tech
OPINION. « Cyberattaques : informer les victimes ne devrait pas être la dernière étape de la gestion de crise »
Marie-José Promeneur critique la gestion de l'information aux victimes de cyberattaques via des décisions de la CNIL.
Key points
- L'Hôpital privé de la Loire n'a pas averti individuellement 202 246 tiers de confiance après une intrusion en juillet 2025.
- Une attaque d'octobre 2024 a touché 24 millions de contrats chez Free et Free Mobile, incluant des IBAN.
- La CNIL a sanctionné Free pour des communications initiales imprécises sur les conséquences de la violation de données.
Why it matters. Ces décisions soulignent l'obligation pour les organisations de fournir une information complète et accessible à toutes les personnes exposées, et non seulement aux clients.
La juriste Marie-José Promeneur analyse des décisions de la CNIL concernant la gestion des cyberattaques. L'Hôpital privé de la Loire a exfiltré 524 867 fiches patients et 202 246 données de tiers non avertis individuellement en juillet 2025. En octobre 2024, Free et Free Mobile ont compromis 24 millions de contrats, mais la CNIL a jugé leurs communications de janvier 2026 insuffisantes sur les risques.
Latest updates
OPINION. « Cyberattaques : informer les victimes ne devrait pas être la dernière étape de la gestion de crise »
Des millions de personnes, patients ou abonnés, se retrouvent exposées après des cyberattaques, mais ne sont pas toujours informées adéquatement. Les cas de Free et de l'Hôpital privé de la Loire, épinglés par la CNIL, révèlent que l'information transmise est souvent incomplète ou tardive, laissant les victimes démunies face aux risques. Une défaillance qui accroît leur vulnérabilité. Par Marie-José Promeneur, Juriste et consultante en protection des données et gouvernance des données (*) Une cyberattaque ne met pas seulement à l'épreuve la sécurité informatique d'une organisation. Elle révèle aussi sa capacité à prendre des décisions concernant les personnes dont les données ont été exposées. Savoir ce qui a été compromis est indispensable ; déterminer qui doit être averti, de quoi et à quel moment exige un autre travail. Or ces deux dimensions de la gestion de crise peuvent avancer à des rythmes différents, au détriment des personnes. Les décisions récentes de la CNIL concernant l'Hôpital privé de la Loire et Free / Free Mobile illustrent deux situations distinctes : des personnes identifiables qui n'ont pas été directement averties, et des abonnés contactés sans recevoir, dès le premier message, les informations requises pour comprendre suffisamment les conséquences possibles d'une violation. Ces affaires interrogent une même capacité de gouvernance : faire parvenir une info.