Un cybercriminel affirme disposer d’un disque de stockage de 3,9 To contenant des vidéos de surveillance provenant d’un magasin E.Leclerc situé à Conflans-Sainte-Honorine, selon FrenchBreaches. Les fichiers, datés de 2019, incluraient des images issues de caméras installées dans des zones normalement inaccessibles au public, comme des salles réservées aux employés, des bureaux ou des couloirs internes. Aucune confirmation officielle de l’enseigne n’a été publiée à ce jour, laissant planer un doute sur l’authenticité de ces données et leur origine exacte.

Ce qu'il faut retenir

  • Un cybercriminel revendique la vente d’un disque de 3,9 To de vidéosurveillance issues d’un magasin E.Leclerc de Conflans-Sainte-Honorine.
  • Les fichiers dateraient de 2019, soulevant des questions sur leur conservation prolongée et leur conformité au RGPD.
  • Les images pourraient inclure des zones privées et des données sensibles concernant clients, salariés et prestataires.
  • La CNIL rappelle que les vidéos de surveillance ne doivent généralement pas être conservées plus d’un mois, sauf exceptions.

Selon FrenchBreaches, la publication de cette offre intervient sur un forum spécialisé dans les cybermenaces, où le cybercriminel précise qu’il ne s’agit pas d’un piratage, mais d’un vol de disque dur. Les vidéos concerneraient non seulement les espaces commerciaux accessibles aux clients, mais aussi des zones internes comme les réserves ou les bureaux du personnel. Si ces informations étaient avérées, elles pourraient exposer l’enseigne à des risques juridiques et réputationnels majeurs, notamment en matière de protection des données personnelles.

Des données potentiellement sensibles et une conservation problématique

Les vidéos de surveillance, lorsqu’elles contiennent des images de personnes identifiables, sont considérées comme des données personnelles au sens du RGPD. Leur conservation doit respecter des règles strictes : la Commission nationale de l’informatique et des libertés (CNIL) rappelle que la durée maximale de conservation est généralement d’un mois. Cette limite peut être exceptionnellement prolongée uniquement dans des cas précis, comme une enquête judiciaire, un incident de sécurité ou une procédure disciplinaire en cours.

Le fait que ces fichiers datent de 2019, soit près de six ans, interroge sur la conformité du dispositif de vidéosurveillance mis en place par E.Leclerc. Une conservation aussi prolongée pourrait constituer une violation du principe de minimisation des données, qui impose de ne collecter et conserver que les informations strictement nécessaires. En cas de confirmation de cette fuite, l’enseigne pourrait faire l’objet de sanctions administratives, d’amendes RGPD, voire de mises en demeure de la part de la CNIL. Les personnes filmées, si elles étaient identifiées, pourraient également demander réparation pour atteinte à leur vie privée.

Les risques liés à une fuite confirmée

Si l’authenticité des données était établie, les conséquences pourraient être multiples. D’abord, une atteinte à la vie privée des personnes filmées, qu’il s’agisse de clients, de salariés ou de prestataires. Les images pourraient permettre d’identifier des individus à partir de leur visage, leur tenue, leur comportement ou leur véhicule, facilitant ainsi des usages malveillants comme le chantage ou la diffusion non autorisée. Ensuite, un risque juridique pour E.Leclerc, qui pourrait être tenu pour responsable d’une conservation excessive de données personnelles, en violation des articles 5 et 32 du RGPD.

La réputation de l’enseigne pourrait également être affectée, notamment auprès de ses clients soucieux de la protection de leurs données. Une enquête interne serait probablement nécessaire pour déterminer qui avait accès aux vidéos, pourquoi elles ont été conservées aussi longtemps, et quelles mesures de sécurité étaient en place pour protéger ces données sensibles. La CNIL pourrait également exiger une notification aux personnes concernées en cas de violation avérée.

Comment une telle fuite a-t-elle pu se produire ?

Plusieurs scénarios pourraient expliquer la compromission de ces données. Selon FrenchBreaches, une faille dans la sécurité du système de stockage vidéo, une mauvaise configuration des sauvegardes ou un accès non sécurisé à un serveur pourraient être en cause. Un autre scénario évoqué est le vol ou l’exfiltration d’un disque dur interne contenant les archives. Enfin, une faille chez un prestataire technique chargé de la maintenance des caméras ne peut être exclue. À ce stade, aucune cause précise n’a été confirmée par E.Leclerc, qui n’a pas réagi publiquement à ces allégations.

Les systèmes de vidéosurveillance, souvent perçus comme de simples outils de sécurité, constituent en réalité des traitements de données personnelles qui doivent être protégés avec le même niveau de rigueur que les bases de données clients ou les fichiers RH. Une négligence dans leur sécurisation peut exposer une entreprise à des risques majeurs, tant sur le plan juridique que réputationnel. Cette affaire rappelle l’importance de respecter les obligations légales en matière de protection des données, y compris pour les dispositifs de surveillance.

Et maintenant ?

Si les affirmations du cybercriminel sont avérées, E.Leclerc devrait procéder à une vérification urgente de l’authenticité des données et mener une enquête interne pour identifier l’origine de la fuite. La CNIL pourrait être saisie pour évaluer la conformité du dispositif de vidéosurveillance et déterminer si des sanctions sont justifiées. Une communication transparente envers les personnes concernées serait également attendue, conformément aux obligations légales. Dans tous les cas, cette affaire souligne la nécessité pour les entreprises de revoir leurs pratiques de conservation des données personnelles, en particulier lorsqu’elles concernent des images de surveillance.

La situation reste à suivre dans les prochaines semaines, notamment après une éventuelle prise de position officielle d’E.Leclerc ou une réaction de la CNIL. Pour l’heure, l’authenticité des données revendiquées par le cybercriminel n’a pas été établie, et aucune preuve supplémentaire n’a été rendue publique.

En cas de confirmation, E.Leclerc pourrait faire l’objet de sanctions administratives de la part de la CNIL, pouvant aller jusqu’à des amendes pouvant atteindre 4 % du chiffre d’affaires mondial de l’entreprise. Une mise en demeure pour régularisation pourrait également être prononcée, avec un délai pour se conformer aux exigences du RGPD. Les personnes concernées pourraient également engager des actions en justice pour obtenir réparation.

Pour l’instant, aucune liste officielle des personnes concernées n’a été publiée. Si E.Leclerc confirme la fuite, l’entreprise devrait notifier les personnes affectées, conformément à l’article 34 du RGPD. En attendant, il est conseillé de rester vigilant face à d’éventuelles tentatives d’hameçonnage ou d’usurpation d’identité, sans pour autant alerter inutilement.