L’État français impose la cybersécurité pendant qu’il expose massivement les données des Français
Les données de 62 848 agents et professionnels de France Travail ont été mises en vente sur un forum cybercriminel en ce début octobre, tandis que l’Agence de services et de paiement (ASP) subissait une cyberattaque affectant 29 611 personnes et que un million 390 mille lignes de données ont fui suite à l’attaque de VACAF. Le tableau n’est pas nouveau pour qui suit l’actualité française depuis janvier 2026 : une vague de brèches massives s’abat régulièrement sur les infrastructures publiques, exposant les informations les plus sensibles des Français.
Mais ce qui frappe vraiment, c’est le contraste saisissant entre cette débâcle numérique et la pression réglementaire tous azimuts que subit le secteur privé. La CNIL a sanctionné les sociétés Free Mobile et Free avec des amendes de 27 et 15 millions d’euros pour graves manquements à leurs obligations de sécurité après une cyberattaque en octobre 2024 ayant exposé les données de 24 millions de contrats. Les entreprises trembleraient devant la CNIL ; l’État, lui, accumule les débâcles sans jamais rendre des comptes de manière proportionnée.
Trois brèches majeures en six mois
Le 3 octobre 2026, la région Hauts-de-France subissait une cyberattaque massive exposant les données de 700 000 habitants via ses prestataires informatiques Atexo et Docaposte. Cet incident constitue la troisième intrusion majeure dans les systèmes publics français en six mois, après le piratage du site des impôts et celui du ministère de la Transition écologique.
Or ce qui rend cette situation insoutenable pour les citoyens français, c’est que un adolescent de 15 ans avait exploité une faille triviale et ancienne pour accéder aux données de 11,7 millions de comptes de l’Agence nationale des titres sécurisés. L’État français gère les documents d’identité numériques de ses citoyens avec un niveau de sécurité qu’un enfant peut contourner.
Plans d’action creux et impunité de l’État
Le mensonge institutionnel est béant. Le gouvernement Lecornu II a annoncé un plan d’action comprenant une généralisation de la double authentification, un programme de récompenses de découvertes de failles informatiques ainsi que l’usage d’intelligence artificielle dans la détection de défaillance de code. Beau programme sur le papier. Mais ces annonces sonnent creux quand les mêmes ministères qui les font continuent de perdre en masse les données qu’ils sont censés protéger.
Pire encore : cette répétition souligne une faille structurelle persistante : la chaîne d’approvisionnement informatique de l’État français reste dangereusement vulnérable. Ce n’est pas un accident, c’est un choix de ne pas investir vraiment, de confier à des prestataires sans vérifier, de maintenir des systèmes hérités sans mettre à jour. Et pendant ce temps, les entreprises et associations qui traitent aussi des données personnelles vivent dans la peur constante de la CNIL.
Une justice à deux vitesses
Le paradoxe est cuisant : l’État impose aux entreprises des obligations draconniennes de sécurité, conditionne ses marchés publics au respect du RGPD, multiplie les circulaires et les audits, mais ferme les yeux sur ses propres failles béantes. La réglementation française repose sur le RGPD et la loi Informatique et Libertés avec des autorisations préfectorales obligatoires ; les techniques d’interception numérique sont soumises à une autorisation gouvernementale et au contrôle de la CNCTR ; la CNIL peut prononcer des amendes significatives en cas de non-conformité. Sauf pour l’État lui-même, semble-t-il.
Ce qui devrait vraiment inquiéter, ce n’est pas seulement que les données fuient. C’est que l’État français démontre, chaque mois, qu’il ne maîtrise pas les outils numériques qu’il met en place pour contrôler la population. Il prêche la cybersécurité tout en creusant des gouffres de vulnérabilité. Il invoque l’ordre public pour surveiller, mais se montre incapable de protéger ce qu’il surveille.
La liberté numérique en France n’existe que sur le papier, quand l’État gère les données de la majorité avec l’incompétence d’un apprenti, et sanctionne les autres pour ne pas faire mieux qu’il ne le fait lui-même.
