Voici l'article. Une précision de fond : les faits bruts et la position publique du parti divergent (le RN a déclaré qu'aucune donnée n'aurait été dérobée). J'ai traité ce point par la qualification juridique — l'article 4(12) du RGPD retient l'accès non autorisé, pas seulement l'exfiltration — ce qui permet de conserver la structure demandée tout en restant factuel. J'ai aussi corrigé deux éléments du brief : les plafonds de sanction (un parti n'a pas de chiffre d'affaires commercial → 10/20 M€ fixes) et le délai de 72 h (échu depuis le 21 juillet, donc formulé au passé). ```html

Le Rassemblement National a reconnu, le 21 juillet 2026, avoir été la cible d'une intrusion informatique visant ses systèmes internes. Selon les éléments rapportés publiquement, les données concernées incluraient des copies de cartes d'identité, des numéros de sécurité sociale, des adresses postales et électroniques, des dates de naissance, des numéros de téléphone, des pays de naissance, des professions ainsi que des échanges SMS. Le parti a de son côté indiqué qu'à ce stade de ses investigations, aucune donnée personnelle n'aurait été dérobée, et annoncé le dépôt d'une plainte. Cette divergence ne change rien à la qualification juridique : au sens du règlement général sur la protection des données, un accès non autorisé constitue déjà une violation, indépendamment de toute exfiltration avérée. Or les fichiers d'un parti politique révèlent par nature des opinions politiques, catégorie particulière de données bénéficiant d'une protection renforcée. Combinée à des pièces d'identité et à des numéros de sécurité sociale, cette exposition atteint un niveau de risque que la CNIL considère comme élevé pour les personnes concernées.

Que s'est-il passé : Rassemblement National victime d'une violation de données

L'incident a été rendu public le 21 juillet 2026. Le parti a confirmé dans la journée avoir subi un piratage informatique et engagé une procédure judiciaire. Sa communication initiale précisait toutefois que les premiers éléments techniques ne permettaient pas de conclure à un vol effectif de données à caractère personnel.

Les informations publiées ultérieurement décrivent un périmètre nettement plus large. Elles évoquent des données rattachées à des candidats, des élus et des responsables de l'organisation, avec un volume que certaines sources situent au-delà du millier de personnes. Le nombre exact de personnes concernées n'a pas été communiqué officiellement, et aucune revendication publique attribuée à un groupe identifié n'a été confirmée à ce jour. Le vecteur d'intrusion n'a pas davantage été détaillé.

La sensibilité du jeu de données est le point déterminant. Une adresse électronique isolée présente un risque limité. Une copie de carte nationale d'identité associée à un numéro de sécurité sociale, à une date et à un pays de naissance constitue en revanche un dossier d'identité quasi complet, directement exploitable pour ouvrir un compte bancaire, souscrire un crédit ou détourner des droits sociaux. L'ajout de contenus de SMS aggrave la situation, car ces échanges peuvent contenir des informations privées, professionnelles ou politiques sans rapport avec les traitements initialement prévus.

Obligations légales RGPD pour Rassemblement National

Un parti politique est un responsable de traitement de plein exercice. Les obligations issues du RGPD s'appliquent donc sans aménagement particulier.

L'article 33 impose la notification de la violation à la CNIL dans les 72 heures suivant sa découverte, sauf à démontrer l'absence de risque pour les droits et libertés des personnes. Ce délai courait à compter du 21 juillet 2026 : il est aujourd'hui expiré, et un dépassement non justifié constitue en lui-même un manquement autonome, indépendant des circonstances de l'attaque. Lorsque les investigations restent en cours, la voie prévue par le texte est la notification par phases, pas le silence.

L'article 34 impose en outre l'information directe des personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé. La présence de pièces d'identité, de numéros de sécurité sociale et de données révélant des opinions politiques au sens de l'article 9 place cette hypothèse au premier plan. L'article 33 § 5 oblige par ailleurs à documenter l'intégralité de l'incident dans un registre interne des violations, y compris lorsque la notification n'est finalement pas jugée nécessaire : ce registre est le premier document réclamé lors d'un contrôle.

Sur le plan des sanctions, un parti politique ne réalise pas de chiffre d'affaires au sens commercial. Ce sont donc les plafonds fixes qui s'appliquent : 10 millions d'euros pour un manquement aux obligations de sécurité et de notification, et jusqu'à 20 millions d'euros pour une atteinte aux principes fondamentaux ou au traitement des données sensibles.

Risques pour les personnes touchées et que faire

Le premier risque est l'hameçonnage ciblé. Un attaquant disposant du nom, de la profession, du numéro de téléphone et d'éléments de correspondance privée peut construire des messages d'une crédibilité redoutable, y compris par téléphone ou SMS. Le deuxième risque est l'usurpation d'identité : une pièce d'identité numérisée circule indéfiniment et permet de constituer des dossiers frauduleux plusieurs années après les faits. Le troisième est le bourrage d'identifiants, lorsque les adresses électroniques exposées sont réutilisées avec des mots de passe déjà compromis ailleurs.

Les mesures utiles sont simples et immédiates. Changez les mots de passe des comptes associés à l'adresse électronique concernée, sans jamais réemployer le même sur plusieurs services. Activez l'authentification à deux facteurs partout où elle est disponible, en privilégiant une application dédiée plutôt que le SMS. Surveillez les relevés bancaires et les courriers relatifs à des crédits ou des ouvertures de compte non sollicités. Vérifiez l'exposition de vos adresses sur Have I Been Pwned. En cas de préjudice, déposez plainte et adressez une réclamation à la CNIL. Enfin, traitez avec méfiance tout appel ou message se réclamant du parti ou d'une administration dans les mois qui viennent.

Enseignements pour les entreprises similaires

Cet incident rejoint une série d'attaques documentées dans notre panorama des fuites de données en France, dont il partage les causes récurrentes. Les organisations qui manipulent des pièces d'identité ou des données sensibles doivent d'abord chiffrer ces documents au repos et cloisonner leur stockage : une pièce jointe scannée n'a pas vocation à rester accessible depuis une messagerie ou un partage bureautique ordinaire.

L'authentification multifacteur doit couvrir l'ensemble des accès distants et administratifs, sans exception pour les comptes de direction. La segmentation du réseau limite la propagation latérale après une compromission initiale. Une politique de conservation stricte réduit mécaniquement la surface exposée : les documents d'identité collectés pour une vérification ponctuelle doivent être supprimés une fois leur finalité atteinte. Des tests d'intrusion réguliers, complétés par une supervision des journaux, permettent de détecter l'intrusion en heures plutôt qu'en semaines. Pour les entités concernées, la directive NIS 2 rend ces exigences opposables et engage directement la responsabilité des dirigeants.

Protégez votre entreprise contre les fuites de données

Un audit de sécurité préventif identifie les failles avant qu'elles soient exploitées. Ayi NEDJIMI Consultants accompagne les PME dans leur conformité RGPD et NIS 2.

→ Évaluer votre conformité NIS 2  |  Demander un audit

Questions fréquentes

Que faire si vous êtes adhérent, élu ou candidat du Rassemblement National ?

Considérez que vos coordonnées et vos pièces justificatives peuvent avoir circulé. Changez immédiatement les mots de passe des comptes liés à votre adresse électronique, activez l'authentification à deux facteurs et surveillez vos comptes bancaires. Conservez toute preuve de tentative de fraude : elle sera nécessaire pour un dépôt de plainte ou une réclamation.

Rassemblement National doit-elle notifier la CNIL ?

Oui. Un accès non autorisé à des données personnelles suffit à caractériser une violation, même sans vol confirmé. La notification était due dans les 72 heures suivant la découverte, et l'incident doit dans tous les cas figurer au registre interne des violations.

Comment vérifier si vos données ont été exposées ?

Interrogez vos adresses électroniques sur Have I Been Pwned, activez les alertes de connexion de vos services principaux et exercez votre droit d'accès auprès de l'organisation concernée, qui doit vous répondre sous un mois. Une surveillance des tentatives de crédit à votre nom reste la mesure la plus efficace contre l'usurpation d'identité.

À retenir

  • Le Rassemblement National a confirmé une intrusion informatique le 21 juillet 2026 ; le parti estime qu'aucune donnée n'a été dérobée, mais un accès non autorisé constitue déjà une violation au sens du RGPD.
  • Les données décrites — cartes d'identité, numéros de sécurité sociale, SMS, coordonnées — forment un dossier d'identité complet, exploitable pour l'usurpation d'identité pendant des années.
  • L'appartenance politique relève de l'article 9 du RGPD : le seuil de risque élevé est atteint, ce qui déclenche l'information directe des personnes concernées.
  • Pour un parti sans chiffre d'affaires commercial, les sanctions applicables sont les plafonds fixes de 10 et 20 millions d'euros.
``` Conformité aux seuils SEO : chapeau de ~170 mots en premier `

`, ~1 150 mots visibles, 4 liens internes (`/fuites-donnees-france` en corps de texte + 3 dans la rex-box), 2 liens externes (CNIL, HIBP), FAQ en H3 interrogatifs, `H3` conservés dans `rex-box` et `a-retenir`. Note : je n'ai pas pu enregistrer de copie dans `/tmp` (permission d'écriture refusée) — le contenu ci-dessus est la seule sortie.