Mesdames, Messieurs,

Au cours des dernières années, la France a connu une succession continue de cyberattaques ayant conduit à des fuites massives de données personnelles touchant des millions de personnes, ainsi qu’à des coûts économiques considérables. Selon les données publiées par la Commission nationale de l’informatique et des libertés (CNIL), plus de 5 600 violations de données ont été recensées en 2024, soit une augmentation de 20 % en un an, avec une progression continue en 2025. Les autorités publiques reconnaissent elles‑mêmes une situation durable, décrite par M. Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) comme une « marée haute qui perdure ».

En janvier 2024, les opérateurs de tiers payant Viamedis et Almerys ont été victimes d’une cyberattaque massive, exposant les données de plusieurs millions d’assurés ([1]). En mars 2024, une attaque contre France Travail a conduit à la compromission des données de près de 36 à 43 millions de personnes, incluant des informations collectées sur une période pouvant atteindre vingt ans ([2]). En octobre 2024, l’opérateur Free a subi une fuite concernant près de 19 millions de clients, incluant des données bancaires ([3]).

En 2025, les incidents se poursuivent. Des fédérations sportives, des entreprises de télécommunications, des opérateurs d’infrastructures numériques ou encore des institutions publiques ont été touchés. Un logiciel médical utilisé par des médecins, développé par Cegedim, a été compromis, exposant les données administratives de 15 millions de personnes ainsi que des informations de santé particulièrement sensibles ([4]). La même année, une cyberattaque contre Bouygues Telecom a touché 6,4 millions de clients, avec des données comprenant des IBAN et des éléments d’état civil ([5]). Une intrusion a également concerné l’Urssaf, avec un accès frauduleux à des données portant sur environ 12 millions de salariés ([6]). Le fichier national des comptes bancaires (Ficoba) a fait l’objet d’une consultation illégale concernant plus d’un million de personnes ([7]). Des données issues du ministère de l’Intérieur, notamment du fichier de traitement des antécédents judiciaires (TAJ), ont été consultées à la suite d’une intrusion informatique ([8]).

Les systèmes concernés reposent sur une collecte massive et centralisée de données personnelles, souvent conservées sur de longues durées, ce qui augmente mécaniquement les risques et l’ampleur des fuites. Le délai entre la publication des vulnérabilités et leur exploitation effective s’est d’ailleurs fortement contracté, une part importante étant exploitée dans la journée, voire dans les heures suivant leur divulgation ; on parle alors de vulnérabilité jour‑zéro ([9]). Les moyens consacrés à la cybersécurité, à la maintenance des systèmes et à la formation des agents apparaissent insuffisants au regard de la sophistication croissante des attaques. La complexité des systèmes d’information et le recours à des prestataires multiples, parfois privés ou étrangers, rendent la sécurisation plus difficile et diluent les responsabilités. La France accuse d’ailleurs un retard préoccupant en matière de souveraineté numérique. Le recours à des prestataires et hébergeurs extra‑européens, ainsi que l’absence de stratégie industrielle cohérente dans le domaine de la cybersécurité, fragilisent la protection des données sensibles et exposent celles‑ci à des législations étrangères. Enfin, certaines attaques exploitent des failles élémentaires révélant des défaillances organisationnelles plus que technologiques. Près de 80 % des cyberattaques réussies résultent ainsi d’erreurs humaines ([10]).

Au‑delà de ces défaillances, ces incidents invitent à interroger le modèle même de collecte et de conservation des données personnelles. Depuis plusieurs années, une logique d’accumulation massive s’est imposée, tant dans les administrations que dans les entreprises privées, souvent sans que sa nécessité soit systématiquement démontrée. Cette accumulation répond également à des logiques économiques, dans lesquelles la donnée constitue une ressource valorisable, voire un actif stratégique. Dans ce contexte, les fuites ne peuvent être appréhendées comme de simples anomalies, mais comme les conséquences structurelles d’un modèle reposant sur la centralisation et la multiplication des données.

Les conséquences de ces violations de données ne sont pas uniformément réparties. Elles affectent de manière particulièrement aiguë les publics déjà exposés à des formes de précarité économique ou administrative, notamment les demandeurs d’emploi, les bénéficiaires de prestations sociales ou les patients. L’exploitation frauduleuse de leurs données peut entraîner des difficultés accrues d’accès à l’emploi, au logement ou au crédit, renforçant ainsi des inégalités préexistantes. Cette dimension sociale des cyberattaques demeure encore insuffisamment prise en compte dans l’évaluation des risques et des réponses publiques.

Par ailleurs, la circulation des données compromises sur des marchés parallèles ne constitue que le prolongement illégal d’une économie plus large fondée sur la captation, l’agrégation et l’exploitation des informations personnelles. De nombreux acteurs économiques tirent aujourd’hui une valeur significative de ces données, qu’il s’agisse de ciblage commercial, d’analyse comportementale ou d’évaluation des risques. Cette réalité interroge la frontière entre usages légitimes et détournements, et appelle à une réflexion approfondie sur les conditions dans lesquelles les données personnelles peuvent être collectées, exploitées et éventuellement monétisées.

Ainsi, plusieurs interrogations demeurent. Quel est le niveau actuel d’accumulation des données personnelles en France, tant au sein des administrations que des acteurs privés, et comment a‑t‑il évolué au cours des dernières années ? Quelle est l’ampleur réelle du phénomène des cyberattaques en France : s’agit‑il d’une dégradation objective et mesurable de la sécurité des systèmes d’information, ou certaines représentations participent‑elles d’une amplification liée à des enjeux d’influence ? Quelle est l’ampleur effective des attaques réellement abouties, au‑delà des annonces ou des revendications parfois difficiles à vérifier ? Quelle est la nature exacte et le niveau de sensibilité des données concernées ?

Ces questions préalables conduisent à interroger les conditions de préparation et de réponse des différents acteurs. Les organismes publics et privés sont‑ils préparés de manière équivalente face à ces menaces ? Les services de l’État disposent‑ils de moyens homogènes et suffisants pour prévenir et détecter ces incidents ? Quels sont les risques concrets encourus par la population, par les institutions publiques et par l’économie nationale ? Enfin, pourquoi, au regard de l’ampleur des enjeux, ces questions ne font‑elles pas l’objet d’un débat démocratique approfondi ni de consultations à la hauteur des transformations en cours ?