Une intrusion, plusieurs responsables : ce que la fuite du logisticien de Steam révèle de la sous-traitance sous RGPD
Le point de départ
Il existe une catégorie d'incidents que la presse raconte mal, parce qu'elle n'a pas de coupable évident. Une entreprise que vous connaissez vous écrit pour vous prévenir que vos données ont fuité, tout en précisant qu'elle n'a subi aucune intrusion. Elle dit vrai. Ce qui a été attaqué, c'est un prestataire dont vous n'aviez jamais entendu parler, et qui détenait vos données parce qu'il fallait bien que quelqu'un mette le colis dans un camion.
C'est exactement ce qui s'est produit début août 2026. Entre le 29 juillet et le 1er août, CEVA Logistics subit une intrusion informatique qui affecte huit de ses entrepôts européens, sur la partie « logistique contractuelle » de son activité — la gestion d'entrepôts et de commandes pour le compte de marques clientes. CEVA n'est pas un acteur marginal : plus d'un millier d'entrepôts dans le monde, société dont le siège se trouve à Marseille, filiale du groupe CMA CGM depuis 2019, conseil d'administration présidé par Rodolphe Saadé.
Le 7 août, Valve — l'éditeur de Steam — est informée que ses données clients ont probablement été compromises. Le 10 août, elle écrit aux acheteurs européens de la Steam Machine et du Steam Controller. La liste de ce qui a pu partir est précise : nom, adresse postale, pays, numéro de téléphone, adresse e-mail, type de matériel commandé et prix payé. Ce qui n'est pas parti l'est tout autant : aucun moyen de paiement, aucun mot de passe, aucun code Steam Guard — pour la raison simple que le logisticien n'y a jamais eu accès. Il n'y a rien à changer sur son compte Steam ; il y a en revanche tout à craindre du hameçonnage, ce que Valve dit sans détour à ses clients.
Et Valve n'est pas seule. Le même incident a produit des alertes chez le marchand néerlandais Bol, qui a suspendu ses échanges de données avec le prestataire et mis temporairement hors ligne les produits stockés sur le site concerné, et chez le grand magasin De Bijenkorf. Selon les médias néerlandais, des données de livraison de clients de l'Ajax Amsterdam, de la banque ING et du lunetier Ace & Tate seraient également concernées.
La qualification juridique, et pourquoi elle décide de tout
Le RGPD répartit les rôles selon un critère unique : qui décide. Le responsable du traitement est celui qui détermine les finalités et les moyens (article 4, 7)). Le sous-traitant est celui qui traite pour le compte du responsable, sur instruction documentée (articles 4, 8) et 29). Ici, chaque marchand est responsable de traitement pour ses propres clients ; le logisticien est sous-traitant, autant de fois qu'il a de clients.
Cette qualification n'est pas une étiquette : elle distribue les obligations. Et le point que l'affaire illustre parfaitement, c'est qu'elle ne les distribue pas de manière exclusive. Elle les dédouble.
Côté sous-traitant, le RGPD de 2018 a rompu avec l'ancienne logique où le prestataire n'était comptable que devant son client. Il est aujourd'hui directement soumis à l'obligation de sécurité de l'article 32, exactement comme le responsable. Il doit, en vertu de l'article 33 § 2, notifier à chaque responsable de traitement toute violation « dans les meilleurs délais après en avoir pris connaissance ». Il doit, au titre de l'article 28 § 3 f), assister ses clients dans le respect de leurs propres obligations des articles 32 à 36. S'il recourt lui-même à un sous-traitant ultérieur, l'article 28 § 4 impose les mêmes obligations en cascade — et précise que le sous-traitant initial demeure pleinement responsable devant son client de l'exécution par le maillon suivant. Enfin, l'article 83 § 4 a) permet de le sanctionner pour son propre compte, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
Côté responsable de traitement, rien n'est délégué. L'article 33 § 1 lui impose de notifier la violation à son autorité de contrôle dans les 72 heures après en avoir pris connaissance, à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les personnes. L'article 34 lui impose, en cas de risque élevé, de communiquer directement avec les personnes concernées. Et l'article 28 § 1 lui reproche, en amont, d'avoir choisi un prestataire ne présentant pas de garanties suffisantes.
Le résultat est le scénario que la sous-traitance rend structurellement probable : une intrusion, N responsables de traitement. Aucun des marchands cités n'a été pénétré. Tous doivent tenir leur propre horloge, faire leur propre analyse de risque, rédiger leur propre notification et l'assumer devant leur propre autorité.
Trois détails techniques qui pèsent plus que les principes
Le premier est la durée de conservation. Le logisticien conserve les informations d'expédition jusqu'à 90 jours après la commande. Ce paramètre — un chiffre dans une politique de rétention, sans doute jamais discuté en comité — est ce qui transforme une intrusion de trois jours en fuite portant sur un trimestre entier de commandes. L'article 5 § 1 e), la limitation de la conservation, est trop souvent lu comme une exigence de propreté documentaire. C'est en réalité un paramètre de réduction de surface : la donnée effacée est la seule qui ne fuite jamais.
Le deuxième est le contenu du contrat de sous-traitance. La presse rapporte que Valve « fait pression » sur son prestataire pour connaître l'étendue exacte de ce qui a été volé et la manière dont l'extraction s'est déroulée. Cette phrase est le symptôme d'une clause manquante. Un contrat d'article 28 utile ne se contente pas de rappeler que le RGPD s'applique : il chiffre le délai de notification au client — 24 heures, 48 heures — il désigne un canal, il impose la fourniture du périmètre exact des catégories de données touchées, il prévoit des droits d'audit et des engagements de journalisation. Sans cela, le responsable de traitement se retrouve à devoir notifier une violation dont il ne connaît ni l'ampleur ni la nature, pendant que son compteur de 72 heures tourne déjà. L'article 33 § 4 autorise certes une notification par phases, mais il faut avoir commencé.
Le troisième est le guichet unique. Le mécanisme de l'autorité de contrôle chef de file, prévu à l'article 56, permet à une organisation de n'avoir qu'un interlocuteur pour toute l'Union. Mais il suppose un établissement principal dans l'Union. Un responsable de traitement établi hors de l'Union et soumis au RGPD par le seul effet de l'article 3 § 2 — parce qu'il offre des biens ou services à des personnes situées dans l'Union — n'en bénéficie pas : chaque autorité nationale reste compétente pour son territoire, et l'article 27 lui impose par ailleurs de désigner un représentant dans l'Union. D'où la formule employée par Valve, qui informe « les autorités de protection des données dans les pays concernés », au pluriel. Ce n'est pas de la prudence rédactionnelle, c'est la conséquence exacte du texte.
Ce que la personne concernée peut faire
L'article 82 § 2 pose que le sous-traitant n'est responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations du règlement qui lui incombent spécifiquement, ou s'il a agi en dehors des instructions licites du responsable — ou contrairement à celles-ci. Mais le § 4 ajoute une règle décisive pour la victime : lorsque plusieurs acteurs sont impliqués dans le même traitement et sont responsables du dommage, chacun peut être tenu de la réparation intégrale, à charge pour lui de se retourner ensuite contre les autres (§ 5). Autrement dit, la personne dont l'adresse a fuité n'a pas à démêler la chaîne contractuelle : elle peut s'adresser à celui qu'elle connaît.
Reste la nature du préjudice. Ici, les données perdues ne sont pas sensibles au sens de l'article 9, et il n'y a ni identifiant bancaire ni secret d'authentification. Le risque réel est le hameçonnage contextuel : un message qui cite votre adresse exacte, le modèle que vous avez commandé et son prix, et qui vous demande de régler des « frais de douane » ou de vous connecter pour « vérifier » votre livraison. La donnée la moins sensible du dossier est précisément celle qui rend l'attaque crédible — et c'est pourquoi Valve consacre l'essentiel de son message non à des excuses, mais à des instructions d'hygiène : ne jamais cliquer sur un lien de suivi reçu par message, saisir soi-même l'URL, savoir qu'aucun transporteur ne demandera jamais un code d'authentification à double facteur.
Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)
Voici cinq angles au choix pour orienter la conversation générée ; chacun se colle tel quel dans le champ de personnalisation.
Angle 1 — Cartographier la chaîne de sous-traitance comme une surface d'attaque. Traitez le sujet du point de vue d'un auditeur offensif : partez du constat que la donnée client vit chez des tiers logistiques, marketing et support dont la marque n'a pas la maîtrise technique. Expliquez comment on reconstitue cette chaîne depuis l'extérieur — registre des traitements, politique de confidentialité, en-têtes d'e-mails transactionnels, transporteurs mentionnés au suivi de commande — et pourquoi le maillon le plus exposé est rarement celui qu'on audite.
Angle 2 — Écrire la clause d'article 28 que Valve aurait aimé avoir. Concentrez-vous sur la rédaction contractuelle. Détaillez, point par point, ce qu'une clause de notification réellement opérante doit contenir : délai chiffré, canal et destinataire nommé, obligation de communiquer les catégories exactes de données touchées, engagements de journalisation et de conservation des traces, droit d'audit, pénalités. Opposez systématiquement la clause de style à la clause exécutable.
Angle 3 — La rétention comme paramètre de sécurité, pas de conformité. Prenez les 90 jours de conservation post-livraison comme fil directeur et montrez que l'article 5 § 1 e) est un contrôle de réduction de surface avant d'être une exigence documentaire. Discutez comment instrumenter cela : politiques de purge automatisées, tests de vérification de l'effacement effectif, écart entre la durée annoncée et la durée réelle dans les sauvegardes et les journaux.
Angle 4 — Automatiser l'horloge des 72 heures. Adoptez le point de vue d'un consultant en automatisation : décrivez la conception d'un pipeline de réponse à violation qui déclenche sur alerte d'un sous-traitant, horodate la « prise de connaissance », instancie une fiche par autorité nationale compétente, pré-remplit les éléments de l'article 33 § 3 et gère la notification par phases de l'article 33 § 4. Insistez sur le cas sans guichet unique, où le nombre de dossiers à ouvrir est égal au nombre d'États membres concernés.
Angle 5 — Comparer avec les affaires déjà traitées dans ce dépôt. Mettez cette fuite en regard de la sanction CNIL contre France Travail du 22 janvier 2026 (module du 5 août, article 32 et mesures identifiées mais non déployées) : dans un cas le responsable de traitement est attaqué directement et sanctionné pour ses propres carences, dans l'autre le responsable n'est pas pénétré du tout. Discutez de ce que cette différence change au quantum, à la charge de la preuve et à la stratégie de défense devant le régulateur.