+ Flicage des courriels : la CNIL va toujours plus loin dans la connivence avec l'industrie.

La CNIL publie de la documentation (lignes directrices, recommandations, guide, référentiel, …) afin d’orienter les responsables de traitement, sa famélique action répressive, et, plus rarement encore, les personnes concernées.

Durant la préparation, la CNIL réalise des consultations du public… et/ou des concertations privées et opaques sur invitation à sa discrétion, souvent avec les seuls représentants des industriels, ou selon des modalités plus favorables à ceux-ci (périmètre élargi et/ou flexible, durée, format des réponses, …). Actuellement, PURR conteste deux de ces concertations privées devant le juge administratif.

[…]

Résumons : depuis juin 2025 a minima, la CNIL travaille au long cours à une future recommandation. La société civile n’en est même pas informée. Seuls des représentants d’intérêts triés sur le volet par la CNIL y ont participé. Pourtant, c’est la société civile qui subira la mise en œuvre de la future recommandation par les industriels… sans avoir pu dire un mot.

Cette opacité de la CNIL, jusqu’à l’intitulé d’un travail en cours, ne permet pas à la société civile de contrôler la CNIL ni de lui demander des comptes en temps utile : impossible de savoir sur quoi travaille la CNIL, ni d’influer dessus, ni de faire mûrir le sujet dans le débat public, ni de s’assurer de la régularité des travaux, ni, si besoin, de faire intervenir le juge administratif en temps utile pour, par exemple, faire cesser ces travaux ou y ménager une place significative pour la société civile.

La CNIL joue la politique du fait accompli : la société civile sera informée quand elle ne pourra plus agir.

PURR s’oppose vivement à ces pratiques délétères de la CNIL.

La CNIL publie de la documentation (lignes directrices, recommandations, guide, référentiel) afin d’orienter les responsables de traitement, sa famélique action répressive, et, plus rarement, les personnes concernées.

Durant la préparation, la CNIL réalise des consultations du public… et/ou des concertations privées et opaques sur invitation à sa discrétion, souvent avec les seuls représentants des industriels, ou selon des modalités favorables à ceux-ci (périmètre élargi et/ou flexible, durée, format des réponses, etc.).

[…]

Mais, la CNIL ne s’est pas arrêtée en si bon chemin !

[…]

Donc, deux des plus importants représentants des entités qui nous fliquent le plus [l'Alliance Digitale et le GESTE] ont été de nouveau auditionnés par la CNIL, par son organe de décision, juste avant son examen d’un projet de recommandation lourdement contesté et issu d’une concertation privée de quasiment un an qui leur a fait la part belle. « Un format inhabituel » auquel PURR, et plus largement la société civile, n’a pas été conviée.

La CNIL se renferme toujours plus dans son opacité, sa compromission avec les acteurs qu’elle est censée réguler n’en est que toujours plus évidente, et elle s’éloigne toujours plus des personnes concernées qu’elle est censée protéger qui, dès lors ne peuvent plus avoir confiance en elle.

PURR s’oppose vivement à ces pratiques délétères de la CNIL.

Étonnamment, quand notre Association avait, elle, demandé à rencontrer la CNIL, nous avions été explicitement refusé au motif d’un manque de disponibilité de son Secrétaire Général, puis totalement ignoré par sa Présidente qui n’avait même pas répondu à notre courrier.

Rigolez pas, c'est avec votre pognon que la CNIL fait ça, environ 30 millions d'euros par an. 😡️

En 2025, PURR a participé aux consultations publiques de la CNIL sur le consentement multi-terminaux et sur les passerelles de filtrage web.

Mi-janvier 2026, la CNIL a publié sa recommandation sur le consentement multi-terminaux. PURR est la seule association de la société civile à y avoir participé. La CNIL n’a environ rien retenu de notre contribution, et nous le déplorons vivement.

Mi-mars 2026, la CNIL a publié sa recommandation sur les passerelles de filtrage web. Là encore, PURR est le seul participant de la société civile. La CNIL a retenu plusieurs des contributions de PURR, sans, pour plusieurs points, en faire état dans sa synthèse des contributions, mais sa recommandation reste très incomplète et insuffisante pour protéger le droit à la vie privée des travailleurs. Plus précisément : […]

+ Vidéo Police et IA : la surveillance de masse s’organise en secret
+ Guide sur le contrôle d'identité, la reco faciale, etc.
+ Autres guides pour savoir comment réagir face aux flics
+ La reconnaissance faciale déployée à grande échelle sur les téléphones des forces de l’ordre et Reconnaissance faciale illégale : la police prise en flagrant délit
+ 32 millions de contrôles d'identité par an hors routier, évidemment discriminatoires
+ Reco faciale TAJ hors contrôles d'identité

Aujourd’hui, nous lançons une offensive contre l’utilisation de la reconnaissance faciale, par la police, lors de simples contrôles d’identité dans la rue. En partenariat avec le média Disclose, nous publions un guide démontrant l’illégalité de cette pratique et, plus généralement, les dangers de cette technologie. Face à l’inaction des tribunaux, de la CNIL et des pouvoirs publics, il est temps de riposter et de s’organiser pour que ces pratiques soient sanctionnées et que soit enfin actée l’interdiction de la reconnaissance faciale.

Beaucoup pensent que la reconnaissance faciale n’existe pas en France, et que cette technologie serait réservée à des pays lointains et autoritaires. Pourtant, cela fait des années que la police s’en sert chaque jour, de façon illégale, sous la supervision de l’État. À travers le fichier de traitement des antécédents judiciaires (dit « TAJ »), les agents ont accès à un module de reconnaissance du visage aussi bien dans le cadre d’enquêtes que dans la rue, grâce à leur téléphone « NEO » . La reconnaissance faciale est ainsi massivement utilisée, de façon sauvage, par la police lors de contrôles d’identité. Pourtant, comme le révèle Disclose, cette pratique est totalement interdite. De plus, il n’existe aucun texte qui prévoie la manière dont la reconnaissance faciale peut être utilisée, par qui, dans quelle situation, avec quel contrôle. En dotant des milliers de policiers et gendarmes de ces outils, le ministère de l’intérieur a donc sciemment organisé une surveillance abusive et illégale.

Dès 2021, nous nous faisions l’écho de témoignages et de reportages attestant de cette pratique. Par ailleurs, nous attaquions – en vain – la reconnaissance faciale devant le Conseil d’État. Puis, en 2022, nous lancions une plainte collective devant la CNIL contre le fichier TAJ. Nous y pointions notamment le fait que la police prenne en photo les personnes lors de contrôles d’identité ou au cours de manifestations. Celle-ci est toujours en cours d’instruction et nous n’avons pour le moment pas de nouvelle. Cette utilisation de la reconnaissance faciale par la police continue d’être documentée, par exemple par le Bondy Blog à Paris en 2024, mais demeure toujours illégale.

+ Quand des pharmacies demandent d’envoyer les ordonnances sur… Gmail ou Hotmail (Sur ce point, Mon espace santé est un gain.) + La CNIL se penche sur IQVIA + Amende CNIL Cegedim.
+ Pendant 18 mois, des soignants discutaient publiquement de leurs patients sur Google Groupes et "Le Divan des médecins": ils violent leur serment sur Facebook et humilient leurs patients
+ Des emails en .gouv.fr, du CAC40 et d’écoles passent aussi chez Google et Microsoft
+ French Tech : 9 start-ups sur 10 confient leurs emails à Google ou Microsoft

En 2023, ma mairie voulait que j'lui envoie un courriel pour actualiser la déclaration d'un syndicat de salariés, avec les justificatifs d'identité, tout.

dig MX m'avait montré un serveur de messagerie en mail.protection.outlook.com, donc Microsoft.

J'ai déposé le dossier papier sur le bureau du préposé, un haut placé, en lui expliquant la situation : « balek, fréro lol ».

J'ai déposé une plainte CNIL (voir ici) : « balek fréro lol y a le Data Privacy Framework t'sais » aka courriel-type informel rédigé au conditionnel.

Côté sites web, c'est pareil : la CNIL, Légifrance, etc. recourent à Cloudflare et/ou à d'autres acteurs états-uniens.

Voilà, voilà. 😑️ Après, ça peut bien jaser de souveraineté, de protectionnisme, de circuit court, patati, patata. Faites ce que je dis, pas ce que je fais.

Via https://sebsauvage.net/links/?FdhiQw.

\o/

Plainte CNIL en décembre 2018. Amende CNIL en juin 2023. Décision CE en mars 2026. 7 ans… 😑️

Retrait consentement : prise en compte défaillante + n'entraînait pas la suppression des DCP collectées + absence preuve consentement + manque de transparence + réponse incomplète à droit d'accès + encadrement défaillant des RT conjoints.

L’augmentation récente des plaintes auprès de la CNIL a été initiée par l’organisme PURR (Association Pour Un RGPD Respecté), dont l’objectif est de signaler des manquements au RGPD, notamment dans le cadre d’une campagne ciblée lancée en début d’année.
[…]
Dans son document de référence, l’association PURR identifie ses principaux griefs, axés autour des meilleures pratiques de conformité de l’industrie :
[…]
Ne noyez pas l’information dans des contenus interminables ou peu accessibles.
[…]

J'étais pas prêt… Quand tes adversaires objectifs te flattent et ont mieux compris tes plaintes CNIL que la CNIL… 😑️

Le 6 mars 2026, le Canard enchaîné a publié un article portant sur le partage, par La Poste, des données à caractère personnel de ses clients avec des entités commerciales lors de la souscription d’un contrat de réexpédition de courrier, malgré l’opposition des clients.

Auprès du Canard, La Poste plaide un « dysfonctionnement ponctuel sur une période inférieure à un mois ».

Or, La Poste pratique cela depuis 2017 a minima. Comme l’expose le Volatile, il s’agit d’un secret de polichinelle puisque de très nombreux témoignages sont disponibles en ligne.

Fidèle à son habitude, la CNIL, pourtant saisie de réclamations, n’a jamais mis fin au mauvais comportement structurel de La Poste.

Nous avons écrit à la CNIL pour l’informer de cette situation et pour exiger, pour la énième fois, des mesures correctrices fortes à l’encontre des malfaisants en matière de protection des données personnelles comme La Poste.

Nous appelons également la CNIL à traiter nos plaintes vieilles de 11 mois portant sur une autre pratique abusive de La Poste, son « référentiel clients », dont la manifestation la plus visible est la demande, voire l’exigence, de fournir des coordonnées (numéro de téléphone, adresse emails) pour acheter des timbres classiques au guichet.

La branlette de la CNIL, c'est pas rien… 😡️

Nous avons participé à la concertation publique de la CNIL sur la démonstration du consentement.

Résumé de notre contribution :

• Nous déplorons l’absence de publicité intégrale de la concertation (absence de publicité du projet et des modalités de participation), ainsi que la briéveté du délai initial pour y participer ;
  
  
• En environnement non-authentifié, nous incitons vivement à renforcer et obliger la preuve de consentement autour d’une double validation, afin de juguler des pratiques détestables telles que le flood de double validation ou le blanchiment de données à caractère personnel à travers des jeux concours web fictifs, notamment en facilitant la démonstration, par la victime, d’un consentement usurpé ;
  
  
• Nous nous opposons vivement à l’exemption de preuve de consentement en matière de cookies et autres traceurs web. La limitation de l’exigence à la fourniture d’une preuve de procédé est contraire au RGPD ;
  […]

L'exemption partielle, depuis 2020, de preuve du consentement en matière de cookies et autres traceurs web, au profit d'une preuve de procédé, est problématique…

Fin 2024, j'ai acheté un ordiphone Google Pixel 6a reconditionné.

En août 2025, je constate qu'il se décharge alors que le chargeur est branché. Dans les Paramètres, Batterie, il y a écrit « Connecté, pas en charge ». De plus, j'observe des « sauts » du niveau de batterie alors qu'il est branché au secteur : par à-coups, il descend de plusieurs points (ex. : 92 % -> 86 % -> 78 %, etc.) avant de poursuivre une descente linéaire et habituelle. Brancher / débrancher le chargeur permet de rétablir le fonctionnement normal, mais pas toujours. Une fois, de nuit, il ne voulait pas charger au-delà de 92 %. Ceci dit, la chute du niveau de batterie est contrôlée, ça ne tombe pas à zéro, donc mon ordiphone charge, mais quand il le veut.

J'avais bien la dernière version d'Android (16). J'avais redémarré mon Pixel 6a plusieurs fois. J'avais constaté ces problèmes même quand il est éteint et en charge (c'est donc indépendant du système). J'avais utilisé une autre prise électrique murale, un autre chargeur et un autre câble USB : mêmes problèmes. Inversement, mon chargeur et mon câble chargeaient un autre smartphone sans problème.

J'ai eu le moral à zéro. Quand j'ai acheté un Pixel reconditionné, c'était pour être tranquille plusieurs années. J'avais eu des problèmes avec l'alimentation électrique de mes Samsung S3, je pensais avoir mangé mon pain noir. Perdu 🙁️.

Mi-septembre 2025, gonflé par le caractère hautement récurrent du problème, j'ai consulté le bugtracker de GrapheneOS (le système dérivé d'Android que j'utilise). J'y apprends un défaut de la batterie sur certains Pixel 6a, surchauffe, risque d'incendie, etc., et que, dès juillet 2025, Google a lancé un programme dédié de remplacement ou d'indemnisation ainsi qu'une mise à jour logicielle qui vise, d'une part, à éviter la surchauffe en réduisant la capacité de la batterie et sa vitesse de charge, et, d'autre part, à notifier les clients concernés qu'un « remplacement de la batterie » est « recommandé ».

GrapheneOS a importé cette deuxième fonctionnalité dans sa version 2025092700, mise à disposition dans le canal « stable » le 29 septembre 2025. Mon ordiphone m'a alors affiché la notification : sa batterie présentait bien un défaut.

Mi-septembre 2025, elle avait subi 405 cycles de charge. Les limitations de la batterie pour éviter une surchauffe s'activent après 400 cycles. Je pensais donc que c'était leur activation que j'ai perçue à partir d'août 2025. Mais ce n'est pas possible, car GrapheneOS n'a importé ces limitations qu'à partir de la version 2025090500 (1, 2). Donc… 🤷️

J'apprendrai que Google a déjà eu un problème avec la batterie de certains Pixel 4a, avec celle de certains Pixel 7a, et qu'elle a pris des précautions avec les Pixel 8 à 10. (Et après certains nous chantent que tout ce que font les GAFAM est or, qu'ils sont tr0f0r, des génies, trolololo 🤡️.)

Diagnostic technique

Sur les espaces communautaires en ligne, on retrouve toujours les mêmes logiciels conseillés pour vérifier l'état de la batterie.

Évidemment, il ne s'agit pas de logiciels sous licence libre, donc c'est no-go pour moi.

Ces logiciels prennent les infos qu'ils affichent auprès du système, donc on peut en faire pareil, sans eux :

• adb shell dumpsys battery ;
  
  
• adb shell cat /sys/class/power_supply/battery/[…], notamment health (santé), cycle_count (cycles de charge), temp (température), charge_full (capacité lors de la dernière recharge complète), charge_full_design (capacité nominale).

Les valeurs possibles sont explicitées dans les entêtes de programmation de Linux.

Mi-septembre 2025, je n'y voyais rien d'étrange : health = « good », cycle_count = « 405 », temp = « 286 ». charge_full était supérieur à charge_full_design, ce qui est impossible, mais ça arrive souvent, y compris sur un ordi portable.

Google

Comme exposé supra, Google met en œuvre un programme de remplacement / indemnisation pour la batterie des Pixel 6a vers laquelle renvoie la notification. Tous les 6a ne sont pas concernés.

J'ai commencé mes démarches mi-septembre 2025.

Pour vérifier l'éligibilité au programme, il faut créer un compte Google, donc vérification d'un 06 🙁️. (Rigolo : au lieu de taper une adresse emails @google.com, j'ai saisi une adresse @mondomaine.example, donc j'ai un compte Google avec cette adresse.) L'outil d'éligibilité, qui collecte fort logiquement l'IMEI, ne me dira pas si je suis concerné ou non 😑️ ("les GAFAM sont les seuls à proposer des interfaces intuitives trop bien" = trolololo 🤡️).

À ce moment-là, Google ne proposait pas de réparation (= remplacement de la batterie) en France (uniquement aux États-Unis d'Amérique, au Royaume-Uni et en Australie, de mémoire). J'ai eu le choix entre un virement bancaire de 100 $ américains via le prestataire de paiement Payoneer (que Google nomme « paiement en espèces ») ou un bon d'achat Google Store de 150 $ américains.

Le Google Store vend uniquement des Pixel 9 ou 10, dont le prix plancher est 549 €. Hors de question. Donc j'ai choisi le virement bancaire, dans l'intention de les dépenser pour faire remplacer ma batterie.

Après un silence de trois semaines depuis le dépôt de ma demande d'indemnisation, j'ai relancé Google. (Mais les GAFAM sont tr0f0rt, il paraît 🤡️, alors que l'efficacité se mesure dans la capacité à gérer l'imprévu, pas dans la gestion de l'usuel.)

Réponse cinq jours plus tard : je ne remplirai pas les critères d'éligibilité. Quasiment un mois pour me répondre ça. Tr0f0rt, le GAFAM, assurément 🤡️.

Le jour même, je demande quels critères je ne remplis pas, j'expose en quoi je remplis tous ceux listés sur la page du programme, et je demande un réexamen de mon dossier.

Le lendemain, Google me demande trouzemilles infos : date d'achat, revendeur, modèle de l'appareil, numéro de commande et/ou de transaction, preuve d'achat, connexion à mon compte Google (créé pour déposer ma demande) depuis le Pixel concerné, etc. Aucune réponse sur les critères que je ne remplirais pas (tr0f0rt les GAFAM 🤡️).

Le lendemain, je réponds à tout, en détail (dates de la commande, du paiement, et de la livraison ; nom, adresse postale, SIRET, et lien vers le registre du commerce et des sociétés du revendeur et de la place de marché ; modèle ‒ alors qu'il se déduit de l'IMEI déjà fourni, tr0f0rt le GAFAM 🤡️ ; numéro de commande, pas de numéro de transaction) et je fournis des justificatifs (justificatif d'achat, bon de livraison, et attestation de paiement). J'imagine que la connexion au compte Google permet de vérifier que je détiens le smartphone donc j'explique que je ne veux pas associer mon smartphone à un tel compte, que ça ne figure pas dans les conditions du programme, je joins une photo de lui, affichant son IMEI, devant l'écran de mon ordi affichant l'email de Google, y compris sa référence, et je joins une photo, avec le même fond, de mon smartphone affichant la notification « remplacement de la batterie recommandé ». Je redemande quels critères d'éligibilité je ne remplirais pas. (Miam miam toutes les données collectées par Google 🙁️.)

Je relance quinze jours plus tard. Réponse : en cours de traitement. Tr0f0rt, assurément 🤡️.

Quatre jours plus tard, Google me demande une photo du tiroir de la carte SIM pour y lire l'IMEI, et de répondre à son courriel depuis mon smartphone en utilisant mon compte Google.

Le jour même, j'envoie la photo demandée et je réitère que je n'associerai pas mon smartphone à un compte Google, et je demande à quoi ça sert et comment je pourrais fournir des preuves équivalentes par d'autres moyens.

Quatre jours plus tard (soit un mois et demi depuis ma demande), je reçois un lien pour créer un compte Payoneer (prestataire de paiement annoncé). Je crée un compte. Trois minutes après, ce presta m'écrit « Your request to get payments from Google LLC is approved! ».

Je ne vois aucun virement, même 6 h plus tard (délai post-approbation annoncé par Google). J'attends trois jours car c'était le délai maximal d'approbation annoncé par Payoneer. Rien. Côté Payoneer, je n'ai aucune « vérification » à satisfaire. Sur cette partie-là, les clients sont laissés sans instruction, que ça soit par Payoneer ou par Google 🙁️. Je relance Google.

Le lendemain, Google m'annonce un virement. Payoneer me le notifie dans la foulée.

Deux jours après, Payoneer m'annonce un virement sur mon compte bancaire.

Deux jours après, je vois le virement bancaire du côté de ma banque \o/. 100 $ américains = 84,75 €. Quelques jours avant ou après, ça m'aurait fait 86-87 € (fluctuation du taux de change). Classe, le virement bancaire provenant de « Google LLC » 😎️.

À quatre jours près, il s'est donc écoulé deux mois entre le dépôt de ma demande et le virement bancaire, pfiou. À part cette lenteur, je reproche à Google de ne pas se justifier, de ne pas répondre à mes questions sur comment avancer, de tenter d'imposer l'association du smartphone avec un compte Google (mais je comprends que c'est la situation la plus courante, et que ça peut lui permettre d'encaisser un plus gros volume de demandes), et de ne pas m'avoir fourni d'instruction sur la partie Payoneer 🙁️.

Les échanges se font en français via une traduction automatique (que le pied des emails nous propose d'évaluer). On comprend le sens, mais c'est très approximatif, et excessivement poli / policé. Comme quoi, l'IA qui va révolutionner la traduction, trololo 🤡️. Payoneer est totalement en anglais.

Au final, même quand t'utilises GrapheneOS, tu n'échappes pas à Google 🙁️ : compte Google, email, nom, prénom, adresse postale, numéro de téléphone, IMEI, et les trouzemilles éléments pour constituer le dossier. Payoneer m'a demandé email, nom, prénom, date de naissance, adresse postale, IBAN, et 06.

BackMarket

J'ai acheté mon Pixel 6a reconditionné à un revendeur français par l'intermédiaire de la place de marché BackMarket.

Je dispose donc de la garantie légale de conformité, de la garantie légale contre les vices cachés, et d'une garantie commerciale d'un an.

Je prends connaissance du défaut de la batterie onze mois après son achat. J'ai donc un mois pour agir (pour le reconditionné et l'occasion, la garantie légale de conformité est de deux ans, mais, après la première année, le client doit prouver que le défaut existait à la livraison, laissé béton).

À ce moment-là, j'ignore si Google va accepter la prise en charge. Donc je dois solliciter le vendeur (sur qui pèse les trois garanties précitées). Il n'est pas interdit de faire jouer les différentes responsabilités (fabricant, vendeur) ni de les paralléliser.

Dans ses CGV, CGU, et attestation de paiement, BackMarket écrit de passer par elle pour tout problème avec un vendeur afin qu'elle puisse intervenir si besoin.

J'avais supprimé mon compte BackMarket en 2024, un mois après mon achat, afin de protéger mes données à caractère personnel dans un contexte de 16 violations/jour, donc la démarche en ligne m'est inacessible. Les CGV/U, notamment leurs articles 8/9, exposent que, dans un tel cas, on peut contacter BackMarket par un formulaire web dédié.

À la mi-septembre 2025, j'écris donc à BackMarket pour demander la procédure. Réponse : on peut rien pour vous sans compte BackMarket, car on n'a pas accès à l'interface permettant de contacter le vendeur (L-O-L 🤡️), mais vu la spécificité de ma situation, on me demande la nature du problème et la preuve d'achat.

J'envoie. Rejet, pour le même motif. Comme tout un chacun, je déteste qu'on me réclame des éléments tout en sachant qu'on va bouler ma demande 😡️.

J'ai tout essayé : j'ai exposé que les garanties légales ne sont pas, légalement, conditionnées à la détention d'un compte client ; J'ai exposé que les CGV/U indiquent de revenir vers BackMarket pour une prise en charge en l'absence d'un compte client. Réponse : ça ne vaut que si BackMarket est à l'initiative de la clôture du compte ; J'ai répondu que ce n'est pas précisé dans les CGV/U, que nous sommes sur un contrat d'adhésion + B2C, donc qu'elles s'interprètent à la faveur du client ; J'ai demandé les solutions équitables au litige : aucune, sauf me débrouiller moi-même avec le vendeur ou saisir un médiateur de la consommation. J'ai menacé de saisir SignalConso. J'ai demandé un transfert au « service supérieur » à l'origine, prétendument, des refus. Rien à faire, BackMarket = mur 🙁️.

Le paroxysme a été une bataille de copier-coller : BackMarket me copie-colle sa dernière réponse au lieu de répondre à mes éléments (notamment sur l'interprétation des CGV/U), donc je copie-colle ma dernière réponse, donc BackMarket recopie la sienne, et ainsi de suite pendant deux jours. Très professionnel 🤡️. Mouin-mouin, on se fait grand-remplacer par Amazon et maintenant par l'IA ! Avec ce niveau, pas étonnant : si tu te comportes comme un robot, tu seras remplacé par un robot, et tant mieux.

Au cours de la deuxième semaine d'octobre, alors que nous étions dans la bataille sus-relatée, j'ai déposé un signalement auprès de SignalConso de la DGCCRF.

Deux semaines plus tard, soit un mois et une semaine après ma demande initiale, BackMarket est revenue vers moi pour me proposer la prise en charge de la facture de remplacement de la batterie de mon ordiphone par le professionnel de mon choix.

BackMarket m'informe : « Certains vendeurs sur notre plateforme ne proposent pas de réparation ou de remplacement, c'est un choix qu'ils font en s'inscrivant sur notre plateforme et c'est le cas de ce vendeur. ». Un vendeur qui ne veut ni réparer, ni remplacer, ni reprendre, ni indemniser, est un vendeur qui n'assume pas la garantie légale de conformité, et qui est donc hors la loi. Je ne comprends pas la tolérance de BackMarket à leur égard. Malgré ma demande en ce sens, BackMarket n'entend pas informer le client, via la fiche d'un vendeur par ex., que celui-ci refuse d'appliquer la loi 😑️.

BackMarket propose de me communiquer les noms de réparateurs de confiance proches de chez moi, ce que j'accepte : Save, qu'elle recommande, et WeFix. (La troisième enseigne suggérée me semble avoir été reprise par Save.) J'avais WeFix en tête.

Je demande un devis à ces deux enseignes, cf. ci-dessous. Je demande à BackMarket de valider qu'ils comportent les mentions voulues. (Oui, BackMarket voulait que le modèle, l'IMEI, etc. figurent sur la facture 😑️, donc je les ai fait apposer sur les devis afin de me prémunir et de vérifier la faisabilité, pour les réparateurs, de mentions « personnalisées ».)

J'expose à BackMarket que si j'avais bénéficié de la garantie légale de conformité, alors la garantie aurait été prolongée de six mois pour l'ensemble de mon smartphone (cf. infra). Or, les réparateurs proposent une garantie de trois mois uniquement sur la batterie. BackMarket propose d'étendre à six mois la garantie, mais uniquement sur la batterie et si je passe par Save, ou une reprise du bien (= remboursement intégral). C'est assurément une bonne chose que BackMarket se substitue au vendeur défaillant, mais ce n'est pas équivalent à la garantie légale de conformité, donc, mine de rien, je me fais sucrer mes droits 🙁️. J'ai accepté l'extension six mois sur la batterie. (J'envisageais déjà de passer par Save, en espérant que sa propre recommandation réduirait la lourdeur bureaucratique de BackMarket. Dit autrement : je voulais me prémunir au max d'une non-prise en charge des réparations par BackMarket .)

Un accord émerge donc, mais BackMarket m'informe qu'elle me demandera une preuve du paiement. Pourquoi me filer vos exigences au compte-gouttes, bordel ?! 😑️ On se met d'accord : une facture avec la mention « acquittée » ou équivalent fera l'affaire.

Un mois et demi après ma demande initiale, accord conclu. Pfiou. Mais… désormais, aucun fournisseur de Save n'a de batterie pour Pixel 6a…

Le lendemain, BackMarket répond à SignalConso : pas de SAV sans compte (le retour…), et la garantie a expiré y a quinze jours, donc BackMarket ne peut rien faire 🤡️. J'ai répondu à SignalConso que c'est pipeau (seule la garantie commerciale a expiré après ma demande et ma saisine de SignalConso), que ça ne correspond pas à nos échanges en cours, et que BackMarket tolère sur sa plateforme des vendeurs qui n'appliquent pas la loi, sans informer les clients. J'ai signalé tout cela à mon interlocutrice chez BackMarket et demandé si l'accord tient toujours : oui.

Mi-novembre, batterie disponible \o/. Je n'ai pas confiance envers BackMarket compte-tenu du dernier retournement, mais puisque Google m'a remboursé (cf. supra), au pire je me fais délester de 15 € (différence entre la somme versée par Google et le prix de la réparation), ce qui est acceptable, donc allons-y.

Je fais remplacer la batterie de mon ordiphone. J'envoie la facture à BackMarket.

Dix jours plus tard, BackMarket revient vers moi. Il était prévu que le remboursement transite par le porte-monnaie électronique d'un nouveau compte BackMarket avant son transfert vers mon compte bancaire. J'avais vérifié dans les CGV/U : pas de minimum ou d'autres contraintes. Mais, puisque je n'ai rien acheté avec ce compte client, BackMarket ne peut pas créditer son porte-monnaie 🤡️. Allons-y pour un virement bancaire direct, je file mon RIB.

Une semaine après, je relance. En cours. Dix jours après, je relance. En cours.

Une semaine après, BackMarket m'informe que le virement a été effectué. Mon compte bancaire est crédité trois jours après \o/. Il s'est donc écoulé trois mois et une semaine entre le dépôt de ma demande et le virement bancaire, pfiou 🙁️.

J'ai réitéré mes suggestions d'amélioration à BackMarket : informer les clients des vendeurs qui n'assurent pas les garanties légales voire refuser ces vendeurs ; Déterminer si un compte client est nécessaire ou non pour le SAV, préciser, si besoin, les CGV/U, et prévenir l'équipe assistance ; Faire accéder plus facilement et rapidement un client au 2^e niveau de l'assistance, sans passer par SignalConso ; Garantir la cohérence des réponses (celle faite au client et à SignalConso). À ce jour, je constate aucun changement sur les deux premiers points. Je n'ai aucun moyen de vérifier le dernier. Mouin-mouin pourquoi les clients donnent pas leur avis 🤡️ !

D'un côté, BackMarket a été giga relou, amateuriste au possible, et non-professionnelle, mais, de l'autre, elle a pallié un vendeur défaillant… Si j'avais acheté en direct auprès de ce vendeur, je me serais fait enfler… Je suis donc mitigé.

Vendeur

Les garanties légales sont à la charge du vendeur, pas de la place de marché.

Vu le refus initial de BackMarket et l'imminence de la fin de la garantie légale de conformité sans preuve à ma charge, j'ai envoyé une LRAR au vendeur, dès la deuxième semaine d'octobre 2025, demandant à bénéficier de ladite garantie. (J'ai fourni une adresse emails pour me répondre, le justificatif d'achat, et la notification Android.) Elle a été distribuée mi-octobre 2025.

Aucune réponse, rien. Mouin-mouin, on se fait grand-remplacer par Amazon 🤡️ !

Sur le web, hors BackMarket, je trouve des avis peu flatteurs sur ce vendeur, y compris un appel à témoignage d'une journaliste. A priori, en présentiel, il irait jusqu'à menacer les acheteurs qui voudraient actionner le SAV, dont les garanties légales.

Au regard de l'absence de réponse à ma LRAR et de son refus, d'après BackMarket, de toute prise en charge de ma situation, je déconseille donc la société XPHONES, 6 rue Voltaire, 75 011 Paris, et 86 quai de Jemmapes, 75 010 Paris, SIRET : 84758562700015 et 84758562700023.

Garantie légale de conformité

Un vendeur doit proposer la mise en conformité, c'est-à-dire la réparation de l'appareil ou son remplacement.

Si remplacement, la garantie repart pour deux ans. Si réparation, extension six mois de la garantie sur l'ensemble du bien.

Si le vendeur refuse la mise en conformité, il doit pratiquer une réduction du prix ou une reprise (que la loi nomme une résolution de contrat). La réduction du prix est proportionnelle au défaut. Si réduction du prix, peu importe ce que tu fais de l'argent obtenu, aucun justificatif n'est à fournir.

BackMarket agit volontairement pour pallier le vendeur défaillant (elle n'y est pas légalement obligée). On n'est donc pas dans le cadre de la garantie légale de conformité (qui s'impose au vendeur). Donc la réparation par un tiers à la demande de l'acheteur n'entraîne pas l'extension six mois de la garantie, et BackMarket devrait pratiquer une réduction du prix d'achat sans exiger une facture de réparation. Mais, d'un autre côté, on peut comprendre que BackMarket, qui agit de son plein gré, veut flécher le remboursement sur la réparation.

(Rigolo : personne ne sait si l'on peut enchaîner les extensions de la garantie par réparations successives, ni s'il faut prouver le défaut de conformité après un an si l'on agit dans le cadre d'une extension 6 mois déclenchée dans la première année durant laquelle le client n'a rien à prouver 😀️. Lire ceci. Après, il faut être pragmatique : l'enchaînement de réparations, et donc d'extensions, est peu probable : le vendeur préférera remplacer le bien pour en finir.)

Ressources très utiles sur la garantie légale de conformité : chez l'INC, sur Service-Public, auprès du ministère de l'Économie, chez l'UFC.

Choix d'un réparateur

J'ai pensé au réparateur WeFix. BackMarket m'a pointé WeFix et Save. (La troisième enseigne désignée me semble avoir été reprise par Save.)

WeFix dispose d'un accès direct aux pièces détachées d'origine Google. Save recourt à plusieurs fournisseurs et propose aussi des pièces génériques, notamment des batteries. Conséquence : il faut un à deux jours pour que Save reçoive une batterie.

WeFix est réparateur agréé Google, pas Save. Donc seule WeFix prend en charge l'option « remplacement de la batterie » du programme de Google. (Dans ce cadre, Save a renvoyé une connaissance vers WeFix.)

Prix environ identique pour remplacer ma batterie par une d'origine Google : 94,90 € TTC côté WeFix, 99 € TTC pour Save.

Chez moi, la boutique Save se nomme différemment et n'est pas raccord avec ce qui est exposé sur le site web, ce qui génère de la confusion. (Je parle bien de la marque, pas de l'entité juridique sous-jacente.)

Niveau sites web : transferts de données à caractère personnel à gogo dans les deux cas 🙁️.

La politique de confidentialité de WeFix est plus claire, qualitative, complète, et crédible que celle de Save, de loin. Après, est-ce que ça reflète les pratiques réelles… 🤷️ Ça ne serait pas la première fois que la FNAC ne serait pas conforme au RGPD (1, 2, et j'ai encore une plainte CNIL en cours d'instruction).

Lors de l'établissement des devis, j'avais interrogé les deux réparateurs : faut-il communiquer son code de déverrouillage ? Est-ce rédhibitoire de ne pas avoir l'Android officiel de Google ? Faut-il sauvegarder mes données de mon smartphone ? Même réponse à tout par les deux enseignes : non (j'ai quand même sauvegardé mes données, pas fou). Attention : si remplacement de la batterie dans le cadre du programme de Google, alors WeFix exige Android officiel et le déverrouillage du téléphone car elle doit accéder à un menu dédié aux réparateurs. (La liberté d'installer les logiciels et système de son choix n'est garantie par la loi qu'au terme de la garantie légale de conformité, cf. L441-6 du Code de la consommation.)

Save a correctement fait le boulot sur mon ordiphone. Seul bémol : quand il m'a été remis, je l'ai allumé (Save ne l'avait pas fait au motif d'un système différent) et déverrouillé, et j'ai eu une notif « Téléphone éteint car il surchauffait ». J'ai interrogé Save : l'ouverture du smartphone impose de détendre la colle par la chaleur. Je présume que Save n'a pas éteint mon smartphone avant d'intervenir ou, plus improbable, l'a rallumé trop tôt, de sorte qu'il a pu détecter une hausse de température. Pas top, mais pas horrible.

Final

J'ai obtenu un remplacement sans frais de la batterie de mon Pixel 6a + 84 €. Malgré moi, grâce à la médiocrité des uns et des autres dans leur prise en charge.

Tout cela m'a pris trois mois et une énergie conséquente 🙁️. Je ne comprends toujours pas comment des choses aussi simples peuvent être aussi lourdes. Tout le monde (Google, BackMarket, vendeur) a fait son possible pour compliquer la prise en charge.

J'avais une batterie ayant subi 405 cycles de recharge. J'en ai obtenu une en ayant subi 620. Dans Paramètres, A propos du téléphone, Informations sur la batterie, Google expose « En raison du contrôle qualité avant livraison, il est possible que le nombre de cycles ne soit pas nul à la première utilisation ».

En deux mois et demi, un unique cycle de charge a eu lieu. Ça confirme que j'utilise très rarement mon ordiphone 😀️.

Ironiquement, je rencontre encore le problème initial de décharge pendant qu'il est branché au secteur, mais largement moins fréquemment qu'avant. L'autre problème a disparu. Je n'ai pas d'explication.

Je pensais à la durée de fonctionnement, mais non, parfois ça marche toujours après 15 jours et ça chie après 1-2 jours.

Je me demande si la cause n'est pas les options de contrôle du port USB implémentées par GrapheneOS. J'utilise le mode « quand smartphone verrouillé, autoriser seulement la charge ». En fonction de si je branche quand l'ordiphone est verrouillé ou non, peut-être que… 🤷️ GrapheneOS avait porté ça dans Android 16 en juillet 2025 (1, 2), juste avant le déclenchement de mon problème, et a tripoté des trucs en janvier 2026 (1), ce qui a pu faire cesser ce dysfonctionnement. À suivre.

Avec reCAPTCHA, Google collectait et traitait des données à caractère personnel (DCP) au-delà de ce qui nécessaire pour sécuriser un site web. De ce fait, Google était responsable de traitement au sens du RGPD.

Cela avait conduit la CNILSHAARLI_CHIGHLIGHT à soumettre l'utilisation de reCAPTCHA au consentement du visiteur d'un site web y recourant (car la base légale de l'intérêt légitime n'était pas mobilisable pour la raison qui vient d'être énoncée). Voir ici, là, et [là-bas](https://gdprhub.eu/index.php?title=BVwG-_W298_2274626-1/8E).

À partir d'avril 2026, ça ne sera plus le cas : Google traitera les DCP uniquement pour sécuriser un site web, en agissant en tant que sous-traitant de l'éditeur du site web qui sera, lui, le responsable du traitement. Dès lors, le consentement du visiteur ne sera plus requis.

Le seul grief restant à l'encontre de reCAPTCHA est le transfert de DCP à une entité soumise à un droit moins protecteur des DCP que le droit de l'UE. Mais, pour l'heure, il reste à en convaincre les juridictions et ce n'est pas gagné (voir ici et là). Des alternatives à reCAPTCHA procèdent également à de tels transferts.

Via Aeris.

+ Bannières cookies : la CNIL met en demeure AliExpress, Darty, Ouest-France, OVHcloud, SFR…

+ Bannière de cookies : l'association Purr à l'offensive

+ CNIL : des mises en demeure visant notamment RED by SFR ou OVH pour leurs bannières cookies obtenues par l’Association PURR

+ Red by SFR dans le viseur de la CNIL pour ses pratiques en matière de cookies

Cette semaine, la CNIL a achevé le traitement de quinze de « nos » plaintes. (Les autres sont toujours pendantes.)

En résumé : la CNIL a rappelé leurs obligations à ces éditeurs et les a mis en demeure de se mettre en conformité sous deux mois.

[…]

Sur instruction de ses mandants, l’association veillera à ce que les éditeurs épinglés se mettent en conformité dans le délai prescrit par la CNIL.

Elle veillera également à ce que la CNIL adopte des mesures correctrices en matière de cookies déposés sans consentement, de difficulté de retrait du consentement, d’absence de caractère éclairé du consentement, de bandeaux cookies trompeurs, d’absence de prise en compte des signaux visant à réduire la fatigue du consentement, etc.

[…]

Notre association rappelle que les cookies ne sont pas son unique sujet d’intérêt. Pour le compte de ses mandants, elle intervient aussi sur les fuites de données personnelles, sur les durées de conservations abusives, sur l’insuffisante sécurité des données, etc.

Au final, la CNIL a fait environ n'importe quoi, au lancé de dé, et le résultat est plutôt décevant. Tout cela est détaillé.

Le ministère de l’Intérieur est responsable de la partie française de cette base de données.

[…]

Le rapporteur a soulevé les griefs suivants, fondés, entre autres, sur cinq contrôles réalisés par la CNIL :

• Utilisation du fichier pour des finalités proscrites et conservation de données hors Eurodac (ce qui est interdit) ;
• Usage trop fréquent du fichier ;
• Défauts de sécurisation : compte partagé, faiblesse du mot de passe, et absence d’authentification multifacteurs.

[…]

Le même ministère a confirmé que la mise en conformité n’a pas réduit l’efficacité de l’unité […]

[…]

Le ministère a sollicité la non-publicité de la décision de la CNIL afin de ne pas porter atteinte à la réputation de la partie française d’Eurodac.

Concept intéressant : domiciliation postale pour les particuliers + numérisation du courrier. Bien moins cher et contraignant qu'une domiciliation par La Poste (qui n'est même pas ouverte aux particuliers).

Vu les fuites massives de données à caractère personnel de ces derniers temps, ce type de service, assimilable à une adresse postale jetable, est intéressant. Des numéros de téléphone jetables le seraient tout autant. Avec le courriel, on peut avoir une adresse (jetable) par interlocuteur (en utilisant un délimiteur, par exemple). La domiciliation postale n'offre pas (encore ?) cette flexibilité.

Évidemment, le mieux est de mettre la pression sur toutes les entités qui brassent nos coordonnées et sur la CNIL afin de faire cesser leur collecte quand ce n'est pas nécessaire, leur conservation au-delà du nécessaire, l'absence de sécurité, etc., mais bon, doux rêve.

Après, il faut avoir confiance dans une entité comme Paperboy. Bien lire ses mentions RGPD qui devraient, pour la cause, être détaillées (traçabilité ? mesures techniques et organisationnelles précises ?). Bien lire les garanties et les voies de recours contre un personnel indélicat (sanction interne ? procès ?). Quand tu vois des flics diffuser des images de vidéosurveillance, ou du renseignement par intérêt, ou de la tricoche, y compris par les agents du fisc, ou même les employés qui passent le temps, ou tout simplement l'incompétence crasse ambiante, difficile de faire confiance à quelle entité que ce soit.

Concernant Paperboy, il y a de gros signaux d'alarme : la charte de confidentialité et les CGVU ne contiennent pas l'ensemble des mentions RGPD obligatoires, et son site web dégueule de transferts de données persos hors de l'UE (Google Tag manager, Mailerlite, Google Fonts, Google reCAPTCHA, bouton Facebook, Font Awesome, chatbot, etc.).

À la fin de chaque page d'un site web marchand, je lis « Vos derniers produits vus ». J'y trouve un produit que j'ai effectivement zieuté il y a plus d'une semaine.

Je me demande le fonctionnement technique sous-jacent puisque j'ai refusé les cookies dudit site (avec uBlock Origin et ses listes dédiées) et que, de toute façon, l'extension Cookie AutoDelete les a supprimés dès que j'ai fermé l'onglet (il y a plus d'une semaine, donc).

Depuis l'onglet « Réseau » des « Outils de développement web » de Firefox, et avec l'aide de sa fonctionnalité de blocage d'URLs, j'identifie assez vite le JavaScript responsable. Évidemment, il a été rendu illisible par l'éditeur du site web.

Aeris me suggère le local storage. Je suis dubitatif, car je crois avoir configuré Cookie AutoDelete pour purger cet endroit-là aussi. Mais Aeris met indubitablement en évidence des appels au local storage dans le JavaScript précité.

Si je demande à Cookie AutoDelete (CAD) de « Nettoyer le stockage local pour ce domaine », les « derniers produits vus » disparaissent.

Pourquoi CAD ne le fait-il pas tout seul ? Parce que, dans ses paramètres, je n'ai pas coché « Activer le nettoyage du stockage local ». De mémoire, j'ai agi ainsi car, si on l'active, CAD efface alors, à la fermeture d'un onglet, le stockage local pour tous les sites web, et je n'étais pas certain que ça soit indolore.

J'ai donc modifié ma configuration de Cookie AutoDelete pour activer cela. Aucun dysfonctionnement après plusieurs jours.

Évidemment, rien ne sera jamais aussi efficace que le paramètre de Firefox « Supprimer les cookies et les données des sites à la fermeture de Firefox », mais je ferme rarement mon navigateur web (mise en veille aka suspend to ram).

En conclusion, des techniques toujours plus fines sont mises en œuvre pour nous vendre de la merde, et il faut s'en protéger par une vigilance infinie et par des outils et des paramètres toujours plus nombreux et complexes. C'est intenable.

Après la technique, quid de la légalité ?

Comme le rappelle le point 13 des lignes directrices de la CNIL et le point 44 de celles du CEPD, la lecture ou écriture dans le local storage tombe dans le giron de l'article 5(3) de la directive européenne ePrivacy et de sa transposition dans l'article 82 de la loi 78-17 dite Informatique et Libertés.

Or, ces articles disposent que toutes les opérations de lecture / écriture dans le terminal d'un visiteur sont soumises au consentement, sauf si elles visent à effectuer une communication électronique ou si elles sont strictement nécessaires pour fournir un service expressément demandé par le visiteur.

Le caractère intrusif ou non de l'opération n'entre pas en ligne de compte, pas plus que la question de savoir si les données stockées constituent des données à caractère personnel (qui, elles-mêmes, ne se résument pas aux données nominatives) ou non.

En l'espèce, un rappel des produits déjà consultés sous forme d'une recommandation ne concourt pas à transmettre une communication électronique et il ne découle pas strictement d'un service que j'aurais expressément demandé.

En conclusion, l'éditeur du site web aurait dû recueillir mon consentement pour écrire et lire dans mon stockage local, ce qu'il n'a pas fait. Même avec un profil Firefox vierge (sans extensions ni paramètres persos), le site web écrit dans le stockage local avant l'expression du consentement et le refus de tout dans le bandeau cookies ne change rien.

Bien évidemment, lorsqu'une opération de lecture / écriture sur le terminal du visiteur d'un site web est fondée sur le consentement, elle ne peut avoir lieu qu'après l'expression du consentement.

L'éditeur du site web est donc en tort.

Parmi la liste partielle de prestataires, seules Galae, GalacSYS, LWS, Mailo, et OVH sont des entités françaises (raisons d'un tel critère ici).

Le site web de LWS est toujours derrière Cloudflare. Tendance "on est « l'un des meilleurs hébergeurs web de France » (source), mais on ne sait pas gérer un pic de trafic, mais tkt frèr, on va gérer ton courriel". Ce n'est pas sérieux.

Les entités qui ne publient pas leurs mentions légales et/ou les informations RGPD (Galae, GalacSYS) ne sont pas plus sérieuses. Il s'agit d'obligations légales. (Suite à une remarque : Galae est un service de l'entité Algoo, qui publie ses mentions légales sur son site, mais pas l'intégralité des mentions RGPD. De plus, il est déjà discutable de devoir chercher les mentions légales et RGPD sur un autre site web, notamment car ça ne garantit pas qu'elles sont valables pour Galae, surtout les mentions RGPD.)

Un autre critère de notation peut être l'utilisation d'IPv6 pour les serveurs de messagerie (en réception et en émission), et alors c'est l'hécatombe : ni Mailo, ni OVH, ni Proton, ni Tuta, ni Posteo, etc. ne proposent ça… En 2026 ! Murena dispose d'IPv6 parce qu'elle s'héberge chez Hetzner. Infomaniak dispose aussi d'IPv6.

#emails

Avec du Aeris et du PURR dedans.

Par contre, l'article payant alors qu'il s'agit des propos d'une autre personne, pas d'un travail journalistique, je n'adhère pas, donc article complet ci-dessous. L'emphase est de moi.

Marianne : Pourquoi avez-vous lancé le site « Bonjour la fuite », qui recense les fuites de données signalées en France ?

Aeris : C’est la suite d’un combat que je mène sur le sujet de la protection des données personnelles. Dans les années 2010, j’étais actif dans le logiciel libre. Puis il y a eu, en 2013, l’affaire Edward Snowden [ce lanceur d’alerte qui a dénoncé l’ampleur de l’espionnage numérique américain, N.D.L.R.]. J’ai alors participé à la création des cafés « Vie privée », pour expliquer comment on peut se protéger et ce que les services de renseignement pouvaient faire.

Trois ans plus tard, il y a le Règlement général sur la protection des données (RGPD), un texte vraiment bien. Nous avions de bons espoirs, mais on sentait déjà que cela n’allait pas le faire avec la Cnil [Commission nationale informatique et libertés]. Et en effet, nous avions beau lui signaler des manquements au RGPD, il n’y avait aucune sanction. À quatre, nous avons été ainsi à l’origine de plus de dix mille plaintes. Nous avons décidé de nous regrouper dans une association, PURR (Pour un RGPD respecté), pour faire bouger les choses.

Puis après la fuite « Viamedis », en février 2024, j’ai décidé de faire ce site pour essayer d'attirer l'attention sur ces problématiques. Pour l’alimenter, je m’appuie sur les notifications de violation de données envoyées par des responsables du traitement des données personnelles. Après, c’est également beaucoup de veille sur les réseaux ou les forums de revente de base de données, avec la problématique de qualification des données : il y a quand même pas mal de faux qui circulent aussi.

Quelle est votre analyse sur ce phénomène des fuites de données ?

Il y a deux choses qui se renforcent l'une l'autre. D'un côté, l'absence totale de sanctions de la Cnil, alors que même avant le RGPD, la France était supposée être couverte par une législation quasiment équivalente. Cela n’a pas du tout incité les entreprises à investir dans la sécurité informatique. Nous avons ainsi beaucoup de retours de directeurs de systèmes d’information auprès de notre association, expliquant qu’ils voudraient faire les choses bien mais qu’ils n’ont pas de moyens et que la direction n’écoute pas. Et de l’autre, il y a aussi des moyens d'attaque qui ne sont pas forcément plus efficaces aujourd'hui, mais qui permettent en tout cas de les automatiser. C’est cette conjonction qui fait que de plus en plus de systèmes informatiques sautent.

Pourquoi est-ce que ces fuites de données sont un problème ?

Ces données relatives au nom, prénom, à l’adresse, à l’e-mail ou encore au numéro de téléphone sont surtout utilisées pour faire du hameçonnage ou, quand des pièces d’identité ont fuité, pour des usurpations d’identité. Il y a également des services payants qui ont agrégé des bases de données, c’est littéralement du doxxing [divulgation malveillante d’informations sur une personne] généralisé. C’est donc une vraie perte d’intimité, alors qu'on a pourtant tous quelque chose à cacher. On peut ainsi tous servir de point d’entrée à des criminels pour des fraudes. Et cela facilite aussi les escroqueries au faux conseiller bancaire, quand l’escroc connaît vos derniers achats ou le nom de votre grand-mère. Enfin, cela peut être dramatique dans certains cas : je pense aux enlèvements autour de la crypto.

Ce constat d’une inaction de la Cnil n’est-il pas contredit par les récentes amendes prononcées contre Free ou France Travail, respectivement de 42 et 5 millions d’euros ?

Même si ce sont des gros montants, ces sanctions sont ridicules vu l’ampleur de la catastrophe et la taille des organisations concernées. Et surtout, il n’y a toujours pas d’électrochoc dans le secteur. Les responsables de traitement nous disent qu’il y a toujours peu de risque de prendre une amende. La Cnil, elle, nous reproche de demander des sanctions monstrueuses. Mais nous, ce qu’on demande, ce sont des sanctions justes, dissuasives et surtout plus fréquentes.

[J'aurais plutôt répondu que seules deux entités sur des milliers ont été sanctionnées, pas de quoi sabrer le champagne. Surtout si la CNIL se relâche après ces deux coups médiatiques.]

Si les responsables de traitement n’ont pas l'impression qu'ils risquent une sanction sous un an, ils vont continuer à violer la loi. Et sur ce plan, nous sommes derniers ou avant-derniers en Europe. L’Espagne, par exemple, c’est environ quarante fois plus de sanctions pour un volume de plaintes identiques. Ce n’est pas forcément une question de ressources. Je pense que la Cnil a un vrai problème d'organisation interne et d’outillage, et qu’il y a aussi une volonté politique de ne pas sanctionner les entreprises au nom de la compétitivité.

Sur d’autres sujets équivalents, comme ChatGPT en Italie, d’autres pays ont pris des décisions contraignantes. Mais la Cnil n’a pas bougé, alors qu’elle aurait pu pourtant par exemple imposer un moratoire de trois mois avant ensuite de dire oui ou non. De même, c’est aujourd’hui un enfer pour déposer une plainte auprès de l’autorité administrative indépendante. Cela fait ainsi trois ans que nous demandons en vain la mise en place d’un lien direct en page d’accueil.

Vous êtes à l’origine de nombreux recours devant le Conseil d’État, dont un contre votre ex-employeur. Mais au final, l’absence de résultat pour le moment ne suggère-t-il pas une démarche contre-productive ?

J’en suis à 26 recours devant le Conseil d’État, dont cinq encore en cours, pour un résultat quasiment négatif, à part des remarques sur la qualité de l’instruction de la Cnil et sa célérité – on est censé être informés dans les trois mois après le dépôt d’une plainte. Mais aujourd’hui, nous n’avons pas le choix. Pour attaquer une décision de l’autorité administrative indépendante, le Conseil d’État est le seul compétent. C’est un problème : ce type de contestation devrait plutôt être renvoyée devant le tribunal administratif. Ce serait plus logique, car le Conseil d’État n’a pas du tout l’habitude de traiter des dossiers au fond. À la fin décembre, nous avons ainsi vu une vingtaine de dossiers étudiés dans la même audience. C’était pour faire du chiffre et évacuer nos plaintes plutôt que de nous donner raison ou transmettre nos recours sous la forme d’une question préjudicielle à la Cour de Justice de l’Union européenne.

[Je confirme que toutes les juridictions administratives expédient les dossiers avant l'été et, surtout, avant la fin de l'année, afin, entre autres, de faire du chiffre. C'est ainsi que fonctionne la justice en France. Ça se vérifie dans l'Open Data des juridictions administratives].

La Quadrature du net s'exprime, sur Blast, sur les très nombreuses fuites massives de données à caractère personnel de ces deux dernières années (voir : 1, 2, 16 fuites/jour en 2024, 26/jour sur les neuf premiers mois de 2025), et donc, in fine, sur les manquements à la protection desdites données, qui ont permis ces fuites, commis par toutes les entités (sociétés commerciales, professions libérales, administrations, associations, etc.).

Je partage le constat : toujours plus de traitements de toujours plus de données personnelles et un régulateur, la CNIL, toujours aussi passif, donc ces violations de données étaient hautement prévisibles.

Néanmoins, je trouve que le terme « fichage » est inadapté. En effet, il est connoté fichiers de police et/ou courtiers en données et/ou publicité ciblée et/ou « quand c'est gratuit, c'est toi le produit ». Or, l'ampleur du problème, c'est l'intégralité des traitements de données personnelles, y compris ceux, légitimes, d'une société commerciale sur ses clients, d'une profession libérale sur ses clients, d'une fédération sportive sur ses licenciés, d'une administration sur ses administrés.

En effet, ce qui rend possible les fuites de données et qui en augmente l'impact, c'est l'absence de l'hygiène numérique minimale des entités qui opèrent ces traitements (que l'on nomme des responsables de traitement), c'est l'absence de moyens alloués à la protection des données, c'est l'insuffisante sécurisation des données, c'est la conservation indistinguée de toujours plus de données pour des durées déraisonnables toujours plus longues. Tous les acteurs pratiquent cela, tous.

Derrière toutes les récentes violations de données, on retrouve toujours des durées de conservation hallucinantes (exemple caricatural : Free), l'absence d'authentification multifacteurs (ex. caricatural : le ministère de l'Intérieur), l'absence de limitation du volume de données personnelles qu'un compte peut extraire sur une période donnée (ex. caricatural : Hellowork), l'absence de traçabilité des manipulations sur les données (ex. : Free), l'absence de défense en profondeur (idem), l'absence de formation des intervenants, etc. L'effort minimal n'est pas produit, sans raison valable. Sources : celles pointées au début.

Les guides et recommandations de l'ANSSI et de la CNIL préconisent toutes les bonnes pratiques en ces matières depuis des années. Les associations, sociétés, et administrations se torchent avec dans les grandes largeurs.

Dit autrement, le problème n'est pas uniquement les méchants GAFAM ou le méchant État et/ou le méchant pirate informatique, c'est l'ensemble des entités qui manipulent nos données à caractère personnel. La PME du coin ou l'association sympa font, elles aussi, en permanence, n'importe quoi avec nos données à caractère personnel.

Voilà l'ampleur du problème auquel nous sommes confrontés.

Cessons de nous focaliser sur les cyberattaques, sur les pirates : focalisons-nous sur l'ensemble des entités qui maltraitent nos données à caractère personnel.

Si t'as envie de contribuer à faire bouger les choses, l'association Pour un RGPD respecté t'attend.

L’association PURR exige une refonte totale de la CNIL

Cette crise soulève aussi la question de la régulation. L’association PURR (Pour Un RGPD Respecté), fondée en 2023, milite pour une refonte totale de la CNIL.

Dans une lettre ouverte adressée à sa présidente, l’association dénonce une « inaction chronique » et une absence de poursuites pénales contre les responsables de traitements de données défaillants.

Lors de mes échanges avec le fondateur de PURR, nous avons pu constater l'absence de réponses concrètes de la part des autorités régulatrices et judiciaires face aux signalements de l'association, le procureur de la République ayant même conclu que certains faits dénoncés ne relevaient pas du droit pénal actuel.

Encore quelques heures pour signer la lettre ouverte.

Communication de l’association concernant le prochain Cadre d’Action Coordonné du CEPD et de la problématique des études biaisées de la CNIL