Le 10 août 2026, la Fédération française de handball détecte un accès non autorisé à Gest'Hand, son logiciel fédéral. L'attaquant revendique 1,3 million d'adhérents compromis. Noms, dates de naissance, adresses électroniques, numéros de licence, clubs de rattachement. Des mineurs figurent dans le lot. Et ce n'est pas un coup isolé : la fédération avait déjà été visée en décembre 2025, le football français a connu un épisode comparable sur son propre outil de gestion. La valeur cachée des données sportives Le point structurant n'est pas la répétition. C'est ce qu'elle révèle. Un fichier de licenciés a longtemps semblé moins critique qu'une base de patients ou qu'un système financier. Cette idée est morte. Ces bases associent une identité, une activité, une structure, un âge. Elles contiennent des mineurs, parfois des données de santé liées à la pratique. Un matériau idéal pour l'usurpation et l'ingénierie sociale. Au sens du RGPD, ce sont des traitements à risque. La CNIL avait anticipé Le régulateur n'a pas attendu ces incidents pour réagir. Il a inscrit les fédérations sportives parmi ses trois priorités de contrôle 2026. Motif : l'explosion des licenciés après Paris 2024, le volume de données sensibles, dont celles de mineurs et les données disciplinaires. Menace active d'un côté, pression de contrôle de l'autre. Pour la gouvernance du secteur, la donne a changé. Le maillon prestataire Pour un responsable de traitement, l'affaire déplace la focale vers un point souvent négligé : le logiciel métier hébergé chez un tiers. L'intrusion a visé un outil opéré par un sous-traitant, via des identifiants compromis. La responsabilité RGPD, elle, ne se transfère pas. L'article 28 impose de choisir un sous-traitant offrant des garanties suffisantes et d'encadrer par contrat la sécurité, la journalisation des accès, la gestion des comptes à privilèges. Une base sensible confiée à un tiers reste une base dont vous répondez. L'enjeu réel n'est donc pas dans vos pare-feux. Il est dans la solidité de votre chaîne de sous-traitance, et dans votre capacité à en exiger la preuve.
