Ils n'attaquent plus votre cabinet. Ils attaquent votre prestataire.

Le 15 avril 2026, le portail France Titres — l'ancienne ANTS, celle qui gère vos cartes d'identité, vos passeports et vos permis de conduire — a été attaqué. Environ 11,7 millions de comptes ont été exposés : noms, adresses électroniques, dates de naissance, numéros de téléphone. C'est la plus grosse fuite jamais attribuée publiquement à un service de l'État français.

Deux détails méritent qu'on s'y arrête, parce qu'ils disent tout.

Le premier : la faille exploitée consistait à changer un chiffre dans une adresse pour consulter le dossier de quelqu'un d'autre. Pas de logiciel malveillant, pas de rançongiciel, pas d'opération sophistiquée. Un numéro modifié à la main.

Le second : la personne interpellée le 25 avril avait quinze ans.

Je ne raconte pas cela pour accabler qui que ce soit. Je le raconte parce que c'est exactement ce qui devrait nous inquiéter : il n'a pas fallu un attaquant d'État pour exposer douze millions de Français. Il a fallu une négligence ordinaire, dans un système que personne n'avait sérieusement regardé.

Ce que les chiffres disent vraiment

La CNIL a enregistré 6 167 notifications de violation de données en 2025 — 10 % de plus qu'en 2024, 50 % de plus qu'il y a trois ans. Le premier trimestre 2026 en compte déjà plus de 2 730. Autrement dit, la courbe ne se redresse pas, elle accélère.

Mais le chiffre le plus utile pour vous n'est pas celui-là. C'est celui-ci : environ la moitié de ces fuites viennent d'un piratage, et les attaquants ne visent plus l'organisation principale — ils passent par les sous-traitants, plus petits et moins équipés.

C'est un changement de méthode, et il vous concerne directement.

Pourquoi cela ne vous coûte pas la même chose qu'aux autres

Quand une entreprise ordinaire subit une fuite chez un prestataire, elle affronte un risque réglementaire et un risque de réputation. C'est déjà lourd : la CNIL a sanctionné Free Mobile et Free de 42 millions d'euros cumulés en janvier 2026 pour un défaut de sécurisation des données de leurs abonnés, et elle consacrera la moitié de ses contrôles 2026 à la cybersécurité.

Vous, vous affrontez autre chose en plus. Vous êtes tenu au secret professionnel.

Et le secret, contrairement au traitement, ne se sous-traite pas.

Vous pouvez confier vos documents à une plateforme. Vous pouvez confier votre agenda à un service en ligne, vos comptes rendus à un outil de transcription, vos courriers à une intelligence artificielle. Mais le jour où l'un d'eux fuit, ce n'est pas le prestataire qui a rompu le secret de votre client ou de votre patient. C'est vous. Devant votre Ordre, devant la personne concernée, et devant le juge, la responsabilité vous reste attachée.

C'est la différence entre une amende et une faute déontologique. La première se provisionne. La seconde, non.

Le calcul qu'on ne fait jamais

Voici l'exercice que je propose, et qui ne prend pas dix minutes.

Prenez une feuille et listez tous les services en ligne où transitent des informations identifiables de vos clients ou de vos patients. Pas seulement les outils métier : la messagerie, l'agenda partagé, l'espace de stockage, l'outil de prise de rendez-vous, le service de signature électronique, l'assistant qui rédige vos synthèses, le prestataire de sauvegarde.

Comptez-les.

Chaque ligne de cette liste est une organisation dont vous ne connaissez ni les équipes, ni les pratiques de sécurité, ni les sous-traitants — car eux aussi en ont. Chaque ligne est une porte d'entrée que vous ne surveillez pas et que vous ne pouvez pas auditer. Et chaque ligne engage votre secret professionnel.

Faites le compte avant de lire la suite. Le chiffre est presque toujours plus élevé que ce qu'on imaginait en commençant la liste — c'est d'ailleurs tout l'intérêt de l'écrire au lieu d'y penser.

Ce que je ne vous dirai pas

Je ne vous dirai pas de tout arrêter, ni que le « cloud » serait dangereux en soi. Ce serait malhonnête, et impraticable.

Je ne vous dirai pas non plus qu'un hébergement français vous met à l'abri. La fuite d'avril concernait un service de l'État français, hébergé en France. La souveraineté du drapeau ne protège de rien toute seule — c'est précisément la leçon de cette affaire, et c'est pourquoi je me méfie de ceux qui la vendent comme une garantie.

La seule question qui compte

Ce qui réduit votre risque n'est ni le pays, ni le label, ni la promesse contractuelle.

C'est le nombre d'organisations qui détiennent vos données.

Chaque acteur retiré de la liste est une porte fermée pour de bon. Non pas mieux gardée : fermée. C'est le seul type de protection qui ne dépend pas de la vigilance de quelqu'un d'autre.

Cela mène à trois gestes concrets, par ordre d'efficacité décroissante.

Un. Pour ce qui touche au secret — pièces de dossier, données de santé, éléments d'identification — préférez ce qui reste chez vous. Un outil installé dans votre cabinet ne peut pas fuir chez un tiers, parce qu'il n'y a pas de tiers. C'est aujourd'hui possible pour la bureautique, le stockage, la transcription et même l'assistance à la rédaction.

Deux. Pour ce que vous continuez à confier, exigez de savoir qui d'autre y accède. La question à poser n'est pas « où sont hébergées mes données ». Elle est : « qui sont vos sous-traitants, et quels sont les leurs ». Un fournisseur incapable de répondre vient de vous répondre.

Trois. Fermez les portes que vous n'utilisez plus. L'outil testé il y a deux ans et jamais résilié détient toujours ce que vous y avez déposé.

Votre contrainte est votre avantage

Il y a quelque chose d'un peu injuste à être soumis au secret professionnel à une époque où tout le monde met tout en ligne. On a l'impression d'être freiné pendant que les autres avancent.

Je crois l'inverse.

Cette contrainte vous a obligés, bien avant les autres, à vous demander où vont les informations qu'on vous confie. C'est exactement la question que toutes les organisations sont en train d'apprendre à se poser dans la douleur, fuite après fuite.

Vous n'avez pas un handicap à rattraper. Vous avez une méthode que les autres découvrent seulement maintenant — et vous pouvez en faire ce qu'elle est réellement pour vos clients et vos patients : une raison de vous choisir.

Sources

• Cyberattaque du portail France Titres (ANTS), 15 avril 2026 : chronologie et ampleur et nature des données exposées.
• Violations de données en France, bilan et tendance : panorama des plus grandes fuites.
• Position et contrôles de la CNIL pour 2026 : 6 167 violations signalées en 2025, un premier trimestre 2026 déjà pire, durcissement annoncé et sanctions, et le site de la CNIL.

Illustration : éclipse lunaire totale du 14 mars 2025, photographiée par la NASA (domaine public).