Introduction : le mauvais moment pour être curieux
Il y a une expérience étonnamment banale et rarement racontée : celle du salarié, du bénévole, du client ou du simple internaute qui, au détour d'une manipulation ordinaire, tombe sur quelque chose qu'il n'aurait pas dû voir.
Un dossier partagé mal configuré qui contient les fiches de paie de tout le service. Une URL dont il suffit de changer le numéro à la fin pour afficher le dossier médical du patient suivant. Un tableur envoyé en pièce jointe à cinquante destinataires avec, dans l'onglet numéro trois, les coordonnées complètes de trois mille personnes. Un logiciel installé sur les postes de travail qui enregistre bien plus que ce que la note de service avait annoncé.
À ce moment précis, une mécanique désagréable se met en route. Signaler, c'est se désigner. C'est expliquer comment on a vu, donc parfois avouer une curiosité qu'on peut retourner contre vous. C'est, dans une petite structure, être identifiable en trois secondes. Et la statistique est cruelle : la Maison des lanceurs d'alerte et le Défenseur des droits documentent depuis des années que la majorité des personnes qui signalent subissent une dégradation de leur situation professionnelle, même quand l'alerte est fondée.
Ce guide ne prêche pas l'héroïsme. Il décrit une méthode : à qui parler, dans quel ordre, avec quel niveau d'exposition, et quelles protections juridiques existent réellement en droit français depuis la loi du 21 mars 2022.
Étape 0 : ne rien faire pendant vingt-quatre heures
La pire décision se prend dans l'heure qui suit la découverte, sous le coup de l'indignation. Un message envoyé depuis la messagerie professionnelle, une capture d'écran postée sur un réseau social, un appel au journaliste local : chacune de ces réactions ferme des portes définitivement.
Ce que vous pouvez faire immédiatement, en revanche :
- Noter les faits par écrit, hors des systèmes de l'organisation concernée. Date, heure, ce que vous avez vu, comment vous y êtes arrivé, sans jargon. Un carnet papier reste le support le moins traçable ; un carnet à couverture rigide format A5 tient dans une poche et ne laisse aucun log.
- Ne pas télécharger massivement. Exfiltrer une base entière « pour avoir des preuves » vous transforme juridiquement d'alerteur en auteur d'une extraction frauduleuse. La jurisprudence française distingue nettement la consultation fortuite de l'aspiration organisée.
- Ne pas tester la faille davantage. Vérifier une fois qu'un identifiant modifié affiche bien une autre fiche, c'est de la constatation. Le faire cent fois, c'est un accès et un maintien frauduleux dans un système de traitement automatisé de données, article 323-1 du code pénal.
- Ne pas en parler autour de vous. La fuite de votre alerte se fait presque toujours par la machine à café, jamais par les métadonnées.
La règle d'or : votre valeur tient à ce que vous avez vu, pas à ce que vous avez pris.
Cartographier les destinataires possibles
Il n'existe pas un « bon » interlocuteur mais une hiérarchie, du moins exposant au plus exposant, et du plus efficace au plus incertain.
1. Le responsable du traitement lui-même
C'est contre-intuitif, mais c'est souvent le plus rapide. Une faille de configuration se corrige en quelques heures quand la bonne équipe est prévenue. Beaucoup d'organisations disposent d'une adresse dédiée du type security@ ou d'un fichier security.txt publié à la racine de leur site — une convention normalisée par la RFC 9116 précisément pour ce cas de figure.
Avantage : la faille se ferme. Inconvénient : vous vous adressez à celui qui a intérêt à ce que rien ne se sache.
2. Le délégué à la protection des données (DPO)
Toute organisation soumise à l'obligation en désigne un, et ses coordonnées doivent être publiques. Le DPO a une mission légale d'indépendance et ne peut être sanctionné pour l'exercice de ses fonctions (article 38 du RGPD). Dans une structure sérieuse, c'est le meilleur point d'entrée interne : il connaît la procédure de notification à la CNIL sous 72 heures et sait qualifier ce que vous décrivez.
3. La CNIL
L'autorité française dispose d'un formulaire de plainte en ligne et accepte les signalements. Point important, souvent ignoré : la CNIL peut être saisie sans que vous soyez vous-même la personne concernée par les données, et elle traite des signalements de tiers. Elle publie chaque année dans son rapport d'activité le volume de plaintes reçues, qui dépasse largement les quatorze mille par an depuis plusieurs exercices.
4. Les autres autorités sectorielles
Selon le contexte : l'ANSSI et son dispositif de signalement pour les incidents touchant des systèmes sensibles, l'inspection du travail pour la surveillance illégale des salariés, l'Autorité des marchés financiers, l'ARCOM. Le Défenseur des droits joue par ailleurs un rôle d'orientation et de protection des lanceurs d'alerte depuis la loi Waserman.
5. La société civile et la presse
La Quadrature du Net, la Ligue des droits de l'Homme, les syndicats, certaines rédactions spécialisées disposent de canaux de réception sécurisés. C'est la voie la plus efficace en termes d'impact public, la plus risquée en termes d'exposition, et celle qui, juridiquement, doit venir après les canaux internes et les autorités — sauf danger grave et imminent.
Ce que la loi française protège réellement
Le régime français a été profondément remanié par la loi du 21 mars 2022 (dite loi Waserman), qui transpose la directive européenne 2019/1937. Ce qu'il faut retenir, en langage clair :
| Élément | Ce que dit le droit |
|---|---|
| Qui est protégé | Toute personne physique signalant, sans contrepartie financière et de bonne foi, des informations sur un crime, un délit, une menace pour l'intérêt général ou une violation du droit de l'Union |
| Le désintéressement | La condition de « désintéressement » a été supprimée en 2022 : il suffit d'agir sans contrepartie financière directe |
| L'ordre des canaux | Le signalement interne n'est plus obligatoire avant le signalement externe. On peut saisir directement l'autorité compétente |
| La divulgation publique | Possible en cas d'absence de traitement dans les délais, de risque de représailles, ou de danger grave et imminent |
| Les représailles | Licenciement, sanction, discrimination, mise à l'écart : nulles de plein droit, avec renversement de la charge de la preuve devant le juge |
| L'irresponsabilité | Le lanceur d'alerte n'est pas pénalement responsable pour la soustraction ou le recel de documents auxquels il a eu accès licitement |
Cette dernière ligne mérite d'être relue. La protection couvre les documents obtenus légalement dans le cadre de vos fonctions. Elle ne couvre pas l'intrusion. C'est exactement la frontière décrite plus haut.
Ajoutons une notion trop rarement citée : l'article 122-9 du code pénal instaure une cause d'irresponsabilité pénale pour le lanceur d'alerte respectant les procédures. Et l'entourage — collègues, proches, syndicat — bénéficie désormais du statut de « facilitateur », lui aussi protégé.
Construire un canal de contact qui ne vous trahit pas
Supposons que vous ayez choisi votre destinataire. Reste la question pratique : comment lui écrire sans que l'expéditeur soit vous.
Ce qu'il ne faut jamais utiliser
- Le matériel de l'employeur. Poste de travail, téléphone professionnel, réseau Wi-Fi de l'entreprise, VPN d'accès distant : tout y est journalisé, souvent pour six mois ou un an, et ces journaux sont les premiers consultés en cas d'enquête interne.
- Votre adresse e-mail personnelle habituelle. Elle est reliée à votre identité par une dizaine de recoupements.
- Un compte créé cinq minutes avant l'envoi, depuis votre connexion domestique. L'adresse IP de création et l'horodatage suffisent.
- Un document bureautique brut. Les fichiers Word, PDF ou photos embarquent des métadonnées : nom d'utilisateur, nom de l'imprimante, coordonnées GPS de la prise de vue, numéro de série de l'appareil. Un nettoyage systématique s'impose avant tout envoi.
Les canaux à privilégier
Le SMS anonyme. Pour un premier contact court — « votre espace client expose les fichiers du répertoire /exports, vérifiez d'urgence » — un SMS envoyé via une passerelle anonyme est redoutablement adapté : pas de compte à créer, pas d'historique de messagerie, un message qui arrive à coup sûr sur un téléphone professionnel. Il ne convient pas au transfert de pièces, mais il excelle pour déclencher une prise de conscience et proposer un canal de suite. La contrepartie à connaître : la passerelle conserve, pour des raisons légales, des journaux techniques. L'anonymat est réel vis-à-vis du destinataire, pas absolu vis-à-vis d'une réquisition judiciaire.
Le courrier postal. Sous-estimé, presque parfait. Une lettre imprimée dans un point d'impression public, sans en-tête, glissée dans une boîte aux lettres éloignée de votre domicile, ne porte aucune métadonnée numérique. Le Défenseur des droits, la CNIL et la plupart des rédactions acceptent le courrier papier.
Les plateformes de dépôt sécurisé. Plusieurs médias français opèrent une instance SecureDrop ou équivalent, conçue pour que la rédaction elle-même ne connaisse pas la source. À utiliser depuis un réseau qui n'est ni votre domicile ni votre bureau.
Une messagerie chiffrée sur un appareil distinct. Si l'échange doit durer, un second téléphone acheté d'occasion et payé en espèces, associé à une carte SIM prépayée dédiée, crée une séparation nette. C'est la logique du compartimentage : un appareil, un usage, aucun contact commun avec votre vie ordinaire. Un smartphone reconditionné d'entrée de gamme suffit largement pour cet usage.
Le détail qui trahit tout le monde
Le style d'écriture. Les enquêtes internes ne cherchent pas des IP, elles cherchent des tournures. Si trois personnes seulement connaissent le dossier et que votre message reprend le vocabulaire exact d'une réunion, l'anonymat technique ne sert à rien. Écrivez court, factuel, sans ironie et sans détail que seul un cercle restreint pourrait connaître. Relisez en vous demandant : « combien de personnes auraient pu écrire ça ? »
Le contenu du signalement : ce qui le rend crédible
Un signalement anonyme part avec un handicap : on ne peut pas vous rappeler pour vérifier. Il doit donc être auto-portant.
Structure recommandée, en une page maximum :
- L'organisation concernée, nommée précisément.
- Les faits, datés, décrits sans interprétation. « Le 12 août, l'adresse [X] affichait sans authentification une liste de 4 000 lignes comportant nom, adresse et numéro de sécurité sociale. »
- La nature des données, avec mention si elles relèvent des catégories particulières de l'article 9 du RGPD (santé, opinions, orientation sexuelle, biométrie) — ce qui change radicalement la gravité.
- La preuve minimale : une capture recadrée, anonymisée, suffisante pour vérifier sans divulguer davantage.
- Ce que vous demandez : correction, notification aux personnes concernées, enquête.
- Un canal de recontact si vous en acceptez un.
Ce qu'il ne faut pas mettre : vos hypothèses sur les responsables, vos griefs personnels, votre analyse des motivations. Un signalement qui ressemble à un règlement de comptes est classé sans suite.
Quand les personnes concernées doivent être prévenues
Le RGPD impose deux obligations distinctes au responsable du traitement, et il est utile de les connaître pour évaluer la réponse qu'on vous fait :
- Article 33 : notification à la CNIL dans les 72 heures après avoir eu connaissance d'une violation, sauf si elle est peu susceptible d'engendrer un risque.
- Article 34 : information des personnes concernées elles-mêmes, sans délai, lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
Autrement dit : si l'on vous répond « c'est corrigé, on ne va pas affoler les gens » alors que des numéros de sécurité sociale ont circulé, la réponse n'est pas conforme. C'est précisément le type d'élément qui justifie de passer au canal externe.
Pour les personnes concernées, la CNIL rappelle les réflexes utiles : changer les mots de passe réutilisés, surveiller les comptes bancaires, se méfier des sollicitations qui suivent — le hameçonnage ciblé exploite systématiquement les fuites récentes. Un gestionnaire de mots de passe permet de repérer d'un coup d'œil les identifiants réutilisés, et une clé de sécurité physique compatible FIDO2 neutralise la plupart des reprises de compte, même avec un mot de passe compromis.
Trois scénarios, trois stratégies
Vous êtes salarié et la faille vient de votre employeur. Priorité au DPO par écrit, puis au représentant du personnel. Conservez chez vous une copie datée de votre signalement : elle constituera la preuve d'antériorité si des représailles surviennent. En cas de dégradation, saisissez le Défenseur des droits, qui peut délivrer un avis et orienter vers un soutien financier.
Vous êtes client ou usager et vous découvrez la faille depuis l'extérieur. Signalez au security@ ou au DPO, puis à la CNIL sous quinze jours si rien ne bouge. Vous n'avez ici aucun lien de subordination : le risque principal est une plainte pour accès frauduleux, d'où l'importance absolue de ne pas avoir « exploré ».
Vous découvrez un dispositif de surveillance illégal. Caméras filmant des postes de travail, logiciel de captation d'écran non déclaré, géolocalisation des véhicules hors cadre. Ce sont des sujets où la CNIL a sanctionné à plusieurs reprises, et où l'inspection du travail et le CSE sont des relais puissants. La documentation par photo est ici légitime — vous documentez ce que vous subissez.
Conclusion : l'anonymat comme condition du signalement
On oppose souvent l'anonymat à la responsabilité, comme si masquer son identité revenait à fuir les conséquences de ses propos. Le signalement de fuites de données démontre l'inverse. Sans possibilité de parler sans se désigner, une part considérable des failles ne serait jamais corrigée, et une part considérable des traitements illégaux ne serait jamais interrompue.
Ce n'est pas une opinion militante : c'est le raisonnement même du législateur européen, qui a construit un régime de protection parce qu'il avait constaté que la peur des représailles bloquait l'information. Les outils d'anonymat — passerelle SMS, dépôt sécurisé, courrier papier, appareil dédié — ne sont que la traduction technique d'un droit déjà reconnu.
Reste la discipline. Documenter sans exfiltrer, alerter sans exploiter, écrire court et factuel, choisir le bon destinataire avant le bon canal. La technique protège l'identité ; la méthode protège l'alerte.
Pour aller plus loin : le site de la CNIL (rubrique « violation de données »), le guide du Défenseur des droits sur l'orientation et la protection des lanceurs d'alerte, la Maison des lanceurs d'alerte, et le texte de la loi n° 2022-401 du 21 mars 2022 sur Légifrance.
