Incapables !
Les fuites de données personnelles vont continuer, encore et encore...
Depuis 1997, l'auteur de ces lignes pointe l'inaction des entreprises et des administrations en matière de protection des données personnelles. D'une part la sécurité informatique est délaissée, d'autre part les données sont monétisées. Ces deux points ne sont pas décorrélés. Résultat, les utilisateurs sont plongés dans un cauchemar numérique sans même le savoir, avant même que leurs données ne fuitent.
Lorsque Internet est devenu accessible au grand public, les machines avaient un rôle : faire circuler l'information. Les tuyaux étaient la voie (on les appelait « les autoroutes de l'information »). Les machines faisaient ce qu'on leur demandait. Amener la donnée d'un point A à un point B. Et puis ça s'est gâté.
Les entreprises, très frileuses au début, ont débarqué en masse. Elles ont dépensé ses millions pour des sites Web faits à la va-vite. Tellement à la va-vite que leurs serveurs étaient de véritables passoires. Les données confidentielles des entreprises fuitaient, les données personnelles de leurs clients s'étalaient sur le Net.
L'auteur de ces lignes s'était d'ailleurs fait une spécialité de raconter dans des articles les mésaventures des boites ou des administrations de tous pays qui affichaient côté marketing un message triomphant sur leurs présence sur Internet et de l'autre, les données personnelles de leurs clients ou leurs plans stratégiques les plus confidentiels. Copies d'écran à l'appui, pour le #LULZ...
Chaque année, l'idée de pouvoir trouver des serveurs aussi importants mal configurés semblait à première vue un challenge. La source d'articles allait forcément se tarir au fur et à mesure que ces technologies devenaient mieux connues, que la sécurité informatique se faisait plus présente, que les bugs étaient révélés avec l'apparition du mouvement du « full disclosure » et de BugTraq. Et pourtant... Chaque année, c'était exactement la même histoire, ou pire. Cela a duré jusqu'en 2011, date de création de Reflets.
Et donc ?
Cela signifie une chose. Les responsables des serveurs connectés à Internet ne mettent pas les moyens nécessaires pour sécuriser les données qu'ils collectent ou hébergent, contrairement à ce que la loi leur impose. Aucun n'est jamais poursuivi. On pourchasse les auteurs de piratages. Pas ceux qui ont laissé la porte ouverte.
Article 32 du RGPD - Sécurité et traitement
Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:
a) la pseudonymisation et le chiffrement des données à caractère personnel; b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite. L'application d'un code de conduite approuvé comme le prévoit l'article 40 ou d'un mécanisme de certification approuvé comme le prévoit l'article 42 peut servir d'élément pour démontrer le respect des exigences prévues au paragraphe 1 du présent article.
Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement, à moins d'y être obligée par le droit de l'Union ou le droit d'un État membre.
Certains diront que la complexification des systèmes rend une sécurité optimale difficile, sachant par ailleurs qu'une sécurité totale est impossible.
Mais dans le même temps, la sécurité informatique a fait de gros progrès. Si tout fuite au rythme actuel, qui suscite des articles sensationnalistes dans la presse généraliste, c'est que des gens ne mettent pas les moyens nécessaires.
Il faut dire que la sécurité informatique est un coût. Et qu'en face, il est impossible de mettre une recette. On dépense « au cas où » il y aurait un piratage, qui pourrait avoir un coût en termes d'image et donc générer une fuite de clients effrayés. Mais peut-être que cela n'arrivera pas ou même, que les clients ne fuiront pas après un piratage car ils sont désormais blasés...
Bref, il existe des solutions qui permettent de repousser la plupart des attaques. Si elles ne sont pas mises en place, c'est que quelqu'un a fait le choix de sacrifier vos données.
Mais encore ?
Ces données, elles sont sacrifiées chaque jour, à chaque instant, dès que vous consultez un site. Quand vous chargez la page d'accueil d'un journal (prenons le Figaro au hasard, mais ça vaut pour les autres), celui-ci envoie à des dizaines de boites, souvent aux États-Unis, vos données. Cela comprend (liste non exhaustive) votre adresse IP (géolocalisable), votre taille d'écran, sa résolution (qui donne une indication sur vos moyens financiers), la version de votre système d'exploitation, celle de votre navigateur... Prises isolément, ces informations ont peu de valeur. Conservées dans un « lac de données », elles permettent de faire de la corrélation.
Par exemple, Google voit ces informations lorsque vous consultez la page résultant d'une recherche « zoophilie avec des teckels morts » sur Pornhub. Google les obtient de deux manières. Il livre les polices de caractère qui permettent au site de créer de belles pages pour vous livrer le résultat de votre recherche sur la zoophilie avec les teckels morts. Il fait également la mesure d'audience pour le site Pornhub.
Et comme vous avez un onglet ouvert avec votre Gmail, Google peut faire de la corrélation et joindre à votre fiche (revendue en permanence) vos préférences sexuelles pour les teckels morts. Cela marche aussi pour vos préférences politiques. Si vous passez 70% de votre temps sur des sites « de gauche », Google va remplir votre fiche en conséquence puisqu'il fait la mesure d'audience de la majorité des sites sur le Web.
Mais Google n'est pas seul sur ce créneau. On peut citer Meta mais aussi, pourquoi pas, Cloudflare qui, selon W3Techs officie comme reverse proxy de 24,2 % de l'ensemble des sites web au 28 juillet 2026. Ajoutons les boites ou les particuliers qui se servent des DNS de Google ou de Cloudflare. Notre navigation, lorsque nous tombons sur un site « protégé » par Cloudfare, est transparente pour cette boite américaine.
Quant à votre téléphone, c'est pire. Tous les jeux auquels vous jouez monétisent vos données, votre position, le tout étant bien sûr accessible contre monnaie sonnante et trébuchante.
C'est grave ? Je n'ai rien à cacher moi...
Vous êtes sûr de n'avoir rien à cacher ? Même votre attirance pour les teckels morts ? Plus sérieusement, il ne vous viendrait pas à l'idée de dévoiler le code secret de votre carte bancaire ou les détails de votre dossier médical.
Plus terre à terre, ce qui n'est pas interdit aujourd'hui pourrait bien le devenir demain.
Or les outils de surveillance massive mis en place par les gouvernements de droite et de gauche permettront à un gouvernement d'extrême droite de ravager les vies de tous ceux qui leur déplairont (à terme tout le monde) car les lois changent surtout lorsqu'un parti d'extrême droite prend le pouvoir.
Mais l'histoire est gravée dans le marbre sur Internet et peut être révélée par ces outils. Déjà aujourd'hui une simple recherche OSINT ou dans une base de leaks (données qui ont fuité sur Internet) permet de révéler si un secrétaire général de l'Élysée a ouvert un compte sur Pornhub (ou que quelqu'un l'a fait pour lui - cherchons lui une excuse). Cela permet de lister toutes les applications de rencontres sur lesquelles un mail est enregistré, sans limite de temps... Mais aussi, tous les mails, les pseudos, les mots de passe qui ont fuité, les numéros de téléphone, les IBANS, on en passe.
On parle beaucoup dans la presse généraliste d'usurpation d'identité ou de campagnes de désinformation. Imaginez le bond en avant qui va être réalisé lorsque des acteurs malveillants auront installé leurs propres serveurs avec des LLMs (IA) de type Mistral ou DeepSeek.
On fait quoi du coup ?
Premier point, on prie pour que les incapables qui collectent nos données décident enfin de mettre les moyens financiers et techniques pour les protéger.
Pour le reste, c'est foutu. Tout le monde collecte des données. Même ceux que vous soupçonnez le moins. Et ceux qui ne les collectent pas les partagent avec des boites étrangères (trackers). Du coup, les articles alarmistes et autres cries d'orfraie ne servent pas à grand chose. Le constat est sans appel : il n'y a rien à faire. Ce qui est mis sur Internet a vocation à devenir public un jour ou l'autre.
C'est foutu également car toutes les données qui ont fuité ont été « photocopiées » sur des dizaines ou des centaines de serveurs (c'est ce que fait Internet depuis toujours). Vos données sont déjà dans la nature et rien ne pourra les faire disparaître. Plus le temps passe, plus des acteurs (bienveillants ou malveillants) se les approprient. Et la démocratie étant une chose fragile, on ne sait pas bien ce que ferait un État policier d'un « fichier » pire que celui de la Stasi.