Fuite de données interne : détecter, prévenir, notifier

Toutes les fuites ne viennent pas d'un pirate. Un fichier clients envoyé au mauvais destinataire, un dossier partagé ouvert à « toute personne disposant du lien », un extrait de base collé dans un outil d'IA grand public : la fuite de données d'origine interne ou accidentelle naît d'un geste ordinaire, sans intrusion, et engage les mêmes obligations RGPD qu'une attaque. Cet article explique comment la détecter, la prévenir et décider de sa notification.

Qu'est-ce qu'une fuite d'origine interne ?

Une fuite de données interne est une divulgation non autorisée de données personnelles provoquée par l'organisme lui-même, un salarié, un outil mal configuré ou un prestataire, sans attaquant extérieur. Au sens de l'article 4.12 du RGPD, c'est une violation au même titre qu'un piratage : le texte vise toute divulgation non autorisée, « de manière accidentelle ou illicite ».

Dans son rapport annuel 2025, la CNIL indique avoir reçu 6 167 notifications de violations en 2025, en hausse de 9,5 %. Un incident sur deux relève d'un piratage ; parmi les autres causes citées figurent l'envoi à un mauvais destinataire et la perte de matériel. Sa plaquette cybersécurité 2026 précise qu'environ 10 % des notifications font suite à un incident chez un sous-traitant. Le vol par un tiers est traité dans notre article sur le vol de données, la typologie générale dans violation de données : définition et exemples.

Les cinq scénarios les plus fréquents

Ces scénarios reviennent dans les constats de la CNIL. Chacun part d'un geste ordinaire qui, sans contrôle, devient une fuite de données.

Comment détecter une fuite interne ?

Une fuite de données interne se détecte rarement par une alerte technique : elle est le plus souvent signalée par une personne, ou découverte lors d'une revue des partages et des accès. La détection repose donc sur l'organisation : un canal de signalement connu de tous, des journaux consultés et une revue périodique des droits. Les signaux à prendre au sérieux :

• un destinataire signale un document qui ne lui était pas destiné, ou un client voit les données d'un autre ;
• un document interne apparaît dans un moteur de recherche ou sur un lien public ;
• la plateforme cloud signale un partage public ou un volume inhabituel de téléchargements ;
• les journaux montrent une connexion après le départ d'un collaborateur, ou un export massif la veille ;
• un sous-traitant vous notifie un incident, ce qu'il doit faire « dans les meilleurs délais » (article 33.2 du RGPD).

Sans journalisation des accès, recommandée par la fiche « Tracer les opérations » du guide de la sécurité de la CNIL, une fuite ne peut être ni datée ni délimitée.

Quelles mesures organisationnelles préviennent ces fuites ?

La prévention tient à des règles d'organisation ciblées sur les cinq scénarios, plus qu'à un arsenal technique. Les mesures ci-dessous sont tirées des fiches habilitations, échanges avec l'extérieur, cloud et cadre pour les utilisateurs du guide CNIL, de ses précisions sur l'IA générative et de la fiche usages pro-perso de Cybermalveillance.gouv.fr.

L'ensemble des obligations de l'article 32 est détaillé dans notre guide sécurité des données : les mesures exigées par le RGPD.

Une fuite constatée doit-elle être notifiée à la CNIL ?

Toute fuite, même accidentelle, doit être documentée dans le registre interne des violations : l'article 33.5 du RGPD impose de consigner les faits, leurs effets et les mesures prises. La notification à la CNIL n'est due que si la violation présente un risque pour les droits et libertés des personnes, dans les meilleurs délais et si possible sous 72 heures ; l'information des personnes s'ajoute en cas de risque élevé (article 34).

Concrètement, un mail envoyé par erreur à un collègue tenu au secret, supprimé aussitôt, se documente mais ne se notifie généralement pas. Un fichier clients exposé publiquement ou envoyé à un tiers inconnu relève le plus souvent d'une notification. En cas de doute, la page de la CNIL sur la notification invite à notifier. La grille de risque et la procédure heure par heure sont dans notre guide réagir à une violation en 72 heures.

À retenir

• Une fuite de données interne ou accidentelle est une violation au sens du RGPD, comme un piratage.
• Cinq scénarios concentrent le risque : erreur d'envoi, mauvaise configuration, outils non validés et IA, départ d'un salarié, sous-traitant.
• La prévention passe par des règles ciblées : chiffrement des envois, revue des habilitations, usages autorisés de l'IA, contrats de sous-traitance.
• Toute fuite se documente dans le registre ; la notification dépend du risque pour les personnes.