Observatoire des fuites de données et des sanctions CNIL

Toutes les fuites de données référencées qui touchent des résidents français et toutes les sanctions de la CNIL, avec pour chacune la date, l'organisme, le nombre de comptes, les catégories de données et la source officielle. Tenu à jour automatiquement, à chaque nouvelle alerte. Des chiffres que personne ne publie en français, et la méthode pour les vérifier.

Les chiffres

Périmètre : fuites référencées par Have I Been Pwned : services en .fr, ou au moins 1 million de comptes. Sanctions : sanctions prononcées par la CNIL depuis 2011 (registre officiel).

Par trimestre

Trimestre de la date de la fuite (source) ou de la publication de la sanction. Les huit derniers trimestres.

Sanctions CNIL cumulées par année : 2011 : 0 € · 2012 : 10 026 € · 2013 : 43 000 € · 2014 : 186 000 € · 2015 : 65 000 € · 2016 : 0 € · 2017 : 0 € · 2018 : 0 € · 2019 : 51 100 000 € · 2020 : 78 489 300 € · 2021 : 214 106 000 € · 2022 : 100 272 900 € · 2023 : 89 179 500 € · 2024 : 55 207 400 € · 2025 : 486 822 500 € · 2026 : 47 876 450 €.

Deux jeux de données, chacun sa page

Export ouvert des deux jeux : CSV · JSON (CC BY 4.0).

Signalements de presse, non confirmés

Événements rapportés par au moins deux médias identifiés, sans source officielle à ce jour. Rien n'est affirmé ici : chaque ligne renvoie aux articles, et bascule dans le tableau ci-dessus dès qu'une source officielle se prononce. Ces lignes ne comptent dans aucun chiffre de cette page.

Méthodologie

D'où vient chaque donnée. Les fuites viennent du référentiel public de Have I Been Pwned : nom du service, domaine, date de la fuite, date de référencement public, nombre de comptes, catégories de données — repris tels quels. Les sanctions viennent du registre officiel des sanctions prononcées par la CNIL (une table par année depuis 2011 : date, organisme ou type d'organisme quand la décision est anonymisée, montant, lien vers la délibération) et du flux officiel des communications de la CNIL, qui nomme l'organisme ; une même décision vue par les deux est rapprochée par son montant et sa date. Période couverte par les sanctions : depuis 2011. Les montants sont ceux renseignés au registre (288 décisions sur 390, montants connus depuis 2012) ; les tables les plus anciennes n'ont pas de colonne « décision » : ces sanctions comptent, leur montant non — le cumul est un minimum.

Ce qui entre. Une fuite entre si elle est vérifiée par la source (ni fabriquée, ni liste de spam) et si le service est en .fr, ou si elle dépasse 1 000 000 comptes — une fuite mondiale de cette taille touche nécessairement des résidents français. Une sanction entre dès sa publication par la CNIL.

Ce qui est exclu, et pourquoi. Toute ligne sans lien vers la source officielle (haveibeenpwned.com ou cnil.fr) et toute ligne sans date : 0 ligne(s) écartée(s) à cette génération. Les fuites non vérifiées par la source ne sont pas reprises. Aucune donnée personnelle : l'observatoire ne contient aucune adresse, aucun nom de particulier.

Ce que les chiffres veulent dire, exactement. Le nombre de comptes d'une fuite est le total déclaré par Have I Been Pwned, tous pays confondus — pour un service en .fr, il approche le nombre de comptes français ; pour une fuite mondiale, il ne dit pas combien de Français sont touchés. « Comptes exposés » additionne ce total sur les services en .fr seulement. Le « délai de référencement » est le nombre de jours entre la date de la fuite et son entrée dans le référentiel public : c'est le temps pendant lequel une fuite est connue des attaquants avant d'être connue du public, pas le délai légal de notification à la CNIL (72 h), que ces sources ne mesurent pas. Médiane et moyenne portent sur 463 fuites datées.

Comment elle est vérifiée. Chaque ligne porte le lien de sa source ; la page, le CSV et le JSON sont générés ensemble depuis la même liste, à chaque nouvelle alerte et chaque jour. Génération : 2026-09-20. Période couverte : 2007-07-12 → 2026-09-09.