Quelques semaines après l'affaire Free, c'est au tour de SFR de reconnaître une intrusion touchant les données de ses abonnés. Coordonnées personnelles, informations de contrat, parfois des données bancaires partielles : le mode opératoire ressemble à s'y méprendre aux précédents déjà observés dans le secteur des télécoms français, un secteur qui concentre à lui seul une part disproportionnée des grandes fuites de ces dernières années.
Ce qui frappe, au-delà de la répétition des scénarios, c'est la manière dont les abonnés réagissent différemment selon leur profil. Les plus jeunes, habitués à gérer de multiples comptes en ligne, ont tendance à minimiser l'incident et à se contenter d'un changement de mot de passe. Les abonnés plus âgés, souvent moins familiers avec les usages numériques, expriment davantage d'inquiétude mais se sentent démunis face à la marche à suivre : qui contacter, quels documents rassembler, quel délai respecter.
Entre ces deux réactions, il existe un espace que peu d'acteurs occupent réellement : celui de l'accompagnement concret, pragmatique, qui ne se contente pas de renvoyer vers un formulaire de contact générique.
Pour un abonné SFR concerné, la première question n'est pas juridique, elle est pratique : mes données sont-elles vraiment concernées, et si oui, que dois-je faire maintenant ?
Le cas SFR illustre aussi une réalité peu commentée : les entreprises victimes d'une intrusion se retrouvent elles-mêmes prises entre deux obligations difficilement conciliables. D'un côté, la nécessité de communiquer rapidement pour respecter leurs obligations envers les autorités. De l'autre, la tentation de minimiser la portée de l'incident pour préserver la confiance de leur clientèle. Cette tension explique en partie pourquoi les communications envoyées aux abonnés restent souvent évasives sur l'ampleur réelle des données exposées.
Pour les personnes concernées, documenter précisément ce qui a été exposé, et à quel moment, devient donc une démarche presque personnelle : à défaut d'une communication exhaustive de la part de l'opérateur, mieux vaut constituer soi-même un dossier solide, daté et complet.
L'Observatoire européen des droits numériques (OEDN) propose une analyse détaillée des obligations pesant sur les opérateurs en cas de violation de données personnelles.