La ministre déléguée chargée du Numérique, Anne Le Hénanff, a saisi la justice, lundi 5 octobre, contre un service de recherche de personnes en ligne qui rassemble des données personnelles issues de fuites informatiques et en facture l’accès. Le signalement, effectué au titre de l’article 40 du code de procédure pénale auprès du procureur de Paris, ouvre une procédure : il ne préjuge ni de sa qualification ni de son issue. Derrière ce geste, la question de fond reste entière : tant que des organismes perdent des fichiers, le commerce des données volées a de quoi se nourrir.
Ce que l’État a fait
L’annonce est datée du lundi 5 octobre. Selon le cabinet de la ministre, le signalement adressé au procureur de Paris vise un service accessible au grand public qui permet d’effectuer des recherches nominatives et de retrouver, à partir d’un simple nom, une adresse, un numéro de téléphone, un numéro de sécurité sociale ou des coordonnées bancaires. Le même cabinet évoque « l’accès frauduleux à un système de traitement automatisé de données » et « l’extraction et la détention frauduleuse des données informatiques », les données exploitées provenant selon lui de « probables piratages de systèmes de traitement automatisé de données à caractère personnel, de sociétés commerciales ».
La ministre a accompagné l’annonce d’un message clair aux personnes concernées : ne jamais payer pour faire retirer ses informations. Le service visé propose en effet aux personnes fichées de supprimer leurs données moyennant paiement. « Aucune plateforme n’est au-dessus des lois », a-t-elle déclaré, ajoutant que ceux qui font commerce de ces données devront répondre de leurs actes.
Deux précautions de lecture s’imposent. Un signalement au titre de l’article 40 du code de procédure pénale oblige toute autorité publique ayant connaissance d’un crime ou d’un délit à en informer la justice : il ouvre une procédure, il ne tranche rien et ne constitue pas une mise en cause judiciaire. D’autre part, la ministre n’a pas nommé le service visé ; ce sont des médias qui l’ont fait, Le Figaro et l’Agence France-Presse le désignant sous le nom de BrixHub. Le site se présente pour sa part comme une plateforme de recherche en sources ouvertes.
Ce que vendent ces « lookups »
Dans le milieu de la cybersécurité, ces services sont appelés des « lookups » ou des « searchers ». Le principe est celui d’un moteur de recherche, appliqué à des données dérobées : leurs gestionnaires collectent ou achètent des bases issues de piratages d’entreprises, d’administrations, d’opérateurs télécoms ou d’associations, les recoupent et les rendent interrogeables en quelques secondes. Une recherche sur un nom peut renvoyer une date de naissance, une adresse postale, un numéro de téléphone, un numéro de sécurité sociale, un IBAN ou une plaque d’immatriculation.
Le modèle économique est celui d’un abonnement. Selon l’enquête de RTL, quelques recherches sont offertes pour attirer l’utilisateur, puis l’accès devient payant, de l’ordre d’une vingtaine d’euros par mois sur le service que la radio a pu consulter. Le site désigné par les médias revendique de son côté plus de 11 milliards d’enregistrements, « issus de fuites de données déjà rendues publiques, françaises et internationales », et, selon le Journal du Net, près de 140 000 utilisateurs et quelque 600 bases de données. Le même article cite, parmi les fuites revendiquées comme sources, Leroy Merlin, Bouygues Telecom, Decathlon, la Fédération française de basket-ball, Doctolib, Meetic et l’Agence nationale des titres sécurisés. Ces volumes sont des revendications commerciales, non des mesures vérifiées.
Une réponse déjà tentée, sans condamnation à ce jour
Le signalement du 5 octobre n’est pas le premier. En juin 2026, BFM-TV révélait que la ministre déléguée au numérique avait déjà saisi la justice contre un site permettant d’interroger des dizaines de bases volées ; le député Éric Bothorel annonçait dans la foulée avoir signalé à son tour trois services de ce type. Le Monde rapportait alors que le parquet de Paris avait ouvert plusieurs enquêtes dès avril 2026, et qu’un homme de 19 ans avait été mis en examen le 14 mai dans un dossier comparable, comme l’a révélé ZDNET.
À ce jour, aucune condamnation n’a été prononcée dans un dossier de « lookup », et d’autres enquêtes sont en cours, indiquait récemment le parquet de Paris à franceinfo. La lenteur n’est pas propre au sujet : ce sont des affaires d’identification d’auteurs souvent jeunes, opérant derrière des pseudonymes et des serveurs hébergés hors de France.
Ce que dit le droit, et ce qu’il ne dit pas
La défense de ces plateformes tient en un mot : « OSINT », la recherche en sources ouvertes, par laquelle elles se présentent comme des outils professionnels travaillant sur des données publiques. L’argument mérite examen. « Ce n’est pas parce qu’une donnée a été diffusée sur le dark web une fois qu’elle devient publique au sens du droit », avertit Aline Yvon, avocate spécialisée en droit du numérique, citée par franceinfo. Une donnée personnelle volée reste une donnée personnelle, et la consulter n’est pas anodin : la détention ou l’exploitation d’informations en connaissance de leur origine frauduleuse peut relever du recel, puni de cinq ans d’emprisonnement et de 375 000 euros d’amende, relève RTL.
Il manque, en revanche, une réponse judiciaire établie. Le signalement vise l’aval, le commerce des données ; il ne dit rien de l’amont, la sécurité des organismes qui les détiennent.
L’amont : la multiplication des fuites
Car c’est bien là que le robinet reste ouvert. La France a enchaîné les incidents : piratage de l’administration fiscale à l’été, touchant près de 678 000 usagers selon la direction générale des finances publiques ; fuite annoncée le 3 octobre par la région Hauts-de-France via deux prestataires, avec jusqu’à 782 583 lignes revendiquées pour environ 708 000 personnes ; exfiltration de données de 243 000 enseignants via l’application Compas au printemps ; dossier Cegedim Santé en février. Chaque base volée peut alimenter un moteur de recherche comme celui visé le 5 octobre.
La réponse collective se joue donc à deux niveaux. En aval, la poursuite de ceux qui font commerce du butin. En amont, la sécurité des organismes détenteurs, encadrée par le RGPD et par la directive européenne sur la cybersécurité, dite NIS 2, dont la transposition est en cours d’examen au Parlement français. Pour les personnes dont les données circulent, la conséquence la plus concrète reste l’hameçonnage : un interlocuteur qui connaît déjà vos informations n’est plus nécessairement digne de confiance.
À retenir
- La ministre déléguée chargée du Numérique a saisi la justice, lundi 5 octobre 2026, contre un service de « lookup » accessible au grand public, au titre de l’article 40 du code de procédure pénale.
- Le signalement est adressé au procureur de Paris ; il ouvre une procédure et ne préjuge ni de l’infraction retenue ni de son issue.
- Ces moteurs rassemblent des données personnelles issues de fuites, en facturent l’accès et proposent parfois de retirer les informations contre paiement.
- Le site désigné par les médias revendique plus de 11 milliards d’enregistrements et près de 140 000 utilisateurs ; ces chiffres proviennent de lui et ne sont pas vérifiés.
- Une première saisine avait eu lieu en juin 2026 ; aucune condamnation n’a été prononcée à ce jour dans un dossier de ce type, et d’autres enquêtes sont en cours.
- L’amont demeure la multiplication des fuites : fisc, région Hauts-de-France, application Compas, Cegedim Santé, pour les cas les plus récents.
À lire aussi
- Hauts-de-France : une fuite de données via deux prestataires de la Région, jusqu’à 700 000 personnes concernées
- Fuites de données de l’État : 99 cas recensés, l’ANSSI elle-même touchée
- NIS 2 : la France transposera enfin la directive cybersécurité, après deux ans de blocage
- Anonymat numérique et souveraineté : sortir du fichage total par une architecture décentralisée de l’identité
Question aux lecteurs
La ministre déléguée chargée du Numérique a saisi la justice, le 5 octobre 2026, contre un moteur de recherche qui revend des données personnelles issues de fuites. Que faudrait-il faire en priorité ?
Sondage sans valeur représentative : il reflète l’avis des lecteurs qui choisissent d’y répondre, et non celui de la population française.
Pour aller plus loin
- « Aucune plateforme n’est au-dessus des lois » : la ministre du Numérique saisit la justice (franceinfo, 5 octobre 2026)
- Données personnelles : la ministre du Numérique saisit la justice contre le moteur de recherche BrixHub (Le Figaro, 5 octobre 2026)
- Vos données personnelles accessibles en deux clics : le boom inquiétant des moteurs de recherche « lookups » (RTL)
- La justice française saisie contre plusieurs « lookups » (Le Monde, 15 juin 2026)
- Article 40 du code de procédure pénale (Légifrance)
- Violations de données personnelles : les règles à suivre (CNIL)
Méthode : le fait central, la saisine de la justice par la ministre déléguée chargée du Numérique contre un moteur de recherche qui revend des données personnelles issues de fuites, est établi par des origines réellement distinctes : la déclaration et le signalement de la ministre au titre de l’article 40 du code de procédure pénale, rapportés le 5 octobre 2026 par franceinfo (France Télévisions) avec l’AFP, par Le Figaro et par Ouest-France ; l’enquête propre de RTL sur la nébuleuse des « lookups », leur modèle économique et les analyses d’experts ; les revendications publiques du service lui-même, relevées par le Journal du Net et Ouest-France ; et les enquêtes déjà ouvertes au parquet de Paris, documentées par Le Monde le 15 juin 2026 et par l’enquête de franceinfo. Les reprises d’une même dépêche ou d’un même communiqué comptent pour une seule origine. Réserves principales : la saisine au titre de l’article 40 du code de procédure pénale ouvre une procédure sans préjuger de son issue, et aucune condamnation n’a été prononcée à ce jour dans un dossier de « lookup » ; la ministre n’a pas nommé le service visé, son identification résultant de médias ; le service se présente comme une plateforme de recherche en sources ouvertes et conteste par avance l’illicéité des données qu’il indexe ; les volumes revendiqués, plus de 11 milliards d’enregistrements et près de 140 000 utilisateurs, émanent du site et ne sont pas vérifiés ; les données de fuites citées comme sources sont, pour l’essentiel, des revendications et non des faits établis. Les liens ci-dessus renvoient aux pièces publiques de référence.
