DROIT DES DONNÉES · ANALYSE HEBDOMADAIRE

ANALYSE · DROIT EUROPÉEN DES DONNÉES

Europol, Eurojust, DGFiP :

la gouvernance des grandes bases de données à l’épreuve de la responsabilité

Actualité du droit des données · 14–21 août 2026 Cet article a été relu et illustré par l'IA

Me Julien Le Clainche · Avocat au barreau de Montpellier · Docteur en droit

Résumé

L’actualité de la semaine paraît dissocier deux objets : la refonte des règles applicables aux données opérationnelles d’Europol et d’Eurojust, d’une part, et la violation de données affectant la Direction générale des Finances publiques, d’autre part. Un même problème les relie pourtant : à mesure que les bases s’étendent, que les acteurs se multiplient et que les usages analytiques se renforcent, la conformité dépend moins d’une déclaration générale de finalité que de la capacité à identifier qui décide, sur quelles données, pendant combien de temps et sous quel contrôle. Les avis 17 à 19/2026 du Contrôleur européen de la protection des données donnent à cette exigence une portée institutionnelle ; l’incident DGFiP en révèle l’urgence opérationnelle. Mis en perspective avec les compromissions récemment reconnues par France Titres, le ministère de l’Éducation nationale et la Fédération française de tir, il montre surtout que le risque réside désormais dans la concentration et la recomposition de données issues de fichiers distincts.

Mots-clés : données opérationnelles, Europol, Eurojust, EDPS, CNIL, DGFiP, ANTS, Éducation nationale, FFTir, sécurité, responsabilité, minimisation, traçabilité.

Thèse. Dans les traitements à grande échelle, l’accountability n’est pas une surcouche documentaire : elle doit être inscrite dans l’architecture des accès, la qualification des personnes, les durées de conservation et l’allocation des responsabilités.

DROIT DES DONNÉES · ANALYSE HEBDOMADAIRE

Introduction — Une semaine sans nouvelle jurisprudence, mais non sans déplacement du droit

Entre le 14 et le 21 août 2026, ni la Cour de justice de l’Union européenne ni le Comité européen de la protection des données (EDPB) n’ont publié de décision ou d’orientation majeure appelant un commentaire autonome. L’essentiel se situe ailleurs : dans trois avis rendus par le Contrôleur européen de la protection des données (EDPS) sur le paquet législatif consacré aux agences européennes de police et de justice, puis dans la communication de la CNIL relative au piratage du système d’information fiscal. Cette précision terminologique n’est pas anodine. L’EDPB organise la cohérence entre autorités nationales ; l’EDPS conseille le législateur européen et contrôle les institutions et agences de l’Union. Les avis étudiés ici relèvent de cette seconde fonction.

Les trois avis du 11 août ne modifient pas, par eux-mêmes, le droit positif. Ils portent sur des propositions de règlements présentées en juin 2026 et encore soumises à la procédure législative ordinaire. Leur intérêt doctrinal est néanmoins immédiat : ils désignent les garanties qui seront discutées lors de la refonte d’un ensemble normatif où se croisent coopération policière, coopération judiciaire, biométrie, échanges avec le secteur privé et transferts internationaux. La question n’est donc pas seulement de savoir si davantage de données peuvent être exploitées, mais à quelles conditions leur agrégation demeure compatible avec les articles 7 et 8 de la Charte.

I. Le paquet européen sur les données opérationnelles : une harmonisation qui dépasse la simple technique législative

A. Le règlement 2018/1725 comme futur socle commun

La proposition COM(2026) 314 entend réduire la fragmentation du régime applicable aux « données opérationnelles », c’est-à-dire aux données traitées dans le cadre de la coopération policière et judiciaire en matière pénale. Elle étendrait le chapitre IX du règlement (UE) 2018/1725, notamment au Parquet européen, et regrouperait dans ce texte des règles aujourd’hui dispersées entre les actes fondateurs des agences. Le projet couvre ainsi les missions du délégué à la protection des données, les registres de traitements, la journalisation, la coopération entre autorités de contrôle, les transferts internationaux et les pouvoirs du superviseur européen. [1]

Cette présentation comme opération de cohérence ne doit pas masquer plusieurs choix substantiels. Le projet prévoit notamment l’extension du pouvoir d’amende de l’EDPS aux traitements opérationnels, la possibilité de certaines décisions exclusivement automatisées sous conditions, ainsi qu’une nouvelle définition des demandes d’accès abusives. Il propose aussi, pour les violations de données opérationnelles, de porter le délai de notification de soixante-douze à quatre-vingt-seize heures et de ne déclencher cette notification qu’en présence d’un risque élevé. Autrement dit, l’harmonisation recherchée peut à la fois renforcer la lisibilité du contrôle et déplacer le niveau de certaines garanties.

Dans son avis 17/2026, l’EDPS approuve l’objectif d’un cadre plus cohérent, mais exige que la simplification ne réduise pas l’effectivité de la supervision. Ses recommandations portent notamment sur la clarté des injonctions contraignantes, la possibilité de mesures provisoires en urgence, la coopération avec les autorités nationales et le traitement des accords anciens avec des pays tiers. Le point est essentiel : un régime matériel ambitieux devient fragile si l’autorité indépendante ne peut pas interrompre rapidement un traitement ou déterminer sans ambiguïté l’autorité compétente. [2]

B. Trois procédures en cours, aucun droit acquis

Lecture : les dates ci-dessus permettent de distinguer l’actualité des avis, publiée cette semaine, de celle des propositions législatives auxquelles ils se rapportent.

Pour le praticien, cette distinction commande la rédaction. Une consultation, un billet ou une clause contractuelle ne devrait pas annoncer une nouvelle obligation issue de ces projets. Il est plus exact de parler de trajectoire normative et d’anticiper les points qui pourraient imposer une adaptation : gouvernance des accès, qualification des catégories de personnes, transferts, journalisation, décisions automatisées et procédure de violation.

II. Europol : l’élargissement analytique rencontre la limite de l’indifférenciation

A. L’enjeu des personnes sans lien établi avec une infraction

La proposition COM(2026) 580 refondrait le règlement Europol et remplacerait le règlement (UE) 2016/794. Elle vise une agence mieux équipée pour recevoir, croiser et analyser des volumes importants d’informations provenant des États membres, d’autres acteurs publics et, dans certaines hypothèses, de parties privées. La procédure 2026/0165(COD), engagée le 25 juin, est toujours en cours : l’extension projetée des capacités d’Europol n’est donc pas encore acquise. [3]

L’avis 18/2026 place au centre du débat les données relatives à des personnes pour lesquelles aucun lien avec une infraction n’est encore établi. Le risque juridique naît du passage d’un traitement ciblé à une logique de découverte : de grands ensembles sont ingérés afin d’identifier ensuite des corrélations ou des personnes d’intérêt. Dans ce schéma, la catégorisation n’est plus seulement la conséquence de l’enquête ; elle peut devenir le produit de l’analyse. C’est précisément pourquoi l’EDPS demande des critères stricts de nécessité et de proportionnalité, des limites temporelles pour les données non encore catégorisées et une qualification plus robuste des personnes concernées. [4]

Le raisonnement dépasse Europol. Toute plateforme d’analyse susceptible de contenir indistinctement des victimes, témoins, contacts, suspects, professionnels ou simples tiers doit éviter qu’une même profondeur d’accès et une même durée de conservation s’appliquent à tous. La segmentation des droits, la traçabilité de l’origine et la réévaluation périodique de la pertinence deviennent des garanties de fond. Une base techniquement sécurisée peut rester juridiquement disproportionnée si son modèle d’admission et de conservation est indifférencié.

B. Biométrie et données du secteur privé : la nécessité doit être démontrée par opération

L’EDPS réclame également une appréciation au cas par cas pour les recherches biométriques. Cette exigence s’explique par la fonction particulière des gabarits biométriques : ils ne servent pas seulement à décrire une personne, mais à la singulariser ou à la retrouver dans une population. La légalité ne peut donc résulter de la seule disponibilité technique de la fonctionnalité. Il faut pouvoir rattacher chaque usage à une finalité précise, documenter l’absence de moyen moins intrusif et limiter le périmètre de comparaison.

La même vigilance vaut pour les informations remises par des acteurs privés. Leur transmission peut multiplier les écarts de contexte : une donnée collectée dans une relation commerciale ou pour la sécurité d’un service change de fonction lorsqu’elle alimente une analyse policière. La base légale du transfert, la qualité de la donnée, la connaissance de sa provenance et les restrictions de réutilisation doivent être vérifiables. À défaut, l’agence risque d’hériter non seulement de données massives, mais aussi des biais, erreurs et incertitudes de leurs systèmes d’origine.

III. Eurojust : la responsabilité ne peut demeurer diffuse entre l’Union et les États membres

A. Une infrastructure distribuée exige une attribution exhaustive des rôles

La proposition COM(2026) 570 tend à remplacer le règlement (UE) 2018/1727 et à moderniser le fonctionnement d’Eurojust. La structure même de l’agence rend la question de la responsabilité délicate : des membres nationaux, autorités judiciaires des États, équipes communes d’enquête et services de l’agence contribuent à une même chaîne informationnelle, sans toujours exercer le même pouvoir sur la collecte, l’enrichissement ou la communication des données. [5]

Dans son avis 19/2026, l’EDPS soutient la rationalisation du cadre mais demande une définition exhaustive des rôles et responsabilités respectifs d’Eurojust et des États membres. La formule renvoie à une difficulté bien connue du contentieux de la responsabilité conjointe : la coopération fonctionnelle ne suffit pas à dire qui répond d’un exercice de droit, d’une erreur de qualification, d’une conservation excessive ou d’une violation. L’acte final devra rattacher chaque obligation à un centre de décision identifiable, sans laisser à la personne concernée la charge de reconstituer l’architecture institutionnelle. [6]

B. Une leçon transposable à la gouvernance des traitements complexes

Le vocabulaire du responsable de traitement ne doit pas être utilisé mécaniquement hors de son contexte normatif, mais la méthode conserve une portée générale. Dans un écosystème distribué, la documentation utile ne consiste pas seulement à nommer les parties ; elle doit attribuer les décisions. Qui détermine les critères d’admission ? Qui autorise un nouveau rapprochement ? Qui fixe la durée ? Qui corrige une donnée contestée ? Qui notifie l’incident et communique avec les personnes ? Une matrice répondant à ces questions est souvent plus probante qu’une clause générale affirmant que chacun respectera la réglementation applicable.

Cette granularité protège aussi les institutions. Elle évite les doubles actions contradictoires, les angles morts et les réponses tardives. Surtout, elle permet à l’autorité de contrôle d’identifier le niveau où une mesure corrective doit être appliquée : l’agence, l’autorité contributrice, le fournisseur d’un composant analytique ou plusieurs acteurs selon une répartition préétablie.

IV. DGFiP : une violation de données qui rappelle la différence entre incident et manquement

A. Des données sans mot de passe peuvent néanmoins produire un risque élevé

Le 18 août, la CNIL a indiqué avoir reçu plusieurs notifications relatives au piratage du système d’information de la DGFiP. Selon les éléments communiqués, un tiers aurait pu consulter et extraire des informations fiscales — revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale — ainsi que des données cadastrales portant sur les adresses et surfaces de biens immobiliers. Les identifiants et mots de passe ne seraient pas concernés. Le ministère a annoncé l’information individuelle des personnes affectées. [7]

L’absence alléguée de mots de passe ne permet pas de minorer automatiquement le risque. Des informations fiscales et patrimoniales exactes peuvent crédibiliser un hameçonnage, faciliter l’ingénierie sociale ou alimenter une tentative d’usurpation. L’appréciation prévue par les articles 33 et 34 du RGPD doit tenir compte de la nature, du volume, du degré d’identifiabilité, des combinaisons possibles et des conséquences raisonnablement prévisibles — et non du seul type de secret technique compromis. [8]

B. L’enquête devra porter sur l’adéquation des mesures, non sur l’impossibilité absolue de l’attaque

La CNIL précise qu’elle peut procéder à des investigations sur pièces ou sur place afin de vérifier si les mesures de sécurité correspondaient à l’état de l’art. Cette formulation rappelle la nature de l’article 32 : le responsable n’est pas tenu de garantir qu’aucune attaque ne réussira jamais, mais de mettre en œuvre des mesures appropriées au risque, compte tenu notamment de l’état des connaissances, des coûts, de la nature des données et de la gravité potentielle pour les personnes. La survenance de l’incident déclenche donc le contrôle ; elle ne démontre pas, à elle seule, le manquement.

L’examen devrait en pratique s’intéresser à la robustesse des authentifications, au cloisonnement, à la détection des comportements anormaux, à la journalisation, à la réduction des privilèges, à la durée de présence des données accessibles et à la rapidité de la réponse. La qualité de l’information adressée aux personnes sera également déterminante : elle doit permettre de comprendre les conséquences probables et d’adopter des mesures concrètes, sans se limiter à l’annonce abstraite d’un incident.

C. Pour les personnes concernées, privilégier la preuve individualisée

La CNIL estime qu’une plainte individuelle n’est pas nécessaire à ce stade, puisqu’elle est déjà saisie, sauf élément spécifique utile à ses investigations. Cette invitation doit être comprise comme une règle d’efficacité procédurale, non comme une privation du droit de plainte. Une personne qui reçoit un message d’information devrait le conserver, documenter les tentatives de fraude, garder les échanges avec l’administration et signaler tout élément qui dépasse le périmètre déjà connu.

Dans une perspective indemnitaire, l’article 82 du RGPD ne dispense pas d’établir un dommage et un lien de causalité avec le manquement invoqué. Le dossier utile ne sera donc pas constitué par la seule preuve d’avoir figuré dans la base, mais par des éléments circonstanciés : dépenses de sécurisation, temps significatif consacré aux démarches, fraude subie, atteinte réputationnelle, conséquences professionnelles ou anxiété objectivée selon les circonstances. L’action juridique gagne ici à être différée jusqu’à ce que la matérialité du préjudice et les conclusions du contrôle puissent être articulées.

V. ANTS, Éducation nationale, FFTir : la DGFiP s’inscrit dans une séquence française

A. Des incidents distincts, mais une même concentration du risque

La violation affectant la DGFiP ne peut plus être analysée comme un événement isolé. Depuis l’automne 2025, plusieurs organismes publics ou investis d’une mission structurante ont reconnu des accès non autorisés à des bases dont la valeur tient autant à leur volume qu’au contexte précis des personnes. Il ne s’agit pas d’une fuite unique qui se propagerait d’administration en administration : les responsables de traitement, systèmes, techniques d’attaque et catégories de données diffèrent. La répétition autorise néanmoins une lecture systémique des choix d’architecture, d’authentification, de conservation et de réaction.

Précaution de méthode : le tableau retient uniquement les périmètres reconnus par les organismes concernés ; il ne reprend ni les volumes revendiqués par des attaquants ni les données dont l’authenticité demeure discutée.

Cette réserve est particulièrement importante pour l’Éducation nationale. Le ministère a officiellement reconnu trois incidents en 2026 : l’exfiltration de données d’environ 243 000 agents depuis COMPAS, une fuite concernant des élèves depuis un service annexe à ÉduConnect, puis l’intrusion du 25 juillet dans un système consacré à la formation des personnels. Le 18 août, une source de presse a rapporté une revendication beaucoup plus large portant sur des données d’élèves issues de SIECLE. Au 21 août, ce périmètre n’avait pas fait l’objet d’une confirmation officielle complète ; il doit donc être présenté comme une allégation en cours d’investigation, non comme un fait définitivement établi. [15]

B. Le risque majeur tient à la recomposition des fichiers

Prises séparément, certaines données paraissent banales : nom, courriel, adresse, téléphone, établissement fréquenté ou qualité professionnelle. Leur rapprochement change leur portée. Une adresse issue de France Titres peut être crédibilisée par une donnée fiscale ; une identité et une fonction issues d’un fichier ministériel peuvent nourrir un message ciblé ; une appartenance à la Fédération française de tir peut être exploitée pour simuler l’intervention d’un policier ou d’un gendarme. Il n’est pas établi que les jeux de données ici recensés aient effectivement été croisés. Mais leur circulation possible crée un risque de « mosaïque » que l’analyse d’impact et la réponse à incident doivent raisonnablement anticiper.

Cette recomposition explique pourquoi l’absence de mots de passe, de coordonnées bancaires ou de données biométriques n’épuise jamais l’analyse du risque. La question n’est pas seulement de savoir si la donnée compromise permet un accès technique direct. Il faut apprécier si elle rend une fraude vraisemblable, si elle révèle les habitudes ou la situation patrimoniale d’une personne, si elle facilite une usurpation d’autorité ou si elle permet de sélectionner une cible. L’article 34 du RGPD impose précisément une appréciation des conséquences probables, et non un classement abstrait des données par catégories.

C. L’authentification compromise et la profondeur historique deviennent des facteurs structurels

Les communiqués de l’Éducation nationale attribuent plusieurs accès frauduleux à l’usurpation d’un compte habilité, externe ou professionnel. Ce constat invite à dépasser une lecture centrée sur la seule complexité du mot de passe : l’authentification multifacteur, la limitation des privilèges, la détection d’extractions anormales, le cloisonnement des applications et la réévaluation des comptes restent déterminants. Un compte légitime devenu hostile contourne en effet les protections qui ne surveillent que l’entrée dans le système.

Le périmètre temporel annoncé le 31 juillet — les agents ayant exercé en académie depuis 2001 — soulève parallèlement la question de la conservation. Une profondeur historique peut répondre à une finalité administrative ; elle accroît aussi mécaniquement la surface d’impact d’une intrusion. Le principe de limitation de la conservation doit dès lors se traduire par des purges effectives, des archives séparées et des accès plus restrictifs, et non par une durée inscrite dans un registre sans traduction technique.

D. La sécurité des personnes peut devenir physique

L’incident de la Fédération française de tir montre enfin que le dommage potentiel ne se réduit pas à l’hameçonnage. La Fédération précise ne détenir aucune donnée relative à la détention d’armes et exclut cette catégorie du périmètre compromis. Il serait donc inexact d’assimiler la liste des licenciés à un fichier de propriétaires d’armes. Elle a néanmoins jugé nécessaire d’alerter ses membres contre de faux policiers, gendarmes ou douaniers susceptibles de prétendre venir récupérer des armes. L’association d’une pratique, d’une identité et d’une adresse postale suffit ainsi à créer un scénario de sécurité physique qui doit entrer dans l’analyse des risques.

La CNIL tirait déjà de son bilan 2025 trois enseignements : aucun secteur n’est épargné, les violations deviennent plus massives et les prestataires interviennent souvent dans la chaîne de compromission. Elle a annoncé consacrer en 2026 la moitié de ses contrôles et actions répressives à la cybersécurité. La série ANTS–Éducation nationale–FFtir–DGFiP donne à cette priorité un contenu concret : les grandes bases doivent être pensées comme des infrastructures à haut risque, y compris lorsqu’elles ne contiennent aucune donnée relevant de l’article 9 du RGPD. [14]

VI. Le fil commun : transformer l’accountability en architecture probatoire

Les avis européens et l’incident fiscal éclairent deux moments d’un même cycle. En amont, le législateur décide quelles données peuvent être intégrées, croisées, conservées et transférées ; en aval, l’autorité de contrôle examine si les garanties prévues ont effectivement limité l’exposition. Dans les deux cas, la conformité se mesure à la possibilité de reconstituer les décisions. Une finalité trop large, une responsabilité diffuse ou une journalisation lacunaire empêchent cette démonstration.

Pour l’avocat, le DPO ou le responsable de la sécurité, la leçon opérationnelle peut être ramenée à cinq questions. Elles valent pour une agence publique, une plateforme mutualisée ou un sous-traitant qui opère un lac de données :

DROIT DES DONNÉES · ANALYSE HEBDOMADAIRE

Point de méthode : chaque réponse devrait être reliée à une pièce datée, à un propriétaire et à un mécanisme technique contrôlable.

Cette approche évite de réduire l’accountability à l’accumulation de politiques internes. La preuve de conformité doit suivre la structure réelle du traitement : décision d’admettre une catégorie de données, motif d’un accès, règle de rapprochement, échéance de purge, qualification d’un incident et contenu de l’information. Plus l’infrastructure est partagée, plus ces objets doivent être explicitement attribués.

Conclusion — La puissance d’analyse suppose une responsabilité plus précise, non plus abstraite

L’actualité du 14 au 21 août 2026 ne consacre pas encore de nouvelle règle européenne directement applicable. Elle révèle toutefois la ligne de fracture du prochain cycle législatif : l’Union souhaite renforcer l’interopérabilité et les capacités analytiques de ses agences, tandis que son superviseur rappelle que l’efficacité ne justifie ni les stocks indifférenciés, ni la biométrie par défaut, ni les responsabilités introuvables.

La violation affectant la DGFiP et la séquence française qui la précède donnent à ce débat une traduction concrète. Lorsqu’une base concentre des informations fiscales, patrimoniales, scolaires, professionnelles ou opérationnelles, la question décisive n’est pas seulement de savoir si elle a été protégée, mais si l’organisme peut démontrer pourquoi chaque donnée s’y trouvait, qui pouvait y accéder, pendant combien de temps et avec quelle capacité de réaction. En ce sens, la sécurité, la minimisation et la gouvernance ne sont plus trois chapitres séparés du RGPD : elles composent une même obligation de maîtrise.

Sources et références

1. Commission européenne, COM(2026) 314 final — modification du règlement (UE) 2018/1725

2. EDPS, avis 17/2026 du 11 août 2026 — règlement 2018/1725

3. Commission européenne, COM(2026) 580 final — refonte du règlement Europol

4. EDPS, avis 18/2026 du 11 août 2026 — Europol

5. Commission européenne, COM(2026) 570 final — refonte du règlement Eurojust

6. EDPS, avis 19/2026 du 11 août 2026 — Eurojust

7. CNIL, « Piratage du système d’information des impôts : les vérifications sont en cours », 18 août 2026

8. Règlement (UE) 2016/679 — RGPD, notamment articles 32 à 34 et 82

9. Ministère de l’Intérieur, point d’étape du 21 avril 2026 sur l’incident ants.gouv.fr

10. Ministère de l’Éducation nationale, incident COMPAS concernant environ 243 000 agents, 24 mars 2026

11. Ministère de l’Éducation nationale, incident affectant certains élèves et ÉduConnect, 14 avril 2026

12. Ministère de l’Éducation nationale, incident affectant des personnels depuis 2001, 31 juillet 2026

13. Fédération française de tir, communication relative à l’incident ITAC, 23 octobre 2025

14. CNIL, rapport annuel 2025 et priorité donnée à la cybersécurité en 2026

15. Le Monde, revendication concernant des données scolaires, 18 août 2026 — source secondaire, périmètre non confirmé

État des textes et sources vérifié au 21 août 2026. Les propositions législatives commentées demeurent susceptibles d’amendement.