Fuite de données Planity : un nombre non communiqué de personnes exposées

Le 28 juillet 2026, la plateforme de réservation beauté et bien-être Planity a été visée par une cyberattaque revendiquée sur des forums criminels. Les données évoquées comprennent des adresses e-mail, des noms et prénoms, des numéros de téléphone et des identifiants associés aux établissements partenaires. L'entreprise indique que l'incident concerne un environnement de test et non la production, ce qui explique une gravité estimée faible à ce stade ; le nombre de personnes réellement concernées n'a pas été communiqué. Même limitée, une telle exposition relève du Règlement général sur la protection des données : elle ouvre des risques concrets d'hameçonnage ciblé, de démarchage frauduleux et d'usurpation d'identité pour les clients comme pour les salons partenaires, et déclenche des obligations précises de notification et de documentation. Décryptage des faits, du cadre juridique applicable et des réflexes à adopter.

Que s'est-il passé : Planity victime d'une violation de données

Fin juillet 2026, un acteur malveillant met en vente sur un forum spécialisé un lot de données présenté comme extrait des systèmes de la plateforme. La revendication porte sur un volume important d'enregistrements, mais ce chiffre demeure une allégation d'attaquant, confirmée ni par l'éditeur ni par une autorité. Prudence, donc, sur les ordres de grandeur qui circulent : les vendeurs gonflent régulièrement leurs annonces, et les lots proposés contiennent fréquemment des doublons ou des enregistrements incomplets.

Interrogée, l'entreprise apporte une précision déterminante : l'incident concernerait un environnement de test, distinct de la production. La nuance change la lecture du dossier. Un environnement de recette contient en principe des jeux factices ou anonymisés ; lorsqu'il héberge malgré tout des données réelles importées depuis la production, il devient une cible de choix, car il bénéficie rarement du même durcissement, de la même supervision ni des mêmes restrictions d'accès.

Les catégories concernées ne relèvent pas des données sensibles au sens de l'article 9 du RGPD : ni santé, ni coordonnées bancaires, ni mots de passe en clair mentionnés à ce stade. Leur sensibilité intrinsèque est faible, mais leur valeur d'usage est réelle : le croisement nom, e-mail, téléphone et rattachement à un salon précis constitue une base idéale pour des campagnes d'ingénierie sociale très crédibles.

Obligations légales RGPD pour Planity

Dès qu'une violation est constatée, l'article 33 du RGPD impose au responsable de traitement de la notifier à la CNIL dans un délai maximal de 72 heures, sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Ce délai court dès la prise de connaissance, et non à la fin des investigations : une notification initiale partielle, complétée ensuite, est expressément prévue par le texte.

Une subtilité mérite d'être soulignée. Une plateforme de réservation agit souvent comme sous-traitant pour le compte des établissements partenaires, lesquels restent responsables de traitement de leur fichier clients. L'article 33§2 impose alors au sous-traitant d'alerter le responsable de traitement dans les meilleurs délais ; c'est ensuite à chaque salon qu'incombe la notification à la CNIL sous 72 heures. Les gérants concernés ne sont donc pas dispensés de leur propre démarche.

Si la violation présente un risque élevé, l'article 34 ajoute une information individuelle des personnes concernées, rédigée en termes clairs et simples. L'article 33§5 exige en toute hypothèse, même en l'absence de notification, la consignation de l'incident dans un registre interne documentant les faits, leurs effets et les mesures correctives.

Côté sanctions, deux paliers coexistent. Le manquement aux obligations de notification des articles 33 et 34 relève du plafond de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Le palier supérieur, 20 millions d'euros ou 4 %, vise les atteintes aux principes fondamentaux : licéité, minimisation, sécurité des traitements, droits des personnes. Des données réelles laissées dans un environnement de test mal cloisonné s'analyseraient sous cet angle du défaut de sécurité.

Risques pour les personnes touchées et que faire

Le premier risque est l'hameçonnage contextualisé. Un message évoquant votre rendez-vous, le nom exact de votre salon et votre numéro de téléphone inspire nettement plus confiance qu'un courriel générique. Ces campagnes visent typiquement à faire saisir des coordonnées bancaires sous prétexte d'acompte, d'annulation ou de remboursement. Le smishing par SMS et le vishing par appel téléphonique reposent sur la même mécanique.

Vient ensuite le credential stuffing : si le mot de passe utilisé sur la plateforme a été réemployé ailleurs, un attaquant peut tester ces identifiants en masse sur des services tiers. Enfin, l'agrégation de ces données avec d'autres fuites alimente les tentatives d'usurpation d'identité et d'ouverture de comptes frauduleux.

Les réflexes utiles : changer votre mot de passe s'il était partagé avec d'autres services, activer l'authentification à deux facteurs, ne jamais cliquer sur un lien reçu par SMS ou e-mail au sujet d'un rendez-vous mais passer par l'application officielle, et surveiller vos relevés bancaires les mois suivants. Vous pouvez tester votre adresse sur Have I Been Pwned, saisir la CNIL en cas de préjudice, et suivre l'actualité des incidents dans notre panorama des fuites de données en France.

Enseignements pour les entreprises similaires

Le principal enseignement tient en une phrase : un environnement de test contenant des données réelles est un environnement de production. Le premier chantier consiste donc à généraliser l'anonymisation ou la pseudonymisation des jeux de recette, ce qui découle directement du principe de minimisation posé par l'article 5 du RGPD. Lorsque des données réelles sont indispensables, elles doivent bénéficier du même chiffrement au repos, des mêmes contrôles d'accès et de la même journalisation que la production.

Viennent ensuite les mesures classiques mais rarement complètes : authentification multifacteur sur tous les accès d'administration et consoles cloud, segmentation réseau stricte entre préproduction et production, gestion centralisée des secrets, tests d'intrusion périodiques incluant explicitement les environnements hors production, et détection des exfiltrations volumineuses. Un audit d'infrastructure régulier révèle ces angles morts avant qu'un attaquant ne les exploite.

Enfin, la directive NIS 2 élargit considérablement le périmètre des entités soumises à des exigences de cybersécurité et de notification, avec une responsabilité désormais explicite des organes de direction. Les plateformes numériques et leurs prestataires figurent parmi les secteurs visés : anticiper cette conformité est un enjeu de gouvernance autant que technique.

Questions fréquentes

Que faire si vous êtes client de Planity ?

Changez votre mot de passe, en priorité si vous l'utilisiez aussi sur d'autres sites, puis activez l'authentification à deux facteurs. Redoublez de vigilance face aux messages évoquant vos rendez-vous : un attaquant connaissant votre nom et votre salon peut se montrer très convaincant. Ne communiquez jamais de coordonnées bancaires par SMS ou téléphone et vérifiez toute demande inhabituelle depuis l'application officielle.

Planity doit-elle notifier la CNIL ?

L'obligation de notification sous 72 heures pèse sur le responsable de traitement dès lors que la violation présente un risque pour les droits et libertés des personnes. Si la plateforme agit comme sous-traitant pour les établissements partenaires, elle doit les informer sans délai, à charge pour eux de saisir la CNIL. Dans tous les cas, l'incident doit figurer au registre interne des violations.

Comment vérifier si vos données ont été exposées ?

Saisissez votre adresse e-mail sur Have I Been Pwned, qui recense les jeux de données compromis rendus publics. L'absence de résultat ne garantit rien, car de nombreux lots ne sont jamais indexés. Vous pouvez également exercer votre droit d'accès auprès de l'entreprise concernée, qui doit répondre sous un mois, et lui demander explicitement si vos données figuraient parmi celles exposées.