Droit Vivant
Brief

↓ Version .md brute

Brief — Valve n'a pas été piraté, et votre adresse a quand même fuité : la leçon RGPD du logisticien marseillais de CMA CGM

Thème : données personnelles et cybersécurité — chaîne de sous-traitance, notification de violation (articles 28, 33 et 34 RGPD), guichet unique et responsabilité solidaire

Entre le 29 juillet et le 1er août 2026, CEVA Logistics — siège à Marseille, filiale du groupe CMA CGM depuis 2019, conseil d'administration présidé par Rodolphe Saadé — a subi une intrusion touchant huit entrepôts européens de son activité de logistique contractuelle. Valve, qui lui confie l'expédition de la Steam Machine et du Steam Controller en Europe, a été prévenue le 7 août et a alerté ses clients le 10 août : ont pu être exfiltrés nom, adresse postale, pays, téléphone, e-mail, type et prix du matériel commandé. Ni moyens de paiement, ni mots de passe, ni codes Steam Guard — le logisticien n'y a jamais eu accès. Le même incident a produit des alertes chez Bol et De Bijenkorf, et, selon les médias néerlandais, des données de livraison de clients de l'Ajax Amsterdam, d'ING et d'Ace & Tate seraient également concernées.

Le point de droit est celui que la sous-traitance rend structurellement probable : une intrusion, N responsables de traitement. Aucun de ces marchands n'a été pénétré, et pourtant chacun reste seul tenu, au titre de l'article 33 § 1 du RGPD, de notifier sa propre autorité de contrôle dans les 72 heures après en avoir pris connaissance, puis, si le risque est élevé, d'avertir les personnes concernées (article 34). Le sous-traitant, lui, n'échappe à rien : il est directement soumis à l'obligation de sécurité de l'article 32, doit alerter chacun de ses clients « dans les meilleurs délais » (article 33 § 2), les assister dans leurs propres obligations (article 28 § 3 f)), et encourt pour son propre compte l'amende de l'article 83 § 4 a) — 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Envers la personne lésée, l'article 82 § 4 ajoute une solidarité : chacun peut être tenu de la réparation intégrale, quitte à se retourner ensuite contre les autres (§ 5).

Deux détails de l'affaire valent plus que de longs développements. D'abord le guichet unique : le mécanisme de l'autorité chef de file (article 56) suppose un *établissement principal dans l'Union*. Un responsable de traitement qui n'en a pas, soumis au RGPD par l'article 3 § 2, n'a donc aucun interlocuteur unique — chaque autorité nationale est compétente pour son territoire. D'où la formule employée par Valve : informer « les autorités de protection des données dans les pays concernés », au pluriel. Ensuite la durée de conservation : le logisticien garde les informations d'expédition jusqu'à 90 jours après la commande. C'est exactement ce paramètre qui transforme une intrusion de trois jours en fuite portant sur un trimestre de commandes. L'article 5 § 1 e) n'est pas une clause de style, c'est un plafond de dégâts.

Pour un praticien de la sécurité offensive et de l'automatisation, la conséquence est opérationnelle. La clause de l'article 28 qui compte n'est pas celle qui rappelle le RGPD, c'est celle qui chiffre le délai de notification au client et oblige le prestataire à fournir le périmètre exact des données touchées — faute de quoi le responsable de traitement se retrouve dans la position décrite par la presse, à « faire pression » sur son transporteur pour savoir ce qui a été volé pendant que son compteur de 72 heures tourne déjà. Et le risque résiduel, ici, n'est pas la revente des données : c'est le hameçonnage contextuel, un message qui cite votre adresse réelle et le prix exact de votre commande — la donnée la moins sensible du dossier étant, en pratique, celle qui rend l'attaque crédible.

Sources