# Brief — Valve n'a pas été piraté, et votre adresse a quand même fuité : la leçon RGPD du logisticien marseillais de CMA CGM

**Thème : données personnelles et cybersécurité — chaîne de sous-traitance, notification de violation (articles 28, 33 et 34 RGPD), guichet unique et responsabilité solidaire**

Entre le **29 juillet et le 1er août 2026**, **CEVA Logistics** — siège à **Marseille**, filiale du groupe **CMA CGM** depuis 2019, conseil d'administration présidé par **Rodolphe Saadé** — a subi une intrusion touchant **huit entrepôts européens** de son activité de logistique contractuelle. **Valve**, qui lui confie l'expédition de la **Steam Machine** et du **Steam Controller** en Europe, a été prévenue le **7 août** et a alerté ses clients le **10 août** : ont pu être exfiltrés **nom, adresse postale, pays, téléphone, e-mail, type et prix du matériel commandé**. Ni moyens de paiement, ni mots de passe, ni codes Steam Guard — le logisticien n'y a jamais eu accès. Le même incident a produit des alertes chez **Bol** et **De Bijenkorf**, et, selon les médias néerlandais, des données de livraison de clients de l'**Ajax Amsterdam**, d'**ING** et d'**Ace & Tate** seraient également concernées.

Le point de droit est celui que la sous-traitance rend structurellement probable : **une intrusion, N responsables de traitement**. Aucun de ces marchands n'a été pénétré, et pourtant chacun reste seul tenu, au titre de l'**article 33 § 1 du RGPD**, de notifier sa propre autorité de contrôle **dans les 72 heures** après en avoir pris connaissance, puis, si le risque est élevé, d'avertir les personnes concernées (**article 34**). Le sous-traitant, lui, n'échappe à rien : il est directement soumis à l'obligation de sécurité de l'**article 32**, doit alerter chacun de ses clients « dans les meilleurs délais » (**article 33 § 2**), les assister dans leurs propres obligations (**article 28 § 3 f)**), et encourt pour son propre compte l'amende de l'**article 83 § 4 a)** — 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Envers la personne lésée, l'**article 82 § 4** ajoute une solidarité : chacun peut être tenu de la réparation intégrale, quitte à se retourner ensuite contre les autres (§ 5).

Deux détails de l'affaire valent plus que de longs développements. D'abord le **guichet unique** : le mécanisme de l'autorité chef de file (**article 56**) suppose un *établissement principal dans l'Union*. Un responsable de traitement qui n'en a pas, soumis au RGPD par l'**article 3 § 2**, n'a donc aucun interlocuteur unique — chaque autorité nationale est compétente pour son territoire. D'où la formule employée par Valve : informer « les autorités de protection des données dans les pays concernés », au pluriel. Ensuite la **durée de conservation** : le logisticien garde les informations d'expédition **jusqu'à 90 jours après la commande**. C'est exactement ce paramètre qui transforme une intrusion de trois jours en fuite portant sur un trimestre de commandes. L'**article 5 § 1 e)** n'est pas une clause de style, c'est un plafond de dégâts.

Pour un praticien de la sécurité offensive et de l'automatisation, la conséquence est opérationnelle. La clause de l'**article 28** qui compte n'est pas celle qui rappelle le RGPD, c'est celle qui **chiffre** le délai de notification au client et **oblige le prestataire à fournir le périmètre exact des données touchées** — faute de quoi le responsable de traitement se retrouve dans la position décrite par la presse, à « faire pression » sur son transporteur pour savoir ce qui a été volé pendant que son compteur de 72 heures tourne déjà. Et le risque résiduel, ici, n'est pas la revente des données : c'est le **hameçonnage contextuel**, un message qui cite votre adresse réelle et le prix exact de votre commande — la donnée la moins sensible du dossier étant, en pratique, celle qui rend l'attaque crédible.

## Sources

- [Next — « Valve alerte sur une fuite de données touchant des commandes d'appareils Steam en Europe », 10 août 2026](https://next.ink/brief-article/valve-alerte-sur-une-fuite-de-donnees-touchant-des-commandes-dappareils-steam-en-europe/)
- [The Register — « Cyberattack on logistics giant CEVA delivers customer data into the wrong hands », 11 août 2026 (huit entrepôts européens, Bol, De Bijenkorf, Ajax, ING, Ace & Tate)](https://www.theregister.com/cyber-crime/2026/08/11/cyberattack-on-logistics-giant-ceva-delivers-customer-data-into-the-wrong-hands/5286229)
- [FreightWaves — « Cyberattack on Ceva Logistics warehouses in Europe impacts retailers »](https://www.freightwaves.com/news/cyberattack-on-ceva-logistics-warehouses-in-europe-impacts-retailers)
- [Bol — « Security incident logistics partner of bol » (communication officielle du marchand à ses partenaires)](https://partnerplatform.bol.com/en/nadp/security-incident-logistics-partner-of-bol)
- [Infosecurity Magazine — « Logistics Giant Ceva Suffers Data Breach Impacting European Clients »](https://www.infosecurity-magazine.com/news/logistics-ceva-data-breach/)
- [NOS — « Ook Ajax en brillenketen Ace and Tate getroffen door datalek »](https://nos.nl/artikel/2625880-ook-ajax-en-brillenketen-ace-and-tate-getroffen-door-datalek)
- [CNIL — RGPD, chapitre IV : responsable du traitement et sous-traitant (articles 24 à 43, dont 28, 29, 32, 33 et 34)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4)
- [CNIL — Les violations de données personnelles : notifier l'autorité (72 h) et informer les personnes](https://www.cnil.fr/fr/cybersecurite/les-violations-de-donnees-personnelles)
- [CNIL — Guide du sous-traitant (obligations de l'article 28 et clauses attendues, PDF)](https://www.cnil.fr/sites/cnil/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf)
- [CNIL — Sécurité : gérer la sous-traitance](https://www.cnil.fr/fr/securite-gerer-la-sous-traitance)
- [CNIL — Sous-traitance : exemple de clauses contractuelles](https://www.cnil.fr/fr/sous-traitance-exemple-de-clauses)
- [CNIL — Responsable de traitement, sous-traitant : comment bien identifier son rôle ?](https://www.cnil.fr/fr/rgpd-comment-bien-identifier-son-role)
- [Groupe de travail « Article 29 » — Lignes directrices WP 250 rev.01 sur la notification de violation de données à caractère personnel (version française hébergée par la CNIL, PDF)](https://www.cnil.fr/sites/cnil/files/atoms/files/wp250rev01_fr.pdf)
- [actu-transport-logistique — « CMA CGM : le siège du groupe Ceva Logistics transféré à Marseille » (siège marseillais, appartenance au groupe CMA CGM)](https://www.actu-transport-logistique.fr/lantenne/actualite/logistique-supply-chain/cma-cgm-le-siege-du-groupe-ceva-logistics-transfere-a-marseille-742804.php)
- [Pappers — CEVA LOGISTICS SA, fiche d'immatriculation (siège 10 place de la Joliette, 13002 Marseille ; présidence du conseil d'administration)](https://www.pappers.fr/entreprise/ceva-logistics-sa-904868247)