Comment nos chiffres sont établis

Chaque nombre affiché sur ce site est compté dans un fichier, pas écrit à la main. Cette page dit lequel, ce qu'il contient exactement, et ce que le chiffre ne veut pas dire.

Les courtiers, registres et annuaires

542 référencés (procédures vérifiées d’avril à août 2026), et le mot compte : courtiers et annuaires référencés, avec leur procédure de retrait et leur base légale. Nous ne comptons une entrée que si elle porte à la fois sa procédure de retrait et sa base légale — un référentiel dont une partie n'a pas de procédure ne se résume pas par son nombre de lignes.

Le référentiel, fiche par fiche : les sites et les registres, les courtiers.

Ce que ce chiffre ne dit pas : il ne dit pas que vos données sont détenues par ces organismes, ni que nous écrivons à tous. Nous n'écrivons qu'à ceux où une exposition est constatée.

La date de dernière revérification n'est pas affichée, et c'est volontaire : le champ qui la porte dans notre fichier ne porte qu'un mois — « juin 2026 », « avril 2026 » — et un mois n'est pas un jour. Nous préférons ne rien afficher plutôt qu'une date que la donnée ne soutient pas : elle reviendra le jour où chaque entrée portera la sienne, et le code l'affichera alors sans qu'on y retouche.

Les organismes à procédure officielle

29 sur 31 des organismes que nous suivons ont, dans notre fichier, l'adresse de leur procédure officielle et la base légale qui la fonde. Les autres sont suivis, mais ne sont pas comptés ici.

Les 2 qui manquent aujourd'hui, nommés : 118 712, Verif — leur procédure existe, mais nous n'avons pas encore d'adresse officielle vérifiable à citer.

Le corpus de fuites — et ses deux périmètres

Deux nombres coexistent sur ce site, et ils ne répondent pas à la même question :

• Le corpus mondial — toutes les fuites référencées par Have I Been Pwned. C'est ce dans quoi votre exposition est recherchée, et c'est le chiffre du bandeau d'accueil, avec la date de son relevé.
• Les fuites touchant des résidents français — services en .fr, ou au moins un million de comptes. C'est le périmètre de l'observatoire, qui publie ses données en CSV et en JSON, sous licence CC BY 4.0, avec sa propre méthode et son journal des changements.

L'observatoire publie aussi les sanctions de la CNIL ; chaque mois fini y est figé en un relevé daté : septembre 2026, août 2026.

La base qu'utilisent le FBI, Europol et la NCA

Cette phrase a une source publique et datée : Operation Endgame, opération coordonnée depuis Europol, à laquelle participent le FBI et la NCA, dont les autorités ont remis les adresses des victimes à Have I Been Pwned pour qu'elles soient notifiées — la fiche de l'opération.

Les niveaux de preuve d'une alerte

1. Niveau 1 : une source officielle. L'organisme lui-même, la CNIL ou le CERT-FR a communiqué, à une date que la page cite.
2. Niveau 2 : deux médias distincts. Deux rédactions indépendantes l'une de l'autre rapportent la fuite ; la page cite les deux.
3. Niveau 3 : une revendication seule. Un message sur un forum ou un canal de pirates, sans confirmation : nous ne la publions pas, et elle n'entre dans aucun de nos comptes.

Une alerte dit son niveau, ses sources et leur date. Nous ne publions jamais une donnée volée, un lien vers un fichier, le nom d'une victime ni une cause que les sources n'établissent pas.

Notre politique de correction

Une erreur signalée est vérifiée sur les sources. Confirmée, elle est corrigée sous 48 heures ; la correction est écrite en tête de la page, datée, avec ce qui a changé. Une page n'est jamais réécrite en silence : sa date de mise à jour est celle du dernier fait réel, jamais celle d'une simple remise en page.

Le baromètre mensuel des fuites

Le premier jour de chaque mois, l'observatoire publie un baromètre du mois écoulé : cinq chiffres, un graphique et le fichier qui permet de les recompter. Ses règles ont été fixées le 23 octobre 2026, avant les données :

1. une fuite compte pour une affaire, quel que soit le nombre de ses sources ou de ses pages ;
2. elle est comptée au mois de son premier signalement, en heure de Paris ;
3. seuls les niveaux de preuve 1 et 2 entrent dans le compte ;
4. « touchant la France » suit la règle de nos pages d'alerte, sans exception à la main ;
5. le compte s'arrête au dernier jour du mois, à 23 h 59 ; une affaire retirée en sort, et sa correction est publiée ;
6. le mois précédent est recalculé par le même programme, sur les mêmes données.

Le baromètre d'un mois n'est jamais réécrit. Ses chiffres sortent d'un programme testé, jamais d'une saisie.

Droit de réponse : contester une page

Une entreprise, ou toute personne concernée, peut contester une page de ce site : par ce formulaire, ou par un e-mail à contact@sanstrace.fr.

Une contestation ne retire rien d'office : vous la confirmez par le lien reçu par e-mail, une personne vérifie la page sous 48 heures, et seule une erreur prouvée la change — la correction y est alors publiée, datée. Tout démenti ou toute correction reçus sont publiés sur la page concernée sous 48 heures.

Réutiliser ces chiffres

Le jumeau lisible par machine de cette page : donnees/echelle.json. Licence CC BY 4.0 — vous pouvez les reprendre, y compris commercialement, en nous citant.

Pour la presse : données et presse. Toutes nos pages, par famille : le plan du site.

Ligne de citation : « SansTrace, Référentiel des procédures d'opposition, 3 novembre 2026, https://sanstrace.fr/methode.html ».

Have I Been Pwned : le mode d'emploi en français · Fuites de données en France : le baromètre d'octobre 2026 · L'exactitude de nos alertes, mesurée