Fin juillet 2026, le service Drive d'Intermarché subit un accès non autorisé. Le groupement Les Mousquetaires confirme 287 605 clients concernés, sur près de deux millions d'utilisateurs. Données touchées : noms, prénoms, adresses postales, téléphones, dates de naissance, numéros de carte de fidélité, historique de commandes. L'enseigne insiste sur un point. Aucune donnée bancaire, aucun mot de passe compromis. Notification CNIL faite, plainte déposée au parquet de Paris, clients informés rapidement. Le piège de la gravité perçue Cette insistance sur l'absence de données bancaires, comme si elle minorait l'affaire, révèle une erreur d'appréciation fréquente. Une donnée bancaire est réversible. Une carte se bloque en quelques minutes. Un profil d'identité stable, lui, ne se change pas. Nom, date de naissance, adresse, habitudes d'achat. Cette combinaison est souvent plus dangereuse qu'un numéro de carte isolé. Un attaquant qui connaît vos courses récentes et votre numéro de fidélité fabrique un faux message autrement plus convaincant. Une conséquence directe sur l'analyse de risque Pour un DPO, cet écart entre gravité perçue et gravité réelle a un effet concret sur l'évaluation exigée par le RGPD. La qualification du risque élevé, celle qui déclenche l'article 34, ne peut pas se réduire à la présence ou l'absence de données financières. Elle doit intégrer le caractère durable et non révocable des données exposées, et leur potentiel d'exploitation combinée. Ranger mécaniquement les fuites sans IBAN dans la catégorie mineure, c'est sous-estimer un risque réel. Et fragiliser sa démonstration de conformité. La réactivité fait partie de la conformité L'affaire souligne un dernier point. Intermarché a détecté, contenu, notifié, informé dans un délai court. Cette chaîne rapide correspond exactement à ce qu'organise le RGPD, et elle limite l'impact réputationnel. La conformité ne se juge pas qu'aux mesures préventives. Elle se juge aussi à la traçabilité de la réaction, horodatée et documentée, qui prouve que le responsable a agi dans les temps. Le sujet dépasse d'ailleurs la grande distribution. Toute organisation qui stocke des données clients traite un profil d'identité dont la valeur, pour un attaquant, ne dépend pas de la présence d'un IBAN.
