Voir la table des matières Ne plus voir la table des matières
Quand vous souscrivez un abonnement d’énergie, ouvrez un compte en ligne ou joignez le service client de votre banque, vos informations ne restent pas toujours dans les murs de l’entreprise que vous connaissez. Elles transitent souvent par des sous-traitants spécialisés, ces plateformes de téléconseil qui gèrent la relation client pour le compte de grands groupes. Ces centres d’appels concentrent des masses de données personnelles, des coordonnées bancaires à l’état civil complet.
Une enquête de la cellule investigation de Que Choisir, publiée le 20 août 2026, vient rappeler que ce maillon reste fragile. Une journaliste s’est infiltrée dans le plus gros centre d’appels de France pour observer, de l’intérieur, comment ces informations sont protégées. Le dispositif existe bel et bien, mais il se contourne sans grande difficulté. Faut-il alors s’inquiéter du sort de données que l’on confie, souvent sans y penser, à des acteurs restés invisibles ?
Des montagnes de données sensibles confiées à des tiers
Les grandes entreprises externalisent massivement leur relation client. La société Concentrix, présentée par l’enquête comme le plus gros centre d’appels de France, compte parmi ses clients des acteurs aussi variés qu’Engie, BoursoBank ou la Caf. Chaque appel laisse une trace numérique exploitable : numéro de contrat, historique bancaire, parfois jusqu’à vos heures de présence à domicile.
Ces fichiers valent de l’or pour qui sait les revendre. En 2025, la Commission nationale de l’informatique et des libertés (CNIL) a enregistré 6 167 notifications de violations de données, soit une hausse de 9,5 % en un an et le niveau le plus élevé jamais atteint. La moitié de ces fuites sont liées à des piratages.
Derrière ces chiffres, un constat s’impose : les secteurs qui manipulent le plus de données sensibles, comme la banque, la santé ou l’administration, sont aussi les plus visés. Les prestataires techniques forment une cible de choix, car ils rassemblent en un même point les informations de millions de clients. Reste que le pirate informatique n’est pas toujours la menace principale.
Quand le vol vient de l’intérieur
L’enquête de Que Choisir met en lumière une faille moins spectaculaire que les cyberattaques, mais tout aussi redoutable : la complicité interne. Des salariés dérobent les données des clients, sur commande de réseaux criminels ou par simple opportunité, avant que les comptes visés ne soient vidés. Les victimes peuvent parfois obtenir un remboursement de leur banque, mais la démarche reste longue.
Selon l’association de consommateurs, le ver est dans le fruit : le danger ne vient pas seulement de l’extérieur, mais aussi des personnes autorisées à consulter ces informations au quotidien. Un accès légitime détourné laisse peu de traces, ce qui rend ces vols particulièrement difficiles à repérer.
Le phénomène s’inscrit dans une tendance lourde. Sur le seul premier trimestre 2026, la CNIL a déjà relevé plus de 2 730 violations de données, contre environ 2 500 un an plus tôt. Les prestataires de taille modeste concentrent une part croissante des incidents, faute de moyens de sécurité à la hauteur des volumes traités.
Face à ce risque, les centres d’appels ne restent pas les bras croisés. Ils déploient des barrières techniques et physiques censées empêcher toute fuite. Encore faut-il que ces barrières résistent à l’usage réel, ce que l’enquête met sérieusement en doute.
Un arsenal de sécurité facile à déjouer
Pour protéger les informations qu’elle héberge, la plateforme visitée par Que Choisir multiplie les garde-fous. Sur le papier, l’accès aux données clients est verrouillé à plusieurs niveaux :
- les téléphones personnels sont interdits sur les postes de travail, afin d’empêcher toute photographie d’un écran ;
- des badges multiples et des sas contrôlent la circulation entre les zones sensibles ;
- des clés biométriques conditionnent l’ouverture de certaines sessions informatiques ;
- des chartes internes rappellent à chaque salarié ses obligations de confidentialité.
Sur le terrain, la journaliste a pourtant constaté que ces protections se déjouent sans effort particulier. Un dispositif impressionnant ne vaut que par son application, et c’est précisément là que le bât blesse.
Une courbe des fuites qui ne faiblit pas
Les données publiées par la CNIL permettent de mesurer l’ampleur du phénomène dans la durée. Le tableau ci-dessous récapitule le nombre de notifications de violations reçues par le régulateur :
| Période | Notifications | Évolution |
|---|---|---|
| 2024 | environ 5 630 | référence |
| 2025 | 6 167 | +9,5 %, record historique |
| 1er trimestre 2026 | 2 730 | +9 % sur un an |
La lecture de ces chiffres confirme une progression continue, sans rupture visible d’une année sur l’autre. Aucune catégorie d’organisme n’est réellement épargnée, du service public à la banque en passant par les plateformes de vente en ligne.
Un cadre juridique qui se resserre
Face à cette dérive, la réponse publique s’organise sur plusieurs fronts. La CNIL a annoncé consacrer la moitié de ses contrôles et de ses actions répressives à la cybersécurité en 2026, en ciblant en priorité les organismes ayant déjà subi une violation ou manipulant de gros volumes de données sensibles. Les sanctions peuvent atteindre plusieurs centaines de milliers d’euros en cas de manquement caractérisé au règlement général sur la protection des données (RGPD).
Le législateur s’empare lui aussi du sujet. Le député Daniel Labaronne a déposé le 7 juillet 2026 une proposition de loi destinée à mieux lutter contre la fraude bancaire et les complicités internes. Elle prévoit notamment un fichier national des salariés ayant commis un manquement à la probité, consultable avant toute embauche pour éviter qu’une même personne ne passe d’un établissement à l’autre. Ce mouvement de régulation prolonge l’encadrement du démarchage téléphonique entré en vigueur cet été.
Ce qu’il faut absolument éviter, c’est un sentiment de résignation.
Marie-Laure Denis, présidente de la CNIL, à l’AFP lors de la présentation du rapport annuel 2025, mai 2026
Ce rappel à la vigilance vaut aussi pour chaque consommateur. La protection des données ne se joue pas qu’au sommet : elle dépend aussi des réflexes de celles et ceux dont les informations circulent.
Reprendre la main sur ses informations
Le consommateur n’est pas totalement démuni face à ce risque diffus. Limiter les informations livrées lors d’un appel, surveiller régulièrement ses relevés bancaires et signaler sans tarder toute opération suspecte réduisent nettement la fenêtre d’exposition. Chaque donnée non communiquée est une donnée qui ne peut être volée, y compris lorsqu’un interlocuteur paraît parfaitement légitime.
Au-delà des réflexes du quotidien, des droits existent pour garder un œil sur ses traces numériques : accès aux données détenues, rectification, opposition à certains traitements, à l’image du débat récent sur l’exploitation des données de santé. La véritable question n’est plus de savoir si nos informations circulent, mais jusqu’où nous acceptons qu’elles échappent à notre contrôle.
