Intermarché a confirmé lundi 3 août 2026 avoir été victime d'une cyberattaque ayant permis un accès non autorisé aux données personnelles de 287 605 clients de son service Drive, sur environ deux millions d'utilisateurs. Noms, prénoms, dates de naissance, numéros de téléphone, adresses postales, numéros de carte de fidélité et informations de commande ont été consultés. L'incident, survenu la semaine précédente et révélé par le site spécialisé French Breaches, a été notifié à la CNIL et une plainte déposée auprès du parquet de Paris. Pour les organisateurs de séminaires et d'événements d'entreprise, cette affaire n'est pas un fait divers lointain : un fichier participants contient exactement les mêmes catégories de données — et souvent des informations plus sensibles encore.
À la date du mercredi 5 août, l'enseigne indique que l'accès non autorisé a été bloqué, que les personnes concernées ont été informées individuellement et que les investigations se poursuivent pour déterminer si d'autres clients sont touchés. Voici ce que l'on sait, et surtout ce que cette attaque doit changer dans la manière dont vous collectez, confiez et purgez les données de vos participants.
Ce que l'on sait de l'attaque au 5 août
Selon le Groupement Les Mousquetaires, l'intrusion a compromis plusieurs informations d'identification des clients du Drive : nom, prénom, date de naissance, numéro de téléphone, adresse postale, numéro de carte de fidélité, ainsi que certaines données liées aux commandes en ligne, dont les numéros de commande et adresses de facturation. L'enseigne précise en revanche qu'aucune donnée bancaire, aucun mot de passe, aucune adresse électronique ni aucune information sur les cagnottes de fidélité n'ont été exposés.
L'absence de coordonnées bancaires ne rend pas la fuite anodine, soulignent les spécialistes : ces informations suffisent à construire des campagnes d'hameçonnage très crédibles. Une personne qui connaît votre nom, votre adresse et votre dernière commande peut se faire passer pour l'enseigne par SMS, courriel ou téléphone et obtenir ce qui manque — vos coordonnées bancaires. Intermarché recommande à ses clients de ne répondre à aucune sollicitation inhabituelle, une vigilance à prolonger plusieurs mois, les données volées pouvant être réutilisées longtemps après l'attaque.
Un fichier participants contient les mêmes données — et souvent plus sensibles
Transposez maintenant la liste des données compromises à votre dernier séminaire. Une plateforme d'inscription événementielle collecte l'identité complète des participants, leur téléphone, souvent leur date de naissance pour les activités encadrées, parfois leur adresse. S'y ajoutent des informations qu'Intermarché ne détient même pas : régimes et allergies alimentaires — qui touchent aux données de santé au sens du RGPD —, besoins d'accessibilité, numéros de chambre, plaques d'immatriculation pour les parkings, voire copies de pièces d'identité pour certains sites sécurisés. Notre guide des outils d'inscription et d'émargement détaille ce que ces plateformes stockent réellement.
Ces données circulent ensuite entre une chaîne de prestataires : outil d'inscription, application événementielle, imprimeur de badges, traiteur (pour les régimes), hôtelier (pour le rooming), photographe ou vidéaste — dont les obligations propres sont couvertes dans notre guide de la captation photo et vidéo en séminaire. Plus l'événement est piloté par la donnée, plus la surface d'exposition grandit. Chaque maillon est un point d'entrée possible — et, juridiquement, c'est vous, l'employeur organisateur, qui restez responsable de traitement.
| Données exposées chez Intermarché Drive | Équivalent dans un fichier participants de séminaire |
|---|---|
| Nom, prénom, date de naissance | Identité complète collectée à l'inscription, date de naissance pour activités encadrées ou assurance |
| Téléphone, adresse postale | Téléphone mobile (application événement, urgences), adresse pour la logistique transport |
| Numéro de carte de fidélité | Identifiant participant, numéro de badge, QR code d'émargement |
| Historique et adresses de commande | Historique d'événements, choix d'ateliers, rooming list, plaque d'immatriculation |
| — (non collecté) | Allergies et régimes alimentaires, besoins d'accessibilité : données de santé, catégorie particulière du RGPD |
Comparaison établie à partir des données compromises confirmées par le Groupement Les Mousquetaires (3 août 2026) et des champs usuels des plateformes d'inscription événementielles.
Vos obligations si cela vous arrive : 72 heures chrono
Le RGPD ne laisse aucune place à l'improvisation. Dès qu'une violation de données susceptible d'engendrer un risque pour les personnes est détectée — piratage, mais aussi simple envoi du fichier participants au mauvais destinataire —, l'article 33 impose de la notifier à la CNIL dans les 72 heures suivant sa découverte, au besoin par phases si l'investigation est en cours. Toute violation, même non notifiable, doit être documentée dans un registre interne. Et si le risque est élevé pour les personnes — c'est le cas quand des données de santé ou des identités complètes fuitent —, l'article 34 impose d'informer directement les participants, en langage clair, comme Intermarché vient de le faire avec ses clients.
Les manquements coûtent cher : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une notification tardive, et jusqu'à 20 millions d'euros ou 4 % pour une sécurité insuffisante à l'origine de la violation. Le cabinet de conformité Leto rappelle que la CNIL a prononcé en janvier 2026 une sanction record de 42 millions d'euros contre Free à la suite de sa fuite massive de 2024, en relevant notamment l'absence d'authentification multifacteur et la conservation excessive de données d'anciens abonnés — deux défauts très répandus dans les fichiers événementiels, où les listes de participants des années passées dorment souvent sans limite de durée.
Le maillon faible : vos prestataires événementiels
Si la fuite se produit chez votre plateforme d'inscription ou votre agence, vous n'êtes pas déchargé pour autant : l'article 28 du RGPD impose au sous-traitant d'alerter son client « dans les meilleurs délais », mais le compte à rebours des 72 heures court pour vous, responsable de traitement, dès que vous êtes informé. D'où l'importance du contrat de sous-traitance (DPA) : les juristes recommandent d'y fixer un délai maximal de notification du prestataire — souvent 24 heures — pour garder une marge de manœuvre. Au moment de choisir une agence événementielle ou un outil d'inscription, trois questions simples font le tri : où sont hébergées les données, qui y accède, et que prévoit le contrat en cas d'incident ?
Cette vigilance contractuelle rejoint les autres obligations qui s'empilent sur l'organisateur en 2026 : sécurité physique des lieux — traitée dans notre guide ERP, jauges et responsabilités — et, depuis le 2 août, obligations de transparence de l'AI Act pour les événements d'entreprise, qui encadre notamment les chatbots d'inscription. Le numérique événementiel n'est plus une zone grise : c'est un traitement de données comme un autre, avec les mêmes juges.
Cinq réflexes pour protéger vos fichiers participants
- Minimisez la collecte. Chaque champ du formulaire d'inscription doit avoir une justification : la date de naissance n'est utile que si une activité l'exige, la plaque d'immatriculation que s'il y a un parking contrôlé. Ce qui n'est pas collecté ne peut pas fuiter.
- Purgez après l'événement. Fixez une durée de conservation (quelques semaines pour la logistique, plus pour la comptabilité) et supprimez les listes de participants des éditions passées qui dorment dans les boîtes mail et les drives partagés.
- Verrouillez vos prestataires. DPA signé avec chaque maillon (inscription, badges, traiteur, hôtel, agence), clause de notification sous 24 heures, hébergement identifié, sous-traitants ultérieurs listés.
- Restreignez les accès. Authentification multifacteur sur la plateforme d'inscription, accès limité aux seules personnes qui organisent, pas de fichier Excel complet envoyé « pour info » à toute l'équipe.
- Préparez le scénario de crise. Qui détecte, qui alerte, qui notifie la CNIL, qui écrit aux participants : un plan de réponse d'une page, testé une fois, vaut mieux qu'une improvisation à 71 heures.
Dernier point, directement inspiré de l'affaire en cours : si vos participants sont touchés par une fuite — la vôtre ou celle d'un prestataire —, prévenez-les aussi du risque d'hameçonnage qui suit. Les fraudeurs exploitent les fuites en usurpant l'identité de l'organisateur : un faux courriel « confirmez votre inscription au séminaire » est d'autant plus crédible que son auteur connaît le nom de l'événement et celui du destinataire.
FAQ — Violation de données et événements d'entreprise
Que s'est-il passé exactement chez Intermarché ?
L'enseigne a confirmé le 3 août 2026 un accès non autorisé aux données de 287 605 clients de son service Drive : identité, date de naissance, téléphone, adresse postale, carte de fidélité et informations de commande. Ni données bancaires, ni mots de passe, ni adresses e-mail n'ont été exposés. La CNIL a été notifiée, une plainte déposée au parquet de Paris et les personnes concernées informées individuellement.
Un fichier de participants à un séminaire relève-t-il vraiment du RGPD ?
Oui, intégralement. Une liste d'inscrits est un traitement de données personnelles dont l'employeur organisateur est responsable de traitement, et les allergies ou besoins d'accessibilité relèvent des données de santé, catégorie particulière soumise à une protection renforcée. Les obligations de sécurité, de minimisation et de durée de conservation s'appliquent comme pour n'importe quel fichier client.
Dans quel délai faut-il notifier la CNIL en cas de fuite ?
72 heures à compter de la découverte de la violation, dès lors qu'elle présente un risque pour les personnes (article 33 du RGPD). Une notification partielle, complétée ensuite, suffit à respecter le délai. Si le risque est élevé, les participants doivent aussi être informés directement et sans retard (article 34). Toute violation, même mineure, doit être consignée dans un registre interne.
Qui est responsable si la fuite vient de la plateforme d'inscription ou de l'agence ?
Le prestataire, sous-traitant au sens de l'article 28 du RGPD, doit vous alerter dans les meilleurs délais — mais l'obligation de notifier la CNIL et d'informer les participants vous incombe, en tant que responsable de traitement. C'est pourquoi le contrat de sous-traitance (DPA) doit prévoir un délai de notification court, généralement 24 heures, et des obligations de coopération.
Quels risques concrets pour les participants après une fuite ?
Le principal risque est l'hameçonnage ciblé : avec un nom, un téléphone et le contexte d'un événement, un fraudeur peut envoyer de faux messages très crédibles — confirmation d'inscription, demande de coordonnées bancaires pour un remboursement de frais. La vigilance doit durer plusieurs mois, les données volées étant souvent exploitées longtemps après l'attaque.
Sources :
- INCYBER News — Cyberattaque contre Intermarché (4 août 2026)
- Mac4Ever — Cyberattaque chez Intermarché : près de 300 000 clients touchés (4 août 2026)
- Leto — Violation de données personnelles : comment réagir et se protéger (guide 2026)
- CNIL — Notifier une violation de données personnelles (téléservice)
- EUR-Lex — Règlement (UE) 2016/679 (RGPD), articles 28, 33 et 34