Des fuites de données touchent régulièrement des services tiers - réseaux professionnels, forums, éditeurs SaaS - sans aucun lien avec votre propre système d'information. Si l'adresse professionnelle d'un collaborateur y figure avec un mot de passe encore réutilisé, la porte d'entrée est ouverte. SYAGA Leak-Express vérifie votre exposition à partir de sources publiques reconnues et vous accompagne dans la remédiation.
Une fuite chez un tiers peut devenir votre problème, sans que votre système d'information n'ait jamais été touché
Un service tiers utilisé par vos collaborateurs (réseau professionnel, outil SaaS, forum) peut être compromis sans que votre propre système d'information ne soit en cause. Les identifiants qui y étaient enregistrés se retrouvent alors en circulation publique.
Quand un mot de passe exposé ailleurs est réutilisé sur un compte professionnel (messagerie, VPN, accès distant), l'attaquant n'a plus qu'à l'essayer. C'est un des vecteurs de compromission les plus documentés.
Une adresse professionnelle exposée dans une fuite ancienne peut rester invisible pendant des années, jusqu'à servir de point d'entrée à une attaque par réutilisation d'identifiants ou à un hameçonnage ciblé.
Une vérification d'exposition ne consiste jamais à tester vos mots de passe réels sur vos services en ligne : elle confronte vos adresses à des bases de fuites déjà rendues publiques, sans jamais tenter de se connecter à votre place.
Une vérification menée par nos auditeurs, pas un scan automatique en libre-service
Vous nous communiquez les domaines et adresses professionnelles à vérifier (comptes clés, direction, DSI). Aucune autre donnée n'est nécessaire : jamais de mot de passe réel demandé.
Chaque adresse est confrontée à des bases de fuites de données déjà rendues publiques, via des services de référence reconnus comme Have I Been Pwned, complétée par une recherche OSINT manuelle sur les sources ouvertes pertinentes.
Pour chaque exposition identifiée : quel service tiers est à l'origine de la fuite, à quelle date, quel type de données est concerné (email seul, mot de passe, autres données), et le niveau de criticité pour votre organisation.
Recommandations concrètes et priorisées : rotation des identifiants concernés, activation du MFA, sensibilisation ciblée des collaborateurs exposés, et points à signaler à votre DPO si le contexte le justifie.
De nouvelles fuites sont rendues publiques en continu par des tiers extérieurs à votre organisation. Un réexamen périodique peut être mis en place sur devis, au rythme qui convient à votre organisation.
Un rapport qualifié, sourcé, et honnête sur ce qui reste à valider par votre DPO ou votre RSSI
La liste des adresses vérifiées et, pour chacune, les fuites publiques connues dans lesquelles elle apparaît le cas échéant.
Chaque résultat brut est analysé, pas simplement retranscrit.
Des actions concrètes, classées par urgence, pas une liste de bonnes intentions.
Le rapport aide à qualifier la situation, sans jamais trancher à votre place.
Chaque affirmation est sourcée, pas affirmée de mémoire.
Remis dans un format éditable, réutilisable par votre équipe.
Une méthode qui s'appuie sur les textes et des sources publiques reconnues, pas sur des interprétations maison
Notification d'une violation de données à caractère personnel à l'autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Communication de la violation aux personnes concernées lorsque celle-ci est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
Les mesures d'hygiène informatique de l'ANSSI (authentification, gestion des comptes, sensibilisation) structurent les recommandations de remédiation du rapport.
La vérification s'appuie sur des bases de fuites déjà rendues publiques, dont Have I Been Pwned, service de référence largement utilisé - jamais sur un accès non autorisé à vos comptes.
Le périmètre dépend du nombre d'adresses et de domaines à vérifier. Devis établi après un premier échange.
Un contrôle initial de votre exposition
Le contrôle complet avec plan d'action
Plusieurs vérifications dans le temps
Une exposition n'est jamais définitive
De nouvelles fuites de données sont rendues publiques en continu, par des tiers totalement extérieurs à votre organisation. Un contrôle réalisé aujourd'hui ne garantit rien pour demain : un réexamen périodique est proposé sur devis, au rythme qui vous convient.
Ce que dit la CNIL et le RGPD sur l'obligation de notification, sans jargon juridique
La CNIL est claire : "tous les organismes, publics, privés, quelle que soit leur taille, sont soumis à ces obligations dès lors qu'ils traitent des données personnelles". Il n'y a aucun seuil d'effectif ou de chiffre d'affaires dans le RGPD pour cette obligation, à la différence d'autres textes comme NIS2. Une TPE de 3 salariés qui gère un fichier clients est concernée exactement comme un grand groupe.
Si vous décidez de la finalité d'un fichier (paie, clients, RH), vous êtes "responsable de traitement" et c'est vous qui notifiez la CNIL. Si vous traitez des données pour le compte d'un client (hébergeur, éditeur SaaS, prestataire), vous êtes "sous-traitant" : votre devoir est d'alerter ce client dès que vous détectez l'incident, sans délai chiffré imposé à cette étape mais "dans les meilleurs délais".
Le RGPD vise aussi une entreprise établie hors de l'Union européenne dès qu'elle propose des biens ou services à des personnes situées dans l'UE, ou qu'elle suit leur comportement en ligne. Un site marchand basé hors UE mais qui vend à des clients européens entre dans le champ d'application du texte.
Un incident de sécurité ne déclenche pas automatiquement une notification. Le critère légal est le niveau de risque pour les personnes concernées : "risque" pour devoir notifier la CNIL (article 33), "risque élevé" (seuil plus haut) pour devoir prévenir directement les personnes concernées (article 34). C'est une appréciation au cas par cas, pas un chiffre automatique.
Des exemples concrets, cités par la CNIL elle-même
Un établissement de santé qui supprime accidentellement des données médicales non sauvegardées, une entreprise qui perd une clé USB contenant sa base clients, une école dont les résultats d'élèves sont modifiés après une intrusion : la CNIL rappelle que la violation de données n'est ni réservée aux grandes entreprises, ni réservée aux attaques informatiques spectaculaires. Une simple perte de support physique en fait déjà partie.
Sources officielles consultées le 18/07/2026 : CNIL - Notifier une violation de données personnelles • CNIL - Les violations de données personnelles • Règlement (UE) 2016/679 (RGPD), articles 3, 4, 33 et 34
La marche à suivre en cas de violation de données, en distinguant ce qui est une obligation légale et ce qui est une bonne pratique recommandée
Si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, le responsable de traitement doit notifier la CNIL "sans retard indu et, si possible, 72 heures au plus tard" après en avoir pris connaissance. Si toutes les informations ne sont pas encore disponibles, elles peuvent être transmises en plusieurs fois.
Hébergeur, éditeur SaaS, prestataire qui traite des données pour le compte d'un client : dès que vous avez connaissance d'une violation, vous devez en avertir le responsable de traitement sans retard indu. C'est ensuite à lui de décider s'il notifie la CNIL.
Si le risque pour les personnes est élevé (seuil plus haut que pour la CNIL), elles doivent être informées directement, sans retard indu, en langage clair, avec la nature de la violation et les mesures prises. Exception : pas d'obligation si des mesures de protection comme le chiffrement rendaient déjà les données inexploitables, si le risque a depuis été supprimé, ou si cela représente un effort disproportionné (une communication publique équivalente est alors requise à la place).
Le RGPD impose de conserver une trace interne de toute violation : les faits, ses effets et les mesures prises pour y remédier, que la CNIL ait été notifiée ou non. Ce registre peut être demandé lors d'un contrôle.
Bonne pratique (recommandée, pas une obligation légale chiffrée)
Le RGPD n'impose pas de méthode ni d'outil précis pour réagir à une violation : avoir un plan de réponse à incident prêt à l'avance, une liste de contacts et une procédure de vérification de son exposition sont des bonnes pratiques qui permettent de tenir le délai de 72 heures le jour où un incident survient, mais ce ne sont pas des obligations décrites comme telles dans le texte de loi.
En cas de manquement
Le RGPD prévoit une amende pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. Les autorités doivent veiller à ce que la sanction reste "effective, proportionnée et dissuasive", en tenant compte de la gravité et du caractère intentionnel ou non du manquement : ce plafond est le maximum prévu par le texte, pas un montant automatique.
Sources officielles consultées le 18/07/2026 : Commission européenne - Obligations en cas de violation de données • Commission européenne - Sanctions RGPD • Règlement (UE) 2016/679 (RGPD), articles 33 et 34
Les questions qu'un dirigeant se pose en cas de fuite de données, avec le texte officiel à l'appui, pas une interprétation maison
Indiquez-nous le périmètre (domaines, adresses clés), nous revenons vers vous avec un devis personnalisé.
Gratuit: votre score + vos écarts. Le rapport détaillé et l'attestation : 499 € HT, seulement si vous le décidez.
contact@syaga.eu Revoir la méthode