La direction prévient les élu·es du personnel... mais n’informe pas les personnels.
Fuite de données : ce que la Direction a dit le 30 juillet au CSE Île-de-France.
Notre RIB. Nos arrêts de travail. Nos adresses professionnelle et personnelle. Toutes ces informations, détenues par FilDirect, ont pu fuiter.
Ce qui est sorti (liste non exhaustive (cité par la Direction en séance)
- Nom et prénom
- Coordonnées personnelles et professionnelles
- Coordonnées bancaires (RIB)
- Pièces médicales (arrêts de travail, aménagements de poste, numéro de sécurité sociale)
Des dates
- 26 juin 2024 - Fin de FilDirect, l’outil par lequel passaient nos demandes RH avant C’Zam, notamment en IDF.
- 24 juin 2026 - Un groupe revendique une intrusion chez Akaolife, éditeur de solutions RH dont FilDirect.
- 30 juillet 2026 - La Direction informe les élu·es. Elle dit au CSE IDF avoir prévenu la CNIL.
- Aujourd'hui, 7 août 2026 - Aucun·e agent·e n’a été informé·e par l’employeur de cette fuite de données.
Prévenir les élu·es, ce n’est pas prévenir les personnels.
Quand une fuite fait courir un risque élevé aux personnes, le règlement européen sur les données personnelles (RGPD) impose à l’employeur de prévenir chacune d’elles, directement, dans les meilleurs délais, et de lui dire comment agir. Pas uniquement les représentant·es du personnel, mais les personnels directement. L’été n’y change rien.
CE QUE VOUS POUVEZ FAIRE DÈS MAINTENANT
Cinq réflexes utiles
- Demandez ce qui vous concerne. Le RGPD vous ouvre un droit d’accès personnel et gratuit, avec réponse due sous un mois. Seul l’employeur peut vous dire ce qui, dans votre dossier, est parti. Un modèle de lettre type est joint ici : personnalisez-le impérativement, une demande standardisée peut être déclarée irrecevable.
- Regardez vos relevés. Un RIB ne permet pas de vider un compte : il permet d’essayer de vous prélever. Si vous ne reconnaissez pas un prélèvement, contestez le par écrit auprès de votre banque, qui doit vous rembourser dès le lendemain ouvré.
- On risque de vous appeler. Faux conseiller bancaire, fausse Assurance maladie, faux service RH. En face, quelqu’un probablement outillé de l’IA connaît votre nom, votre employeur, votre banque. Raccrochez, ne cliquez sur aucun lien ou document envoyé, rappelez le numéro officiel de la structure qui vous appelle. Ne communiquez jamais de code.
- Et l’arnaque d’après. La CNIL alerte sur de faux organismes qui proposent de faire supprimer vos données, comme la fausse « Ligue de défense des données personnelles ». Ils écrivent avec vos vraies données. Ne leur adressez aucune réponse ni aucun justificatif.
- Portez plainte à la CNIL. En ligne, gratuit, cinq minutes, sur cnil.fr. Notez tout au passage : dates, captures d’écran, courriers reçus et envoyés. Une plainte, c’est une trace. Cent plaintes, c’est un dossier.
CE QUE NOUS EXIGEONS
Un message dédié à chaque personne concernée, absent·es et ancien·nes collègues compris et une alerte à tout le personnel.
La mise à l’ordre du jour du CSEC du 26 août, un point complet sur la situation et qu’il en soit fait de même auprès de tous les CSE (avec notamment un CSE extraordinaire sur le sujet en Île-de-France, première région concernée).
Une réponse à une question simple : pourquoi ces pièces sensibles étaient-elles encore accessibles chez un prestataire, deux ans après l’arrêt de FilDirect ?
Rappels : montant des sanctions prises par la CNIL à l’encontre de France Travail et de Free
- 5 millions d’euros à France Travail, janvier 2026 : données des demandeurs d’emploi non protégées
- 5 millions d’euros à Free et Free Mobile, le même mois : personnes touchées mal informées
Six mois plus tard, c’est au tour de nos données RH d’être pillées !
Faites suivre, les collègues concerné·es n’ont à ce jour rien reçu : ancien-nes CDD, en retraites, en arrêt, en disponibilité...
