En septembre 2024, Boulanger a subi une violation de données ayant conduit à la publication de centaines de milliers de données de comptes clients.

À la suite de cette fuite, la CNIL a diligenté des contrôles. Le 22 octobre 2026, sa formation restreinte s’est réunie pour examiner le dossier et envisager une sanction. PURR a assisté à la séance.

Le rapporteur de la CNIL retient trois manquements à la législation sur la protection des données personnelles.

Une sécurité défaillante à plusieurs niveaux

Concernant la sécurité des données, le rapporteur relève de graves négligences de la part de Boulanger.

Les données dérobées étaient hébergées sur les serveurs d’un sous-traitant chargé de la logistique du dernier kilomètre. Elles étaient protégées par des mots de passe de seulement quatre caractères, sans mécanisme de blocage après plusieurs tentatives infructueuses.

Les accès reposaient sur des comptes partagés, sans mécanisme de journalisation. L’un de ces comptes avait été compromis plusieurs semaines auparavant par un infostealer présent sur l’ordinateur personnel d’un salarié. Boulanger n’avait pourtant pas révoqué les accès concernés.

Aucun cloisonnement ni mécanisme de gestion des habilitations ne limitait les accès : chaque plateforme géographique pouvait consulter l’ensemble des données de la base nationale.

Le sous-traitant ne disposait d’aucun suivi des accès. L’attaquant a ainsi pu émettre plus de 280 000 requêtes pour télécharger les données sans être détecté. Au total, deux millions de comptes clients ont été exfiltrés.

Boulanger n’a découvert la fuite que lorsque la base de données a été mise en vente sur des forums cybercriminels que l’entreprise surveillait.

Le rapporteur relève également le recours à un protocole d’authentification obsolète, NTLMv2, et à un algorithme de chiffrement déprécié, RC4. Il déplore l’absence de mesures élémentaires de sécurité pourtant nécessaires au regard de l’état de l’art.

Une rétention des données largement supérieure à celle prévue

Le deuxième manquement concerne la durée de conservation des données.

Boulanger avait prévu une suppression au bout de 90 jours. Ce délai était toutefois imposé par le sous-traitant, le paramétrage étant commun à l’ensemble des clients de sa solution SaaS.

En pratique, le sous-traitant utilisait également la plateforme pour d’autres fonctionnalités, notamment un CRM global. Il conservait ainsi des données de Boulanger au-delà du délai prévu, pour des fonctionnalités auxquelles l’entreprise n’avait pas souscrit.

Conséquence : au lieu des quelque 300 000 comptes clients attendus, la plateforme en hébergeait 20 millions. Après la découverte de la violation, le sous-traitant a supprimé de sa propre initiative plus de 24 millions de lignes, avant même que Boulanger ne soit informé de l’incident.

Le rapporteur relève une nouvelle fois l’insuffisance du contrôle exercé par Boulanger sur son sous-traitant, l’entreprise s’étant essentiellement reposée sur les contrats et les options souscrites. Deux audits seulement sont mentionnés en huit ans, en 2018 et en 2021, alors qu’un audit annuel serait nécessaire au regard de l’état de l’art.

Une information insuffisante des personnes concernées

Le troisième manquement porte sur l’information délivrée aux personnes concernées après la violation.

Le rapporteur estime que Boulanger n’a pas exposé clairement les risques encourus, se limitant à recommander aux clients de faire preuve de prudence à l’avenir, sans identifier suffisamment les risques d’usurpation d’identité ou de hameçonnage (phishing).

Cette insuffisance est d’autant plus préoccupante que les données exfiltrées comprenaient des informations particulièrement sensibles dans leurs conséquences pratiques, comme des digicodes.

Une amende de neuf millions d’euros proposée

Pour ces manquements, le rapporteur propose une amende de neuf millions d’euros.

Il préconise également une injonction imposant à Boulanger, dans un délai de trois mois et sous astreinte de 5 000 € par jour de retard, de mettre fin à l’utilisation de comptes génériques, de déployer des outils de journalisation et de cesser le recours à NTLMv2 et RC4. Il demande enfin la publication de la sanction.

Ces propositions ne constituent pas encore une décision : il appartient à la formation restreinte de se prononcer.

Boulanger dénonce le manque de maîtrise des solutions SaaS

En défense, Boulanger souligne avoir réagi rapidement après la détection de la violation, en informant les personnes concernées dans un délai de trois jours.

L’entreprise s’étonne que son sous-traitant, qui aurait mis en œuvre à son insu des traitements supplémentaires et lui aurait dissimulé certaines pratiques, ne fasse pas lui-même l’objet d’une enquête de la CNIL.

Boulanger explique que la rétention des données résulte de l’introduction, en 2020, d’une fonctionnalité CRM dans la solution SaaS, qu’elle n’avait pas souhaité utiliser.

L’entreprise met en avant les contraintes propres à ces solutions, livrées clés en main et exploitées par le prestataire, qui conserve une grande liberté technique. Les contrats seraient peu clairs et leur négociation particulièrement longue : il aurait notamment fallu plus d’un an pour obtenir un délai de rétention de 90 jours.

Boulanger soutient également ne pas avoir été en mesure d’imposer à son sous-traitant des moyens d’authentification plus robustes. L’intégration de systèmes tiers aux dispositifs de l’entreprise, pourtant protégés par une authentification à deux facteurs, n’était pas envisageable.

La question des audits a également été soulevée. Pour Boulanger, vérifier des traitements réalisés à son insu suppose de pouvoir accéder aux systèmes d’information du sous-traitant. Or, les contrôles effectués se seraient essentiellement limités à des audits documentaires, à l’examen des contrats et à des échanges oraux lors de réunions de travail.

L’entreprise dénonce enfin la généralisation de clauses limitant la responsabilité des prestataires SaaS. Selon elle, le rapport de force contractuel conduit, en pratique, à inverser les rôles entre responsable de traitement et sous-traitant.

Des interrogations sur le contrôle du sous-traitant

La formation restreinte s’est étonnée que Boulanger n’ait pas pu constater la rétention excessive des données, alors même que l’attaquant avait pu les obtenir par l’intermédiaire de l’API de la plateforme. Boulanger disposait donc, au moins techniquement, d’un accès à ces données.

L’entreprise juge par ailleurs l’amende proposée disproportionnée au regard de ses résultats nets en 2024. Selon ses calculs, elle représenterait 28 % du résultat de la filiale Boulanger et 173 % de celui du groupe United B.

Une décision attendue après consultation européenne

Le dossier présentant une dimension transfrontalière, la CNIL a coopéré avec d’autres autorités européennes de contrôle. Le projet de décision doit désormais leur être communiqué pour avis.

PURR suivra les suites de cette procédure, qui soulève des questions importantes sur la sécurité des données, le contrôle effectif des sous-traitants et les responsabilités respectives des acteurs dans l’écosystème SaaS.