Toujours aussi médiocre, Cash investigation :

• Insinuer que l'attaque de Free d'octobre 2024 aurait commencé des mois auparavant alors qu'il s'agit d'autres attaques par ingénierie sociale, que ce type d'attaque est extrêmement compliqué à contrecarrer (on ne perd jamais à miser sur la connerie humaine), et que le lien avec l'attaque de 2024 n'est pas démontré, c'est trompeur.
  
  
• Reprendre l'exagération autour de l'attaque de l'ANTS qui a circulé partout (« haha, dans Agence nationale des titres sécurisés, il y a « sécurisés », allez Roger, ressers m'en un ! »), ce n'est pas pertinent : ce qui a été compromis, c'est des comptes utilisateurs sur un site web (identité et coordonnées), pas la chaîne de confection des titres, ni les fichiers. Je rappelle que, partout, les moyens de sécurisation sont proportionnés aux risques et au type de traitement, c'est même l'article 32 du RGPD.
  
  
• Évidemment, on n'échappe pas aux termes impropres « hackers », « dark web », etc. Cumulé aux points précédents, ça illustre l'absence d'envie d'élever la connaissance commune.
  
  
• Comme d'hab, ça traîne en longueur inutilement. La mise en scène pour expliquer une place de marché en ligne dédiée à la revente de données ne sert à rien. Idem pour la vérification téléphonique des données personnelles d'un lambda puisque, précisément, le spectateur ne peut rien vérifier. Pareil pour la séquence larmoyante sur les pauvres gens qui se sont fait détrousser 6 000 €. Idem l'acteur pour répéter les propos d'un négociateur avec les pirates, il n'apporte strictement rien, même en tenant compte du format télé. Pareil la reconstitution de la séance de la formation restreinte de la CNIL dédiée à Free.
  
  
• Le débat post-documentaire est très pertinent. Je ne m'y attendais pas. Les différents problèmes sont clairement exposés par les intervenants : problème structurel, cf. retard dans la transposition NIS 2 ; manque de volonté politique ; management nocif des opérationnels compétents ; absence de vision long terme, que des effets d'annonces ; des conseils pertinents, notamment d'arrêter de collecter et de filer des données personnelles à tout-va. J'adore Lucet qui minimise l'ampleur de la situation, France passoire, etc. 😑️ La voix de son maître (ORTF, tout ça).
  
  
• Très intéressant d'apprendre que des entités (Air France, Chanel) payeraient les rançons avant de se faire rembourser par leur assurance, et que des groupes de pirates ne publieraient pas les données de ces entités payeuses. Je peine à croire à ce deuxième point : je pense que les données doivent être publiées à retardement et/ou sans attribution à une entité précise et/ou diluées dans les autres lots en vente.
  
  
• Très intéressant de documenter la couardise des ministres qui ont refusé de participer à l'émission : intérieur, comptes publics, intelligence artificielle et numérique, premier ministre, police, etc.
  
  
• La prestation de la présidente de la CNIL est consternante :
  • Aucune réponse sur : comment expliquer le nombre croissant de divulgations de données à caractère personnel (DCP) ? ; Une fois que les DCP ont fuité, c'est perdu ? ; Les annonces d'avril du premier ministre sont-elles à la hauteur ?
    
    
  • L'État collecte trop de DCP et les citoyens n'ont pas le choix que de s'y soumettre, qu'elle dit. Qui a été institué en 1978 pour calmer l'État ?! Qui fait la sieste depuis ?! Qui lui a progressivement tout permis (l'inexactitude des fichiers de police, l'utilisation du numéro sécu comme identifiant web, etc.) ?! La CNIL !
    
    
  • Évoquer la mise à l'amende de France Travail en janvier 2026 sans dire que cela porte sur la seule violation de 2024, qu'aucune mesure correctrice n'a été imposé concernant les modalités de conservation des DCP, et que la CNIL a clôturé pour ce motif les plaintes portant sur les 8 autres violations depuis 2022, c'est malhonnête ;
    
    
  • Évoquer le montant des amendes, « presque un demi milliard d'euros en 2025 », sans dire qu'elles sont concentrées sur Google (325 M€) et Shein (150 M€), c'est-à-dire à des entités étrangères afin de ne froisser personne sur le territoire national, c'est malhonnête.
    
    
  • Elle évoque le préjudice pour l'économie avant celui pour les Français. C'est systématique. Dans la communication de la CNIL, les citoyens passent toujours après. C'est à eux de faire des efforts pour se protéger. Dans les documents de travail (concertations & consultations), la sécurité juridique des entités qui traitent les données passe avant la protection de la vie privée et des DCP.
    
    
  • Justifier le montant de l'amende infligée à Free en janvier 2026 par, essentiellement, le nombre de plaintes reçues en oubliant de rappeler que, plus tard, la CNIL a invité à ne pas la saisir relativement à la violation DGFIP d'août 2026, c'est malhonnête.
    
    
  • Lucet lui demande si les actions de la CNIL sont efficaces, elle détourne ça sur « 50 agents dédiés aux contrôles/sanctions, ce n'est pas assez ». Mais, cocotte, qui affecte seulement 50 agents sur 300 ?! Quid des méthodologies de travail et des outils défaillants ? Quid de l'incompétence technique de la CNIL ? Faut arrêter de vouloir gratter de la thune en permanence ! Tout ne se résout pas avec de la thune !
    
    
  • Objectif 2026 : 50 % des sanctions doivent porter sur la sécurité. La fixation d'un tel objectif ne rime à rien, ça ne sert qu'à communiquer. De plus, il faut tenir tous les bouts en même temps : la minimisation ou les durées de conservation sont tout aussi importantes sinon plus.
    
    
  • Lucet lui demande comment espérer un changement des pratiques en l'absence de toute crainte d'une sanction. La présidente pipeaute : il serait moins coûteux d'investir que de subir une paralysie de sa production, ou une demande de rançon, ou un risque réputationnel. L-O-L. Tout risque se provisionne comptablement. De plus, le risque réputationnel quand toutes les entités chient, mais bien sûûûûr. Exemple : t'as besoin d'un FAI ? Orange, SFR, Bouygues, et Orange font n'importe quoi avec les DCP, donc rien à faire de ta liberté de choix, de la réputation, etc.
    
    
  • Elle annonce une éventuelle sanction contre la DGFIP suite à la violation d'août 2026, alors que la CNIL ne peut pas sanctionner l'État… Voilà, voilà, voilà. Ça pue le discours de communication de crise appris par cœur.
    
    
  • Allez, ça n'est pas la première fois que la présidente de la CNIL raconte de la merde à flot continu.
    
    
  • Allez, elle a au moins lâché deux infos inédites : en 2025, l'État représentait 19 % des déclarations de violations de DCP, contre 11 % en 2024 (ce qui peut s'expliquer de plusieurs façons) ; En 2025, 90 contrôles de la CNIL ont porté sur la sécurité, et ils ont donné lieu à 50 mesures correctrices et à 22 amendes (j'imagine que le reste n'a pas encore été traité).