Selon nos confrères de FrenchBreaches, la Commission nationale de l'informatique et des libertés (CNIL) envisage d’infliger une sanction de 1,8 million d’euros à l’agence de voyages Voyageurs du Monde, spécialisée dans les voyages sur mesure. Cette procédure fait suite à une cyberattaque survenue en mai 2023, qui avait exposé près de 8 000 copies de passeports appartenant à des clients de l’entreprise. L’autorité reproche à Voyageurs du Monde plusieurs manquements graves à ses obligations en matière de protection des données personnelles, en violation du Règlement général sur la protection des données (RGPD).

Ce qu'il faut retenir

  • Une cyberattaque en mai 2023 a exposé 8 000 passeports de clients de Voyageurs du Monde, entraînant une enquête de la CNIL.
  • L’autorité a identifié cinq manquements au RGPD, dont un désaccord persistant sur la durée de conservation des données.
  • La CNIL propose une amende de 1,8 million d’euros, que Voyageurs du Monde conteste notamment sur la question de la conservation des données.
  • L’entreprise justifie sa pratique par la nécessité de personnaliser ses services pour une clientèle haut de gamme, mais la CNIL juge ces arguments insuffisants.
  • Le secteur du tourisme est particulièrement ciblé par les cybercriminels en raison de la quantité de données sensibles qu’il traite.
  • En 2025, la CNIL a enregistré un record de 6 167 notifications de violations de données, soit une hausse de 9,5 % par rapport à 2024.

Une cyberattaque aux conséquences lourdes pour les clients

En mai 2023, Voyageurs du Monde a été victime d’une cyberattaque ayant conduit à la fuite de 8 000 copies de passeports de ses clients. Ces documents sensibles, une fois rendus publics, exposent les personnes concernées à des risques de fraude ou d’usurpation d’identité. La CNIL a immédiatement ouvert une enquête pour évaluer les mesures de sécurité mises en place par l’entreprise et vérifier sa conformité au RGPD. Les investigations menées par l’autorité ont révélé des lacunes majeures dans la gestion des données personnelles, motivant ainsi la proposition d’une amende de 1,8 million d’euros.

Cette affaire se déroule dans un contexte où les cyberattaques ciblant le secteur du tourisme se multiplient. Les acteurs de ce domaine, qui manipulent des volumes importants de données personnelles, sont devenus des cibles privilégiées pour les cybercriminels. La complexité des systèmes de réservation et la multiplicité des prestataires techniques impliqués complexifient la sécurisation des données, rendant les entreprises particulièrement vulnérables.

Cinq manquements au RGPD, dont un point de désaccord persistant

Lors de l’audience devant la formation restreinte de la CNIL, la rapporteuse du dossier a identifié cinq manquements au RGPD. Quatre d’entre eux ont depuis été corrigés par Voyageurs du Monde. Cependant, un désaccord persiste concernant la durée de conservation des données clients. La CNIL estime que certaines informations sont conservées pendant une période excessive, en violation des principes de limitation de la conservation prévus par le RGPD.

Voyageurs du Monde défend sa pratique en invoquant les spécificités de son activité. Selon Alain Capestan, directeur général de l’entreprise, sa clientèle réalise souvent des voyages haut de gamme et peut revenir plusieurs années après une première réservation. « Les clients dépensent en moyenne 17 000 euros par voyage et s’attendent à retrouver un service personnalisé lors de leurs futures réservations », a-t-il précisé. Cette stratégie conduit l’entreprise à conserver certaines données pendant près de dix ans.

« Les impératifs commerciaux invoqués ne suffisent pas à justifier une conservation aussi longue des données personnelles. »
– Porte-parole de la CNIL

Une conservation des données jugée excessive par la CNIL

La CNIL considère que la durée de conservation retenue par Voyageurs du Monde dépasse largement ce qui est généralement accepté pour un fichier client. Selon l’autorité, les règles du RGPD imposent une limitation stricte de la durée de conservation des données, sauf exceptions dûment justifiées. Or, la CNIL estime que les arguments avancés par l’entreprise, bien que compréhensibles sur le plan commercial, ne constituent pas une justification valable au regard de la réglementation.

Cette position de la CNIL s’inscrit dans une volonté plus large de renforcer la protection des données personnelles. L’autorité rappelle que le RGPD impose aux entreprises de traiter les données de manière licite, loyale et transparente, tout en limitant leur conservation au strict nécessaire. Dans le cas de Voyageurs du Monde, la CNIL souligne que les données personnelles des clients devraient être supprimées une fois leur utilité commerciale avérée, sauf dans des cas exceptionnels dûment documentés.

Un secteur du tourisme particulièrement exposé aux cybermenaces

Cette affaire met en lumière les vulnérabilités du secteur du tourisme, qui est devenu une cible privilégiée pour les cybercriminels. Plusieurs entreprises du domaine, dont Pierre & Vacances ou Belambra, ont récemment été victimes de cyberattaques. Les experts expliquent cette tendance par la quantité massive de données personnelles traitées par ces acteurs, mais aussi par la complexité de leurs systèmes de réservation et la multiplicité des prestataires techniques impliqués.

Les données personnelles collectées par les agences de voyage et les plateformes d’hébergement incluent non seulement des informations d’identité, mais aussi des détails sur les habitudes de consommation, les préférences et les coordonnées bancaires. Ces données sont particulièrement attractives pour les cybercriminels, qui peuvent les revendre sur le dark web ou les utiliser pour des attaques ciblées, comme le phishing ou l’usurpation d’identité.

Les violations de données atteignent un niveau record en France

Dans son bilan annuel, la CNIL a révélé avoir enregistré 6 167 notifications de violations de données personnelles en 2025, soit une hausse de 9,5 % par rapport à l’année précédente. Il s’agit du niveau le plus élevé jamais observé par l’autorité française. Ces chiffres illustrent l’ampleur des enjeux liés à la cybersécurité et rappellent que la protection des données personnelles reste un défi majeur pour les entreprises comme pour les consommateurs.

Face à cette augmentation des cybermenaces, la CNIL a renforcé ses contrôles et ses sanctions. Les amendes infligées pour non-respect du RGPD peuvent atteindre jusqu’à 4 % du chiffre d’affaires mondial d’une entreprise, soit un montant pouvant se chiffrer en dizaines de millions d’euros pour les grands groupes. Voyageurs du Monde, dont le chiffre d’affaires s’élève à plusieurs centaines de millions d’euros, pourrait donc subir un impact financier significatif si la sanction proposée par la CNIL est confirmée.

Et maintenant ?

La décision définitive de la formation restreinte de la CNIL n’a pas encore été rendue. L’autorité devra trancher sur le montant de l’amende proposée, qui pourrait être confirmée, réduite ou ajustée en fonction des éléments retenus lors du délibéré. Pour Voyageurs du Monde, cette affaire pourrait également entraîner une révision de ses pratiques en matière de conservation des données, afin de se conformer pleinement aux exigences du RGPD.

Cette procédure rappelle aux entreprises du secteur du tourisme l’importance de renforcer leurs dispositifs de cybersécurité et de veiller au strict respect des obligations légales en matière de protection des données. Les prochains mois seront déterminants pour Voyageurs du Monde, mais aussi pour l’ensemble du secteur, alors que les cybermenaces continuent de se diversifier et de s’intensifier.

Cette affaire illustre les défis croissants auxquels sont confrontées les entreprises dans un environnement numérique de plus en plus risqué. Elle souligne également l’importance d’un cadre réglementaire strict pour protéger les données personnelles, un enjeu qui dépasse largement le cadre du secteur du tourisme.

Les clients de Voyageurs du Monde dont les passeports ont été exposés lors de la cyberattaque de mai 2023 s’exposent à des risques d’usurpation d’identité ou de fraude. Leurs données personnelles pourraient être utilisées pour ouvrir des comptes bancaires frauduleux, souscrire des contrats ou commettre des actes malveillants en leur nom. La CNIL recommande aux personnes concernées de surveiller leurs relevés bancaires et de signaler toute activité suspecte à leur banque ou aux autorités compétentes.