Fuite de données La Ville de Drancy : 2 026 personnes exposées

La Ville de Drancy, commune de Seine-Saint-Denis de près de 70 000 habitants, figure désormais sur la liste déjà longue des collectivités territoriales françaises frappées par un rançongiciel. L'attaque, dont les effets ont été constatés à partir du 3 juillet 2026, a conduit la municipalité à reconnaître le 22 juillet 2026 qu'une violation de données à caractère personnel concernant environ 2 026 personnes devait être considérée comme probable. Les informations exposées relèvent de la catégorie des données personnelles courantes, ce qui explique une gravité estimée comme faible à ce stade. Cette qualification ne dispense toutefois ni la collectivité de ses obligations au titre du RGPD, ni les personnes concernées d'une vigilance renforcée : un fichier d'administrés, même limité à des données d'identité et de contact, constitue une matière première idéale pour des campagnes d'hameçonnage ciblé et des tentatives d'usurpation d'identité dans les mois qui suivent.

Que s'est-il passé : La Ville de Drancy victime d'une violation de données

Le scénario est classique et documenté dans notre panorama du ransomware en France : un chiffrement des serveurs municipaux, une indisponibilité brutale de plusieurs services numériques, puis la découverte progressive de l'étendue réelle de la compromission. Dès les premiers jours de juillet 2026, les équipes techniques de la commune ont constaté l'inaccessibilité de systèmes internes, symptôme caractéristique du déclenchement d'une charge de chiffrement.

La municipalité, sous l'autorité de son maire Jean-Christophe Lagarde, a confirmé publiquement la nature de l'incident. Trois semaines plus tard, l'analyse forensique a permis d'établir qu'une exfiltration de données préalable au chiffrement ne pouvait être écartée. Cette séquence — vol des fichiers, puis chiffrement — correspond à la pratique de la double extorsion, devenue la norme chez les groupes criminels : la victime est menacée non seulement de perdre ses données, mais de les voir publiées.

Le vecteur d'entrée n'a pas été communiqué. Dans les compromissions de collectivités observées ces trois dernières années, trois portes reviennent inlassablement : un accès VPN ou RDP exposé sans authentification multifacteur, l'exploitation d'une vulnérabilité non corrigée sur un équipement de bordure, et le rebond via un prestataire ou un compte à privilèges dont les identifiants circulaient déjà sur des places de marché criminelles. Le volume concerné — 2 026 personnes — suggère un périmètre applicatif circonscrit plutôt qu'une compromission de l'ensemble du système d'information communal, ce qui explique la gravité qualifiée de faible. Restent en jeu, potentiellement, des données d'état civil, des coordonnées postales, téléphoniques et électroniques d'usagers des services municipaux.

Obligations légales RGPD pour La Ville de Drancy

Une commune est un responsable de traitement au sens de l'article 4 du RGPD. À ce titre, elle supporte exactement les mêmes obligations qu'une entreprise privée en cas de violation de données.

L'article 33 impose une notification à la CNIL dans un délai de 72 heures à compter de la prise de connaissance de la violation, sauf si celle-ci est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. En pratique, dès lors qu'une exfiltration est jugée probable, la notification s'impose : le doute joue en faveur de la déclaration. Lorsque l'ampleur exacte reste inconnue, une notification initiale suivie de compléments d'information est la voie recommandée.

L'article 34 ajoute une obligation d'information individuelle des personnes concernées lorsque le risque est élevé. Avec des données d'identité et de contact et une gravité estimée faible, cette obligation n'est pas mécaniquement déclenchée ; une communication publique reste néanmoins une bonne pratique de transparence, et devient obligatoire si des identifiants, des données bancaires ou des données sensibles étaient finalement identifiés dans le périmètre exfiltré.

L'article 33 §5 impose enfin de documenter toute violation dans un registre interne — faits, effets, mesures correctrices — y compris celles qui ne sont pas notifiées. Ce registre est le premier document que la CNIL réclame lors d'un contrôle.

Sur le plan des sanctions, le RGPD prévoit jusqu'à 2 % du chiffre d'affaires annuel mondial ou 10 millions d'euros pour un manquement aux obligations de sécurité et de notification, et jusqu'à 4 % ou 20 millions d'euros pour les violations des principes fondamentaux. Le critère du chiffre d'affaires étant inopérant pour une collectivité, ce sont les plafonds fixes qui s'appliquent, tempérés en droit français par un régime spécifique aux personnes publiques : la CNIL privilégie généralement la mise en demeure et le rappel à l'ordre, sans exclure l'amende en cas de négligence caractérisée.

Risques pour les personnes touchées et que faire

Même des données jugées peu sensibles ont une valeur opérationnelle pour un attaquant. Le premier risque est l'hameçonnage ciblé : un courriel ou un SMS mentionnant votre nom, votre adresse et une démarche municipale réelle contourne l'essentiel de votre méfiance. Viennent ensuite le credential stuffing, si une adresse électronique divulguée est réutilisée avec un mot de passe compromis ailleurs, et l'usurpation d'identité, lorsque des éléments d'état civil permettent d'ouvrir un compte ou de souscrire un service au nom de la victime.

Les réflexes à adopter sont simples et efficaces. Changez le mot de passe de toute boîte de messagerie ou de tout compte en ligne partageant l'adresse utilisée dans vos démarches communales, et n'utilisez jamais deux fois le même. Activez l'authentification à deux facteurs sur vos comptes de messagerie, bancaires et administratifs. Surveillez vos relevés bancaires et les courriers inhabituels pendant au moins six mois. Traitez avec suspicion tout message se réclamant de la mairie, du Trésor public ou d'un service social qui demanderait un paiement, un RIB ou une pièce d'identité. Enfin, si vous subissez un préjudice, vous pouvez déposer une plainte auprès de la CNIL et signaler les faits sur la plateforme Cybermalveillance.gouv.fr.

Enseignements pour les entreprises similaires

Les collectivités et les PME partagent le même profil de risque : un patrimoine de données conséquent, des budgets contraints et une surface d'attaque héritée. Cinq mesures produisent l'essentiel du gain de sécurité. Le chiffrement des données au repos réduit la valeur des fichiers exfiltrés et peut, dans certains cas, atténuer l'obligation d'information des personnes. L'authentification multifacteur généralisée — sur les VPN, les accès distants et l'ensemble des comptes à privilèges — neutralise la majorité des intrusions par identifiants volés. La segmentation réseau empêche qu'une compromission bureautique se propage aux serveurs métier et aux sauvegardes, qui doivent rester hors ligne ou immuables.

Les tests d'intrusion réguliers et un audit d'infrastructure annuel valident ces dispositifs face à un attaquant réel plutôt que sur le papier. Enfin, la directive NIS 2 élargit le périmètre des entités soumises à des obligations renforcées de gestion des risques et de notification d'incidents, et englobe désormais de nombreuses administrations publiques et leurs fournisseurs. Évaluer sa position au regard de ce texte via un diagnostic NIS 2 n'est plus un exercice théorique : les délais de notification y sont plus courts encore qu'en matière de RGPD.

Questions fréquentes

Que faire si vous êtes client de La Ville de Drancy ?

Si vous êtes administré de Drancy ou usager de ses services municipaux, considérez que vos coordonnées ont pu circuler. Modifiez le mot de passe de la boîte de messagerie associée à vos démarches, activez la double authentification et refusez toute sollicitation téléphonique ou électronique vous demandant des informations bancaires au nom de la mairie. Conservez les messages suspects : ils constituent des preuves utiles en cas de plainte.

La Ville de Drancy doit-elle notifier la CNIL ?

Oui. Dès lors qu'une exfiltration de données personnelles est jugée probable, la commune doit notifier la violation à la CNIL dans les 72 heures suivant sa prise de connaissance, conformément à l'article 33 du RGPD, et consigner l'incident dans son registre des violations. L'information individuelle des 2 026 personnes concernées relève de l'article 34 et dépend du niveau de risque finalement établi.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse électronique sur Have I Been Pwned, qui recense les fuites publiées. Surveillez également les communications officielles de la collectivité et consultez notre suivi des fuites de données en France. Vous pouvez enfin exercer votre droit d'accès auprès du délégué à la protection des données de la commune pour connaître les traitements vous concernant.