Le piratage des serveurs du ministère de l’Intérieur, dont le point de départ aurait été la compromission de la boîte mail professionnelle d’un agent, remet au premier plan une question que les réactions politiques réduisent trop souvent à la seule « hygiène numérique » : que peut faire la personne dont le compte a servi de porte d’entrée, et que peuvent demander les agents ou les tiers dont les données ont été consultées ? Les éléments publiés le 20 août 2026 par Le Monde décrivent une chaîne d’intrusion partie d’identifiants compromis, puis étendue à des réseaux et à des comptes de police. Ils ne remplacent ni le dossier d’enquête ni les notifications individuelles qui devront préciser les données effectivement concernées.
Le dossier est juridiquement transversal. Il met en présence les infractions d’accès frauduleux à un système de traitement automatisé de données, les obligations de sécurité et de notification du responsable de traitement, la situation professionnelle de l’agent dont les identifiants ont été utilisés et le droit à réparation des personnes exposées. La question décisive n’est pas de savoir si un clic ou un mot de passe a constitué le premier incident. Il faut reconstituer les contrôles qui ont permis à cet incident de franchir plusieurs barrières, établir les données consultées et relier chaque préjudice à une preuve datée. Cette méthode détermine les démarches pénales, la saisine de la CNIL et, lorsque les conditions sont réunies, la demande indemnitaire dirigée contre l’administration.
I. Piratage du ministère de l’Intérieur par une boîte mail : quelle qualification et quelle responsabilité ?
A. Compromission d’un compte, passage vers les réseaux de l’État et collecte de données : quelles infractions retenir ?
Le récit public doit être séparé de la qualification judiciaire. Les informations disponibles à la date de publication rapportent qu’un agent du ministère de l’Agriculture aurait été le point de départ technique, après l’infection de son ordinateur personnel et la récupération d’identifiants professionnels. Les attaquants auraient ensuite accédé à un espace de stockage, découvert un certificat d’authentification, circulé dans des réseaux ministériels et utilisé des fonctions de réinitialisation de mots de passe avant d’atteindre des messageries et des applications du ministère de l’Intérieur. L’article de presse indique aussi qu’une enquête de l’Office anticybercriminalité a conduit à la mise en examen d’un suspect. Ces éléments doivent rester présentés comme des faits rapportés et non comme des constatations définitives d’une juridiction.
La première qualification possible est celle de l’accès ou du maintien frauduleux dans un système de traitement automatisé de données. L’article 323-1 du code pénal prévoit : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le même texte élève les peines lorsque la suppression ou la modification de données, l’altération du fonctionnement ou l’atteinte à un système de données personnelles mis en œuvre par l’État sont caractérisées. L’usage d’un identifiant légitime ne rend pas l’accès licite si l’auteur n’avait pas le droit de l’utiliser ou s’il s’est maintenu au-delà de l’autorisation donnée.
Le passage d’une messagerie à un réseau interne ne constitue donc pas un simple prolongement technique sans portée juridique. Chaque franchissement peut être documenté par les journaux de connexion, les adresses IP, les horaires, les réinitialisations, les droits attribués au compte, les certificats utilisés et les commandes exécutées. Un compte dont les droits sont élevés augmente le risque, mais il ne suffit pas à établir que toutes les actions ont été réalisées par son titulaire. L’analyse doit distinguer l’identité administrative du compte, l’identité de la personne qui l’a utilisé et le mécanisme ayant rendu possible la prise de contrôle.
Lorsque le fonctionnement d’un système a été entravé ou faussé, l’article 323-2 du code pénal dispose que « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » Le texte porte la peine à sept ans d’emprisonnement et à 300 000 euros d’amende lorsque l’infraction est commise contre un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État. Cette circonstance dépendra du système visé, de sa finalité et des actes réellement établis par l’enquête.
Si des fichiers ont été consultés, extraits, reproduits, transmis ou modifiés, l’article 323-3 du code pénal réprime « le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». La question de l’extraction est distincte de celle de la simple consultation. Une personne dont le nom apparaît dans une base n’a pas le même risque qu’une personne dont la fiche, la photographie, l’adresse, le dossier d’enquête ou les identifiants ont été copiés et diffusés. La notification ou le dossier d’enquête doit permettre cette distinction.
La récupération d’un certificat, d’un mot de passe ou d’une clé d’authentification peut aussi constituer un élément de preuve de la préparation et de la persistance de l’attaque. Il ne faut pas qualifier automatiquement chaque outil ou chaque fichier au titre d’une infraction autonome. Les enquêteurs doivent établir l’absence de motif légitime, la destination de l’outil, l’intention et le lien avec l’accès ou l’extraction. La détention d’un programme malveillant, la mise à disposition d’un serveur ou la fourniture de moyens techniques pourront être examinées en fonction de la participation concrète de chaque mis en cause.
La responsabilité de l’agent dont les identifiants ont été compromis doit être examinée séparément. Un agent peut avoir commis une faute personnelle, une négligence professionnelle ou aucune faute, selon les circonstances : message d’hameçonnage particulièrement crédible, équipement personnel autorisé ou interdit, consigne de sécurité reçue, authentification multifacteur disponible, stockage d’un certificat dans un espace privé, signalement rapide ou retard dans l’alerte. La mise en cause publique d’un « manque d’hygiène numérique » ne remplace pas cette analyse. Elle ne répond pas à la question de savoir pourquoi la compromission d’un compte a permis l’accès à des applications sensibles, la réinitialisation de mots de passe ou la lecture de certificats dans des pièces jointes.
Le responsable du traitement doit analyser l’architecture globale. L’article 32 du RGPD ne commande pas une sécurité abstraite ou une promesse d’absence totale d’attaque. La délibération CNIL SAN-2026-002 du 8 janvier 2026, publiée sur Légifrance, rappelle que l’obligation de sécurité est une obligation de moyens : elle impose des mesures qui réduisent la probabilité d’une violation et en atténuent la gravité. La même décision reprend l’exigence de mesures adaptées à la divulgation non autorisée et à l’accès non autorisé, ainsi que les moyens de rétablissement, de test et d’évaluation régulière.
Cette approche déplace l’analyse vers des questions vérifiables : le compte disposait-il de droits nécessaires à la fonction ? Le certificat pouvait-il être stocké dans un espace personnel ? Les mots de passe apparaissaient-ils en clair dans les courriels ? Une passerelle entre deux ministères était-elle cloisonnée ? Les administrateurs pouvaient-ils réinitialiser des comptes sensibles depuis un navigateur sans contrôle renforcé ? Les journaux étaient-ils conservés assez longtemps ? Une alerte sur un compte compromis entraînait-elle la révocation immédiate des sessions et des certificats ? La liste n’établit pas à elle seule un manquement, mais elle construit le plan de preuve permettant de comparer le risque prévisible et les mesures effectivement déployées.
L’article 226-17 du code pénal sanctionne le fait de traiter des données personnelles sans mettre en œuvre les mesures prescrites par les articles 24, 25, 30 et 32 du RGPD et les dispositions françaises correspondantes. Une qualification pénale de ce type ne découle pas automatiquement de la fuite. Elle suppose de caractériser le traitement, la mesure manquante et l’élément légal applicable. Dans un dossier ministériel, les traitements de fichiers de police, les régimes particuliers de la loi Informatique et Libertés et les règles d’habilitation doivent être identifiés fichier par fichier.
Pour l’agent ou le tiers victime, cette distinction est essentielle. Une faute de sécurité de l’administration peut exister même si le pirate a commis l’intrusion. À l’inverse, la seule présence de données dans un système attaqué ne prouve pas que l’administration a violé son obligation de sécurité. Le dossier doit montrer le risque, les contrôles attendus, les faiblesses exploitées, la nature des données et les conséquences. La responsabilité ne se décide ni sur la seule gravité médiatique de l’attaque ni sur la seule existence d’un clic initial.
B. Notification, transparence et droits sur les données : que doit faire l’administration ?
Une violation de données personnelles est constituée lorsqu’une destruction, une perte, une altération, une divulgation non autorisée ou un accès non autorisé affecte des données personnelles. Le responsable du traitement doit documenter l’incident, évaluer le risque pour les personnes et déterminer les notifications nécessaires. La procédure officielle de notification de la CNIL rappelle que la notification à l’autorité de contrôle intervient, lorsque le risque le justifie, dans les soixante-douze heures après la prise de connaissance de la violation. Une information des personnes concernées peut être requise lorsque le risque est élevé.
Le délai de soixante-douze heures ne signifie pas que chaque élément de l’enquête doit déjà être connu. Il impose une réaction documentée : date de découverte, équipes mobilisées, périmètre provisoire, hypothèses, mesures de confinement, analyse du risque et raisons d’une notification immédiate ou différée. Une administration ne peut pas attendre la fin d’une enquête pénale de plusieurs mois pour informer toutes les personnes, si elle sait déjà que leurs données sont susceptibles d’avoir été exposées. Elle peut compléter la notification et l’information à mesure que le périmètre se précise.
La nature des fichiers du ministère de l’Intérieur rend cette analyse particulièrement sensible. Les données d’état civil, coordonnées et identifiants peuvent alimenter des tentatives d’hameçonnage ou d’usurpation. Les données relatives aux enquêtes, aux personnes recherchées, aux antécédents judiciaires, aux armes, aux agents ou aux témoins peuvent créer un risque physique, professionnel ou réputationnel. Le responsable doit donc évaluer non seulement le nombre de personnes mais aussi la sensibilité des informations, les possibilités de recoupement, la durée de l’exposition et la probabilité de diffusion.
Le ministère dispose d’un canal officiel pour les incidents visant son système d’information, distinct d’une plainte, d’une demande d’exercice de droits ou d’une notification CNIL. Un agent ou un partenaire qui détient une information technique sur une compromission doit utiliser le canal ministériel approprié et conserver la preuve de son signalement. Pour les victimes et témoins qui ont besoin d’un premier rappel des mesures de confinement et de conservation des éléments, la fiche officielle de Cybermalveillance donne un cadre pratique. Elle ne remplace pas le canal spécialisé de l’administration ni les actes de procédure, mais elle aide à éviter une nouvelle divulgation ou la destruction des traces.
La personne concernée peut demander quelles données la concernant sont traitées, quelles catégories ont été touchées, quelles mesures ont été prises et quels destinataires ont reçu les données, sous réserve des restrictions prévues pour les fichiers de sécurité et les enquêtes. Le droit d’accès n’est pas un droit général à obtenir l’intégralité d’une enquête pénale, les méthodes opérationnelles, les identités des agents ou les informations sur une personne recherchée. Il doit être formulé avec un périmètre précis : compte, fichier, période, catégorie de données et demande de confirmation d’une exposition.
La loi Informatique et Libertés reste applicable avec le RGPD dans les conditions propres aux traitements concernés. La loi n° 78-17 du 6 janvier 1978 publiée sur Légifrance contient les dispositions relatives aux droits des personnes, aux traitements relevant de la directive « police-justice », aux fichiers de sûreté et aux pouvoirs de la CNIL. L’autorité compétente, le droit exercé et le niveau de réponse peuvent varier selon que la donnée figure dans un traitement administratif ordinaire, un fichier de police, une procédure judiciaire ou un système de renseignement.
Une réponse partielle ou négative doit être motivée selon le régime applicable. La personne doit conserver sa demande, la date de réception, la réponse, les annexes et l’identité du service ou du délégué à la protection des données. Une absence de réponse n’est pas une preuve automatique que les données ont été volées, mais elle peut établir une difficulté d’exercice du droit ou justifier une réclamation. La CNIL peut être saisie pour contrôler le respect des droits et les obligations de sécurité ; sa procédure ne remplace pas une action indemnitaire et ne verse pas de dommages-intérêts à la personne plaignante.
Une notification ne doit pas exposer davantage les personnes. Un agent qui reçoit une liste de victimes, des captures de fichiers ou des certificats ne doit pas les transférer à des proches, les publier ou les stocker dans une messagerie personnelle. Il faut préserver l’original, limiter les copies, utiliser le canal sécurisé indiqué par l’administration ou les enquêteurs et noter les personnes qui ont eu accès aux éléments. Cette discipline protège l’enquête et évite qu’une victime devienne à son tour l’auteur d’une nouvelle divulgation.
Pour les agents, la situation professionnelle doit être traitée avec prudence. Un agent dont le compte a été compromis peut demander la réinitialisation contrôlée de ses identifiants, la révocation de ses certificats, la conservation des journaux et la confirmation des mesures prises sur ses équipements. Une procédure disciplinaire ne doit pas être confondue avec l’enquête pénale sur les pirates. La défense de l’agent peut nécessiter de démontrer les consignes reçues, le matériel autorisé, le contexte de l’hameçonnage, les formations suivies, l’existence ou non d’une authentification renforcée et le délai d’alerte.
Si l’administration estime que l’agent a commis une faute, elle doit établir le comportement reproché et son lien avec le dommage. La compromission d’un compte ne prouve pas que l’agent a volontairement conservé un secret ou transmis une donnée. Elle ne prouve pas davantage que l’organisation aurait empêché l’attaque si l’agent avait suivi une consigne différente. Une analyse équilibrée doit intégrer les décisions de sécurité, les droits techniques accordés au compte et le cloisonnement mis en place par l’employeur public.
II. Piratage du ministère de l’Intérieur : quels recours pour les agents et les personnes exposées ?
A. Plainte, demande de preuve et saisine de la CNIL : quelles démarches engager en premier ?
La première démarche est le confinement, avant toute discussion indemnitaire. L’agent ou le témoin doit signaler la compromission par le canal professionnel prévu, demander la révocation des identifiants et certificats, modifier les mots de passe réutilisés et préserver les alertes, messages, historiques et captures. Une personne extérieure qui reçoit un message issu d’une boîte compromise doit conserver les en-têtes, l’URL, la pièce jointe et l’heure de réception, sans ouvrir davantage le contenu. Les appareils potentiellement infectés doivent être isolés selon les consignes de l’équipe de sécurité afin de ne pas détruire les traces.
Il faut ensuite séparer trois dossiers : le dossier technique, le dossier de droits et le dossier de préjudice. Le dossier technique contient les courriels, en-têtes, journaux disponibles, tickets d’incident, changements de mot de passe, certificats révoqués, communications de l’administration et dates de confinement. Le dossier de droits contient les demandes d’accès, de rectification ou d’information, les réponses et les saisines de la CNIL. Le dossier de préjudice contient les appels frauduleux, dépenses de sécurisation, refus bancaires, menaces, conséquences professionnelles, atteintes à la réputation, soins et attestations. Cette séparation évite de confondre la preuve du manquement et la preuve du dommage.
La plainte pénale peut être déposée contre X si l’auteur n’est pas identifié. Le portail Service-Public consacré au piratage d’une boîte mail indique qu’une victime peut porter plainte au commissariat, à la gendarmerie ou par courrier au procureur de la République ; le signalement THESEE ne constitue pas toujours une plainte et ne couvre que certaines hypothèses. La plainte doit raconter les faits par ordre chronologique, joindre les preuves disponibles, préciser les comptes et données concernés et réserver les pièces sensibles à une transmission sécurisée.
La plainte peut viser l’accès frauduleux, l’extraction ou la transmission de données, l’usurpation d’identité, l’escroquerie ou toute autre qualification que les enquêteurs retiendront. L’article 226-4-1 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende le fait d’usurper l’identité d’un tiers ou d’utiliser des données permettant de l’identifier pour troubler sa tranquillité ou porter atteinte à son honneur ou à sa considération. Si des messages ont été adressés depuis le compte d’une victime ou si des données ont été publiées, il faut décrire les usages précis plutôt que de se limiter au mot « piratage ».
Lorsque les faits ont été découverts dans l’exercice des fonctions publiques, l’article 40 du code de procédure pénale prévoit que « Toute autorité constituée, tout officier public ou fonctionnaire qui, dans l’exercice de ses fonctions, acquiert la connaissance d’un crime ou d’un délit est tenu d’en donner avis sans délai au procureur de la République ». Ce texte éclaire la transmission institutionnelle déjà évoquée dans le dossier de presse. Il ne prive pas une victime de son droit de déposer plainte, de se constituer partie civile ou de demander la conservation de ses preuves.
La saisine de la CNIL a une fonction différente. Elle permet de demander un contrôle sur le traitement, la sécurité, la notification, l’information des personnes ou l’exercice des droits. Une réclamation utile décrit le responsable du traitement présumé, le traitement concerné, la date de la demande préalable, la réponse reçue, les pièces jointes et la question précise soumise à la CNIL. Elle ne doit pas diffuser en clair une base volée. Les données sensibles peuvent être masquées ou transmises par le canal sécurisé demandé par l’autorité.
Une demande d’accès bien construite peut contribuer à la preuve sans devenir une demande générale d’ouverture des systèmes. Elle peut demander la confirmation qu’un traitement a porté sur les données de la personne, les catégories de données, les dates ou périodes d’accès la concernant, les destinataires et les mesures prises après l’incident. Le service peut limiter la réponse lorsqu’elle porterait atteinte à une enquête, à la sécurité publique, aux droits d’un tiers ou au secret protégé par un texte. Une contestation doit identifier la restriction opposée et son fondement, pas réclamer indistinctement tous les journaux de police.
Les agents doivent aussi demander la conservation des journaux avant leur écrasement automatique. Le délai de conservation varie selon les systèmes et les finalités. Une demande datée adressée au service compétent peut établir que la personne a identifié une preuve potentielle et a demandé qu’elle soit préservée. Si une juridiction devient nécessaire, cette démarche peut être complétée par une demande de mesure d’instruction, une expertise ou une requête visant à obtenir un élément déterminé. Il faut éviter de demander une exploration illimitée de la messagerie ou des réseaux, car la protection des données des autres agents et le secret des enquêtes imposent un périmètre proportionné.
La demande de réparation à l’administration doit être précise et préalable lorsque le régime contentieux l’exige. Elle expose le fait générateur, la faute ou le manquement invoqué, le dommage déjà réalisé, les pièces, le lien causal et le montant demandé ou les mesures non pécuniaires souhaitées. Elle peut demander la confirmation des mesures de sécurité, la rectification d’une information erronée, la suppression d’un accès résiduel, la délivrance d’une attestation d’incident ou le remboursement de dépenses directement liées à la compromission. Une lettre générale affirmant que « toutes les données ont fuité » ne suffit pas à préparer un recours.
Le dossier doit également envisager la protection des personnes tierces. Un enquêteur, une victime, un témoin ou un proche peut être exposé sans être titulaire du compte compromis. La demande doit préciser la source de l’exposition connue, la catégorie de fichier, la nature du risque et les mesures d’urgence nécessaires. Une personne dont l’adresse ou le numéro a été consulté peut devoir sécuriser ses comptes, prévenir sa banque, changer ses habitudes de contact ou signaler des tentatives d’usurpation. Ces mesures peuvent constituer des éléments du dommage, à condition d’être datées, raisonnables et reliées à l’incident.
B. Indemnisation, responsabilité de l’État et urgence : comment établir un préjudice réparable ?
Le droit à réparation suppose de distinguer la violation, le dommage et le lien de causalité. L’article 82 du RGPD ouvre un droit à indemnisation en cas de dommage matériel ou moral causé par une violation, mais il ne transforme pas chaque incident en indemnité automatique. La Cour de cassation l’a rappelé très récemment dans son arrêt de chambre sociale du 24 juin 2026, pourvoi n° 24-22.792, publié au Bulletin sur le site officiel : « La violation du règlement (UE) 2016/679 […] n’ouvre pas, à elle seule, droit à réparation ». Le demandeur doit donc montrer ce que la violation a produit dans sa situation personnelle.
Cette décision concernait un litige de travail et non le piratage d’un ministère. Elle donne néanmoins une règle de méthode directement utile : une demande ne peut pas se limiter à reprocher une sécurité insuffisante. Il faut décrire la perte financière, les frais engagés, la divulgation d’une information confidentielle, l’usurpation réalisée ou tentée, l’atteinte à la réputation, la crainte fondée d’un usage abusif, la désorganisation professionnelle ou l’atteinte à la vie privée. Chaque poste doit être rattaché à une pièce ou à un faisceau d’indices cohérent.
Le dommage moral peut être réel sans être accompagné d’un virement frauduleux. Une personne peut subir des appels menaçants, devoir sécuriser son domicile, craindre la révélation de son statut de victime ou de témoin, ou être exposée à une information de santé, de situation familiale ou de procédure. Mais la crainte doit être concrète et suffisamment étayée : date des messages, contenu des menaces, données effectivement en cause, publication constatée, démarches effectuées et évolution de la situation. Une inquiétude purement abstraite, sans exposition identifiable, risque de ne pas satisfaire l’exigence de preuve.
La décision de la Cour de cassation impose aussi de ne pas confondre la sanction administrative et la réparation individuelle. Une amende CNIL peut sanctionner un manquement au bénéfice du budget public ; elle ne verse pas automatiquement une somme aux personnes concernées. L’agent ou le tiers doit présenter sa propre demande devant la juridiction compétente, contre le responsable du traitement ou la personne dont la responsabilité est juridiquement établie. Il peut s’appuyer sur une décision de la CNIL, mais il doit encore démontrer son dommage et son lien avec le manquement.
Pour l’État, la voie contentieuse dépend de la qualité du responsable, de la nature du traitement et du dommage invoqué. Un recours indemnitaire contre une administration relève en principe de la juridiction administrative, sous réserve des règles spéciales. La demande préalable permet de fixer le fait générateur, la décision implicite ou explicite et le périmètre du litige. Les personnes qui ne sont pas agents publics doivent éviter de supposer que la présence d’un fichier de police fait disparaître toute possibilité d’action ; elle impose surtout de choisir le bon régime de compétence, le bon fondement et le bon niveau de confidentialité.
L’urgence peut porter sur une mesure de prévention et non sur le paiement immédiat d’une indemnité. Si une décision administrative ou un refus de mesure de sécurité crée un risque actuel, l’article L. 521-1 du code de justice administrative permet au juge des référés, lorsque les conditions sont réunies, de suspendre l’exécution d’une décision en cas d’urgence et de doute sérieux sur sa légalité. Le demandeur doit identifier la décision attaquée, l’urgence concrète et le moyen juridique précis. La simple demande de « sécuriser le système » sans décision administrative identifiable ne suffit pas toujours pour ce référé.
Le référé-liberté de l’article L. 521-2 du code de justice administrative répond à une autre exigence. Le texte permet au juge des référés, saisi dans l’urgence, d’ordonner les mesures nécessaires à la sauvegarde d’une liberté fondamentale en cas d’atteinte grave et manifestement illégale imputable à une personne publique ou à un organisme chargé d’un service public. Son délai de quarante-huit heures est exceptionnel et la démonstration doit être très concrète. Une personne ne peut pas l’utiliser comme substitut général à l’enquête technique ou à l’action indemnitaire.
Un recours en référé probatoire ou une mesure d’instruction peut être envisagé lorsque la preuve risque de disparaître ou se trouve entre les mains de l’administration. La demande doit viser un élément déterminé : journaux d’un compte pendant une période, historique d’une réinitialisation, liste des droits attribués, certificat révoqué, notification d’incident, rapport d’audit ou preuve d’une transmission. Le juge mettra en balance l’utilité de la mesure, la confidentialité des systèmes, les droits des tiers, la sécurité publique et la proportionnalité. Une demande qui sollicite l’accès à toute l’architecture du ministère serait difficilement compatible avec ces exigences.
La jurisprudence récente sur la preuve des données personnelles confirme cette nécessité de proportion. Dans son arrêt du 17 juin 2026, pourvoi n° 25-11.499, la Cour de cassation a admis, dans un contentieux électoral, la production d’un rapport d’analyse technique après avoir relevé la pseudonymisation des données, la destruction des données initiales et l’absence de contenu de courriels. L’arrêt rappelle que le droit à la preuve ne justifie une atteinte à d’autres droits que si la production est indispensable et strictement proportionnée. L’article publié ici transpose cette exigence au cas d’une intrusion ministérielle : les logs, les habilitations et les certificats doivent être demandés par période et par compte, afin de préserver les enquêtes et les données des autres personnes.
L’évaluation de la responsabilité de l’État doit intégrer la part de l’attaquant, celle de l’agent et celle de l’organisation. La présence d’un acte malveillant extérieur n’exonère pas automatiquement le responsable du traitement. La délibération SAN-2026-002 de la CNIL rappelle que la violation ne suffit pas à elle seule à établir un manquement, mais qu’une absence ou une insuffisance de mesures appropriées peut être retenue lorsque l’attaque a été rendue possible ou facilitée par cette faiblesse. L’administration pourra soutenir que l’attaque était imprévisible, que les mesures étaient adaptées ou que le dommage n’est pas lié à son traitement ; elle devra étayer ces arguments par des éléments techniques et organisationnels.
Le dommage peut aussi être aggravé par une notification tardive ou insuffisante. Si une personne n’a pas été informée alors qu’elle aurait pu changer un mot de passe, prévenir une banque, sécuriser son domicile ou interrompre une fraude, elle peut soutenir que cette absence d’information a prolongé ou aggravé les conséquences. Le lien causal doit toutefois être détaillé. Il ne suffit pas d’affirmer que toute notification aurait empêché toute utilisation frauduleuse ; il faut expliquer la mesure disponible, sa date, la réaction probable et le dommage qui aurait été évité.
Les agents victimes d’une mesure disciplinaire après la compromission peuvent cumuler plusieurs axes de défense : contester la réalité de la faute, discuter le lien entre leur comportement et l’intrusion, demander la communication des pièces utiles, protéger leurs données personnelles dans la procédure et faire reconnaître les conséquences professionnelles de l’incident. L’existence d’une enquête pénale ne suspend pas automatiquement toute procédure administrative, mais l’administration doit éviter de transformer une victime technique en responsable par simple présomption. Les certificats, les horaires de connexion, la configuration du compte et les consignes applicables seront déterminants.
Les tiers dont les données ont été consultées doivent préparer une fiche individuelle plutôt qu’une demande collective indifférenciée. Elle indique la catégorie de données, le lien avec le traitement, l’information reçue, les faits postérieurs, les démarches de sécurité, les dépenses, les menaces ou publications, les conséquences professionnelles et la demande formulée. Une action groupée ou une association de victimes peut aider à centraliser les faits, mais chaque personne devra encore établir sa situation lorsqu’une indemnisation individuelle est demandée.
La prescription, la compétence et les délais doivent être vérifiés dès la première consultation. La plainte pénale, la réclamation CNIL, la demande administrative et le recours indemnitaire n’ont pas le même point de départ ni les mêmes effets. Une plainte ne suspend pas nécessairement un délai de recours administratif. Une saisine de la CNIL ne remplace pas un recours contre une décision. Une demande d’accès ne doit pas être utilisée comme moyen de retarder une action dont le délai court. La chronologie complète permet de choisir les actes qui protègent effectivement les droits de la personne.
Le dossier prêt à transmettre à un avocat devrait comprendre la notification ou le courriel d’alerte, les demandes adressées à l’administration, les réponses, les captures et en-têtes originaux, les attestations, les factures de sécurisation, les preuves de fraude ou de menace, les décisions professionnelles, les certificats médicaux lorsqu’ils sont pertinents, et une chronologie d’une page. Il faut y ajouter le numéro de plainte, le récépissé, le numéro de réclamation CNIL ou les références de l’échange avec le DPO, sans joindre de données de tiers non nécessaires. Cette préparation permet de discuter rapidement du fondement, de la juridiction, du montant et des mesures urgentes.
Conclusion
Le piratage du ministère de l’Intérieur par une boîte mail, tel qu’il est rapporté dans la presse, ne peut pas être résumé par la faute d’un agent ou par l’image d’un pirate ayant franchi une porte. Juridiquement, il faut reconstituer chaque accès, chaque droit, chaque extraction et chaque décision de confinement. Les articles 323-1 à 323-3 du code pénal encadrent la réponse à l’attaque ; l’article 226-17 rappelle que la sécurité des traitements peut aussi engager une responsabilité propre ; le RGPD et la loi Informatique et Libertés organisent la notification et les droits des personnes.
Pour un agent, la priorité est de sécuriser les comptes, préserver les journaux et éviter une mise en cause disciplinaire fondée sur une présomption. Pour une personne exposée, la priorité est d’obtenir une information ciblée, de documenter le dommage et de choisir séparément la plainte, la réclamation CNIL et la demande indemnitaire. La Cour de cassation exige désormais que le dommage matériel ou moral soit démontré : la seule violation du RGPD ne suffit pas. Un recours solide doit donc relier une donnée, une faille, une conséquence et une pièce, tout en respectant les secrets attachés aux fichiers de police et aux enquêtes.
La responsabilité de l’État ne se présume pas, mais elle ne disparaît pas non plus parce qu’un attaquant a utilisé un compte légitime ou qu’un agent a commis une erreur. L’analyse doit porter sur le risque prévisible, le cloisonnement, les habilitations, l’authentification, la conservation des secrets, la détection et la notification. C’est cette chaîne de preuve, plus que le seul récit médiatique de l’attaque, qui permettra d’obtenir une mesure de protection, une correction administrative ou une indemnisation proportionnée au préjudice établi.
Pour approfondir la préparation d’un dossier de responsabilité, de cybersécurité contractuelle ou de contentieux impliquant une entreprise ou une administration, consultez également notre page consacrée au droit des affaires à Paris.
Besoin d’un avis rapide sur votre dossier.
Vous êtes agent, entreprise ou personne concernée par une compromission de messagerie, une fuite de données ou une notification d’incident ? Un examen rapide permet d’identifier les preuves à préserver, la démarche prioritaire et la juridiction compétente.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.