RGPD art. 4, 7) et 8) — définitions du responsable du traitement et du sous-traitantRGPD art. 28 §1, §3 f), §4 — garanties suffisantes, contrat écrit, assistance aux articles 32 à 36, chaîne de sous-traitanceRGPD art. 29 — traitement sur instruction documentée uniquementRGPD art. 32 — sécurité du traitement, obligation pesant sur le responsable et sur le sous-traitantRGPD art. 33 §1 — notification à l'autorité de contrôle sous 72 h par le responsableRGPD art. 33 §2 — le sous-traitant notifie le responsable dans les meilleurs délaisRGPD art. 34 — communication aux personnes concernées en cas de risque élevéRGPD art. 5 §1 e) — limitation de la durée de conservationRGPD art. 82 §2, §4 et §5 — responsabilité du sous-traitant, solidarité envers la personne, action récursoireRGPD art. 83 §4 a) — 10 M€ ou 2 % du chiffre d'affaires mondial, applicable au sous-traitantRGPD art. 3 §2, art. 27 et art. 56 — champ territorial, représentant dans l'Union, guichet uniqueEntre le 29 juillet et le 1er août 2026, CEVA Logistics — société dont le siège est à Marseille, filiale du groupe CMA CGM depuis 2019 et dont le conseil d'administration est présidé par Rodolphe Saadé — subit une intrusion qui touche huit entrepôts européens de son activité de logistique contractuelle.
Valve, qui lui confie l'expédition de la Steam Machine et du Steam Controller en Europe, est prévenue le 7 août et alerte ses clients : ont pu être exfiltrés nom, adresse postale, pays, téléphone, e-mail, type et prix du matériel commandé. Ni moyens de paiement, ni mots de passe, ni codes Steam Guard — CEVA n'y a jamais eu accès. Le transporteur conserve ces données jusqu'à 90 jours après la commande.
Le même incident a fait sortir des alertes chez Bol et De Bijenkorf ; selon les médias néerlandais, les données de livraison de clients de l'Ajax Amsterdam, d'ING et d'Ace & Tate seraient également concernées. Valve indique informer « les autorités de protection des données dans les pays concernés » — au pluriel.
C'est le scénario que la sous-traitance rend structurellement probable : une intrusion, N responsables de traitement. Aucun des commerçants concernés n'a été pénétré ; tous doivent pourtant tenir leur propre horloge de 72 heures, faire leur propre analyse de risque et rendre des comptes devant leur propre autorité. Et la question du guichet unique n'est pas théorique : le mécanisme de l'autorité chef de file suppose un établissement principal dans l'Union. Un responsable de traitement qui n'en a pas — cas d'un éditeur américain soumis au RGPD par l'article 3 § 2 — ne bénéficie d'aucun point de contact unique : chaque autorité nationale est compétente pour son territoire. D'où les notifications multiples.
Deux points de contrôle en découlent, très concrets. D'abord la durée de conservation : les 90 jours de rétention post-livraison sont exactement ce qui transforme un incident de trois jours en fuite portant sur un trimestre de commandes — l'article 5 § 1 e) n'est pas une clause de style, c'est un plafond de dégâts. Ensuite le contenu du contrat de l'article 28 : sans délai chiffré de notification au client, sans engagement de fournir le périmètre exact des données touchées, le responsable de traitement se retrouve dans la position de Valve, réduite à « faire pression » sur son prestataire pour savoir ce qui a été volé — alors que son compteur réglementaire, lui, tourne déjà.