11 milliards de données consultables Une plateforme de « lookup » agrège plus de 11 milliards de données personnelles issues de violations, les rend interrogeables et fait payer les personnes qui veulent les faire retirer. La ministre déléguée au Numérique a saisi le procureur de Paris. La CNIL rappelle que ces services ne sont pas conformes à la législation, tout en admettant qu'ils sont difficiles à faire fermer. Parfois, note-t-elle, le service est proposé par ceux-là mêmes qui ont volé les données. L'effacement transformé en produit Le modèle a quelque chose de vertigineux. Le droit à l'effacement, garanti par l'article 17 du RGPD, devient une prestation facturée par l'entité qui exploite illicitement les données. Et la personne concernée n'a souvent aucun autre interlocuteur identifiable. Une fuite qui ne vieillit plus Longtemps, une base volée suivait un cycle relativement court : revente sur un forum, exploitation, puis oubli progressif. L'agrégation change cette dynamique. Les données sont croisées entre fuites, indexées, recherchables par nom, mail ou téléphone. Une adresse exposée il y a plusieurs années reste un point d'entrée pour l'hameçonnage ciblé ou l'usurpation d'identité. Durablement. Conséquences pour l'évaluation des violations Pour le responsable de traitement à l'origine d'une fuite, deux réflexes méritent d'être revus. Le premier touche l'évaluation du risque au moment de la notification à la CNIL. Classer une adresse mail ou un numéro de téléphone en risque faible devient difficile à justifier quand ces données seront combinées à d'autres sources. Le second touche l'information des personnes : un simple appel à la vigilance ne suffit pas si leurs données restent consultables pendant des années. Ce qui reste maîtrisable La seule protection durable se situe en amont. Minimisation des données collectées, durées de conservation réellement appliquées, chiffrement de ce qui n'a pas besoin d'être lisible en clair. Une donnée supprimée à temps ne finit dans aucun index.
