴ :

Les informations relatives à votre activité que nous recueillons peuvent inclure les éléments suivants :

• Les termes que vous recherchez.
• Les vidéos que vous regardez.
• Vos vues de contenu et d’annonces ainsi que vos interactions avec ces derniers.
• Informations audio et vocales
• L’activité relative aux achats.
• Les personnes avec lesquelles vous communiquez ou partagez du contenu.
• L’activité sur des applications et sites tiers qui utilisent nos services.
• L’historique de navigation Chrome que vous avez synchronisé avec votre compte Google. […] votre numéro de téléphone, celui de l’émetteur, celui du destinataire, les numéros de transfert, l’adresse e-mail de l’émetteur et du destinataire, l’heure et la date des appels et des messages, la durée des appels, les données de routage, ainsi que les types et volumes d’appels et de messages. […]
• GPS et autres données des capteurs de votre appareil