Vrais cas. Vraies entreprises. Vraies personnes. C'est pourquoi nous construisons local.
Ces 20 dossiers documentent des situations différentes : déclaration d’entreprise, enquête, poursuite, accord ou sanction administrative. Chaque fiche indique sa source et la date de l’événement ou du document. Une plainte contient des allégations ; ce n’est pas un jugement. Les amendes annoncées peuvent être contestées et ne correspondent pas nécessairement aux sommes encaissées ou versées aux victimes.
Les liens vers les tribunaux et régulateurs donnent accès aux dossiers officiels du pays concerné. Pour les avis d’entreprise, aucune issue judiciaire n’est présumée. Les sources s’ouvrent uniquement si vous suivez leurs liens.
International · Incident déclaré par l’entreprise
Hugging Face a signalé un accès non autorisé à Spaces et soupçonnait un accès à certains secrets stockés. L’entreprise a révoqué des jetons concernés, conseillé de renouveler les clés et signalé l’incident aux autorités.
Royaume-Uni · enquête conjointe avec le Canada · Sanction administrative
Après la cyberattaque de 2023, l’ICO a constaté des protections insuffisantes des renseignements d’utilisateurs britanniques. L’enquête conjointe avec le Canada a examiné les faiblesses permettant des accès à des données sensibles avec des identifiants réutilisés.
France · Sanction administrative
La CNIL a sanctionné Clearview AI pour la collecte d’images de visages sans base légale et pour des manquements aux droits des personnes. Elle a ordonné l’arrêt du traitement illicite et la suppression des données concernées de personnes en France.
États-Unis · Accord et décision de la FTC
La FTC reprochait à Avast d’avoir collecté et vendu des données de navigation via Jumpshot malgré ses promesses de confidentialité. La décision interdit leur vente ou licence publicitaire et impose la suppression de certaines données et de produits dérivés.
États-Unis · Accord et décision de la FTC
La FTC reprochait à BetterHelp d’avoir transmis des identifiants et des réponses à des questionnaires de santé à des plateformes publicitaires malgré ses engagements. Sa décision interdit le partage publicitaire de données de santé et impose de meilleures protections.
États-Unis · Accord homologué par le tribunal
La FTC a poursuivi Ring pour des accès excessifs aux vidéos par des employés et des failles permettant le détournement de comptes. L’accord impose la suppression de certaines vidéos et de meilleures protections. La FTC documente de nouveaux versements en juillet 2026.
Canada · fédéral, Québec, Colombie-Britannique, Alberta · Conclusions d’une enquête conjointe
Quatre autorités de protection des renseignements personnels ont constaté que l’application recueillait une géolocalisation détaillée même lorsqu’elle était fermée, avec un consentement trompeur. Le suivi a cessé en 2020. L’entreprise a accepté les recommandations de suppression et de meilleure gestion des renseignements.
Service international · Incident déclaré par l’entreprise
Vercel a déclaré qu’un compte Context.ai compromis avait permis d’accéder à des systèmes internes. Un sous-ensemble limité de clients était concerné. Le bulletin décrit l’exposition de variables d’environnement non marquées comme sensibles et les mesures correctives.
Service international · Bilan d’enquête de l’entreprise
Mercor attribue l’incident de mars à la compromission de la dépendance LiteLLM. En juin, l’entreprise indiquait qu’un sous-ensemble très limité d’experts avait des renseignements sensibles concernés et qu’aucune donnée d’employé n’était touchée selon son enquête. Il s’agit de ses propres conclusions.
Service international · Réponse de l’entreprise à un signalement de faille
Après le signalement d’un chercheur, McKinsey a confirmé la correction d’une vulnérabilité dans Lilli. L’entreprise affirme que son enquête n’a trouvé aucune preuve d’accès aux données clients par le chercheur ou un autre tiers non autorisé. Une faille ne prouve pas, à elle seule, une fuite massive.
États-Unis · district sud de New York · Procédure civile · ordonnance de procédure
Des auteurs ont engagé des actions en droit d’auteur concernant l’entraînement de l’IA. L’ordonnance publiée par le tribunal fédéral dans le dossier regroupé 25-md-3143 traite de communication des preuves. Elle ne constitue pas un jugement final établissant toutes les violations alléguées.
France · Sanctions administratives
Après l’attaque d’octobre 2024, la CNIL a relevé une sécurité insuffisante et des manquements dans l’information des personnes. Les données compromises concernaient environ 24 millions de contrats d’abonnés : un nombre de contrats n’est pas un nombre de personnes distinctes.
États-Unis · district du Minnesota · Procédure civile · ordonnance judiciaire
La cyberattaque de février 2024 a donné lieu à des procédures regroupées. Une ordonnance fédérale de décembre 2025 reprend l’estimation des défendeurs : 192,7 millions de personnes concernées. Ce chiffre leur est attribué ; l’ordonnance ne signifie pas que les poursuites ou indemnisations étaient terminées.
Irlande · Espace économique européen · Sanction administrative
La commission irlandaise de protection des données a constaté des violations concernant les transferts de données d’utilisateurs de l’EEE vers la Chine et l’information fournie aux utilisateurs. Sa décision impose des mesures correctives et une amende.
Australie · Vérifications préliminaires du régulateur terminées
L’incident de 2025 a concerné environ cinq millions d’Australiens via un prestataire de centre d’appels à l’étranger. En juillet 2026, l’OAIC a terminé ses vérifications préliminaires sans élément indiquant une violation probable de la loi par Qantas et sans ouvrir d’enquête complète.
France · Sanction administrative
La CNIL a sanctionné Google pour des publicités insérées entre les courriels Gmail sans consentement préalable et des cookies déposés lors de la création d’un compte. Le dossier porte sur ces pratiques précises de consentement.
Irlande · Union européenne · Sanction administrative
La DPC a constaté des manquements à la licéité, à la loyauté et à la transparence dans le traitement de données pour l’analyse comportementale et la publicité ciblée. Cette décision concerne ces pratiques, pas un constat de collecte illégale de millions de profils par extraction automatisée.
Irlande · Union européenne · Sanctions administratives
Les décisions de la DPC concernent une vulnérabilité de 2018 ayant permis l’accès non autorisé à environ 29 millions de comptes Facebook dans le monde. Elles portent sur la notification et la protection des données dès la conception. Il s’agit d’une affaire distincte de Cambridge Analytica.
États-Unis · Texas · Accord dans une procédure civile
Le Texas a poursuivi Meta pour la collecte de géométrie faciale par le système d’identification sur les photos Facebook, alléguant des violations de sa loi biométrique. Les parties ont conclu un accord consigné dans un jugement définitif convenu.
Irlande · Union européenne · Sanction administrative
La DPC examinait l’information donnée aux utilisateurs et non-utilisateurs sur le traitement des données, notamment leur partage au sein du groupe Facebook. Elle a constaté des manquements à la transparence. Cette décision n’établit aucune porte dérobée dans le chiffrement des messages.
Ces dossiers montrent plusieurs façons dont les renseignements personnels peuvent échapper à leur usage prévu : collecte excessive, publicité non annoncée, comptes compromis ou prestataire vulnérable.
Garder ses souvenirs sur son appareil réduit leur exposition aux services centralisés. Le contrôle local demande aussi un appareil protégé, des sauvegardes sûres et de l’attention à ce que l’on choisit de partager.
« Plus il y a de lois, moins il y a de justice. »
— Le Comte de Monte-Cristo
La Mémoire