ElegArtech
Plus
Échanger

← Gouvernance des SI

Un anneau d'étanchéité intact mais entaillé, auquel pendent plusieurs étiquettes d'acceptation de plus en plus jaunies, tandis qu'un pied à coulisse referme ses mâchoires sur l'encoche pour la mesurer.

Gouvernance des SI · Gouvernance & transformations · · 12 min

Macif Vie : l'écart toléré, jugé avant l'incident

Le 15 octobre 2026, une amende de 7 millions d'euros a été proposée contre Macif Vie devant la formation restreinte de la CNIL, pour des mots de passe insuffisamment protégés et des données gardées trop longtemps. L'assureur conteste. La presse y a vu un risque financier pour une marque mutualiste. Le dossier dit autre chose : un écart toléré (une non-conformité connue, différée faute de dommage visible) peut désormais coûter avant tout incident. Ce qui rend l'écart supportable en interne, l'absence d'accident, est précisément ce que le régulateur refuse de compter.

Par Alexandre Berge · Cybersécurité · Régulation et droit · Données et information · Décision et responsabilités · Chronique

Une proposition, deux griefs, une contestation

À la date du 20 octobre 2026, les faits publics tiennent en quelques lignes. Le jeudi 15 octobre, lors d'une audience à Paris devant la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL), l'organe qui prononce les sanctions, une amende de 7 millions d'euros a été proposée contre Macif Vie. Selon MLex, publication spécialisée dans le risque réglementaire, deux griefs la fondent : un défaut de sécurisation des mots de passe et une conservation de données personnelles au-delà du nécessaire. Le lendemain, L'Agefi précisait, dans une information exclusive, que l'assureur avait été contrôlé en mai 2024 et que des mesures correctives avaient écarté la perspective d'une injonction (un ordre de mise en conformité), sans lever ni la sanction pécuniaire ni le risque d'une publication nominative de la décision.

Le chiffre appelle une qualification nette. Les 7 millions d'euros sont une proposition, pas une amende. Dans cette procédure, le rapporteur, membre du collège chargé d'instruire le dossier, propose une sanction que la formation restreinte reste libre de suivre, de réduire ou d'écarter. Les précédents montrent l'ampleur possible de l'écart entre les deux. Dans une affaire jugée le 24 juillet 2018, le rapporteur avait d'abord proposé 500 000 euros, puis, dans un rapport de substitution, une sanction d'au moins 100 000 euros. La formation restreinte en a prononcé 50 000. Selon la CNIL, le montant se fixe au cas par cas, au regard notamment de la gravité du manquement, du nombre de personnes concernées, du caractère délibéré ou négligent de la violation, des données en cause et de la taille de l'organisme.

L'assureur conteste. Selon MLex, son avocat a déclaré à l'audience que les allégations « don't match the reality of the facts » (« ne correspondent pas à la réalité des faits »). À la date d'arrêt des faits, aucune délibération n'avait été publiée sur le site de la CNIL ni sur Légifrance.

L'entité visée porte un nom récent. Selon sa présentation institutionnelle, Mutavie s'appelle Macif Vie depuis le 1er avril 2026. Société européenne détenue à 100 % par la Macif, elle appartient à un groupe affilié à Aéma Groupe depuis le 1er janvier 2021. Le contrôle de mai 2024 a donc porté sur l'entité sous son ancien nom.

Le récit qui a circulé est celui d'une exposition : une marque mutualiste connue, un montant à sept chiffres, une défense qui conteste. Il laisse de côté la nature des griefs, qui est pourtant le point saillant. Aucune des sources publiques consultées ne rattache la procédure à une attaque ou à une fuite de données.

Le régulateur juge un état, pas un dommage

Les deux manquements rapportés ne décrivent pas un événement. Ils décrivent la configuration d'un système au moment de son examen : la manière dont les mots de passe étaient protégés, la durée pendant laquelle les données étaient gardées. Le premier relève de l'article 32 du règlement général sur la protection des données (RGPD), qui impose des mesures de sécurité adaptées au risque. Le second relève du principe de limitation de la conservation, posé à l'article 5 du même règlement.

Cette lecture est celle du régulateur lui-même. Dans sa délibération du 22 janvier 2026 sanctionnant France Travail, la formation restreinte rappelle que la Cour de justice de l'Union européenne a jugé, le 14 décembre 2023, que l'absence de violation de données ne suffit pas à établir l'absence de manquement à l'obligation de sécurité. Elle en tire une règle explicite : « Des défauts de sécurité peuvent être sanctionnés en tant que tels en raison du risque qu'ils ont fait peser sur l'intégrité des données traitées. » Elle cite à l'appui ses propres précédents, parmi lesquels une politique de mots de passe trop faible en 2018 et le stockage de mots de passe en clair en 2022. Dans la même délibération, elle rappelle que le Conseil d'État a jugé, le 4 novembre 2020, qu'une sanction n'a pas à être précédée d'une mise en demeure.

La norme technique n'a rien de nouveau. La recommandation de la CNIL sur les mots de passe, adoptée le 21 juillet 2022, a remplacé un premier texte de 2017. Elle pose que les mots de passe « ne doivent jamais être stockés en clair » et qu'ils sont transformés par une fonction cryptographique non réversible. Le régulateur n'attend donc pas le dommage pour qualifier le manquement. Le risque suffit, mesuré à un état de l'art publié depuis près de dix ans.

Sans incident, l'écart devient la norme

Le récit dominant raisonne en termes de faute et de montant. Il manque la question qui intéresse toute direction : comment un écart connu peut durer dans une organisation compétente. Rien de public n'établit comment ces pratiques ont été arbitrées chez Macif Vie, ni même que les griefs seront retenus. L'analyse porte donc sur une configuration, pas sur des personnes.

La normalisation de la déviance (Diane Vaughan, 1996)

Dans « The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA » (University of Chicago Press, 1996), la sociologue Diane Vaughan nomme normalisation de la déviance le processus par lequel une anomalie technique, d'abord lue comme un signal de danger, est redéfinie comme un risque acceptable, puis devient routinière. Chaque écart accepté sert de référence pour juger le suivant. Vaughan insiste, notamment dans un article de 2004 paru dans la revue Ethnography, sur le fait qu'il ne s'agit ni d'un calcul ni d'une transgression individuelle. Le phénomène est socialement organisé. Il passe par les procédures ordinaires de l'organisation, qui donnent aux décisions successives l'apparence de la conformité.

Appliqué aux deux griefs, le concept éclaire ce que la couverture ne traite pas. Un mot de passe stocké en clair ou une donnée gardée au-delà de sa finalité ne produisent aucun signal tant que personne ne les exploite. Chaque exercice sans incident devient alors un argument implicite pour ne pas prioriser leur correction face à des projets dont les bénéfices se voient. L'écart n'est jamais décidé comme tel. Il est reconduit, budget après budget, par des arbitrages qui ont chacun leur logique. L'absence d'incident ne mesure pas le risque, elle l'efface des tableaux de bord.

C'est cette boucle que le régime de sanction du RGPD interrompt. En jugeant l'état du système au jour du contrôle, le régulateur refuse de compter le temps passé sans dommage comme une preuve de sûreté. La normalisation de la déviance rencontre ici un tiers qui ne partage pas les critères internes de l'acceptable.

Challenger : l'écart accepté parce que les vols réussissaient

Le dossier qui a fondé le concept reste le plus parlant, parce que l'écart y était documenté, discuté et formellement accepté. L'annexe H du rapport de la commission présidentielle sur l'accident de la navette Challenger, publié en juin 1986, retrace le traitement des anomalies des joints toriques (les anneaux d'étanchéité des propulseurs d'appoint) dans les revues d'aptitude au vol.

La chronologie qu'elle établit est celle d'un glissement. Dès le deuxième vol de la navette, lancé le 12 novembre 1981, un joint principal présente une érosion atteignant 0,053 pouce, qui n'est pas discutée lors des revues préparant le vol suivant. Le 8 mars 1984, la notion d'érosion acceptable apparaît pour la première fois, appuyée sur un essai où un joint portant une érosion simulée tenait encore à trois fois la pression du moteur. Le 19 septembre 1984, le responsable du projet des propulseurs parle pour la première fois d'érosion « allowable » (« admissible »). Le vol du 24 janvier 1985, lancé avec des joints à 53 °F (environ 12 °C), la température la plus basse avant l'accident, connaît le pire passage de gaz chauds observé jusque-là. Le 12 février 1985, les actions correspondantes sont présentées comme closes et le phénomène est qualifié de risque acceptable. Le 28 janvier 1986, le joint cède.

Le parallèle ne porte pas sur la gravité, sans commune mesure. Il porte sur la structure : une norme qui existe, un écart connu, des procédures de revue qui fonctionnent, et une succession de réussites qui transforment l'anomalie en paramètre. Une différence décisive sépare toutefois les deux situations. À la NASA, aucun tiers n'avait le pouvoir de sanctionner l'écart avant l'accident. En matière de données personnelles, ce tiers existe et contrôle sur place.

Le dossier France Travail montre la même structure sous un angle complémentaire. La formation restreinte y relève que l'opérateur avait identifié la plupart des risques dans ses analyses d'impact avant la mise en œuvre du traitement, et prononce une amende de 5 millions d'euros pour un écart connu et écrit, cette fois après une intrusion. Le cas Macif Vie, si les griefs étaient retenus, marquerait l'étape suivante : la sanction de l'écart sans attendre qu'il se matérialise.

Le mécanisme sans la marque

Débarrassé de la marque, le mécanisme tient en trois conditions. Une norme technique existe, publiée et opposable comme état de l'art. Un écart à cette norme est présent dans un système en production, souvent hérité d'une époque où la norme était moins exigeante. L'organisation hiérarchise enfin ses chantiers de sécurité selon les incidents constatés plutôt que selon les écarts mesurés. Quand ces trois conditions sont réunies, la dette de sécurité (l'ensemble des corrections connues et différées) devient invisible pour les instances de décision, parce qu'elle ne produit ni coût ni alerte.

Plusieurs signes rendent cette configuration lisible. Les registres de risques recensent des menaces, rarement des écarts à une recommandation publiée. Les comités d'arbitrage examinent des projets, pas des stocks de non-conformités anciennes. Les indicateurs de sécurité présentés aux directions comptent des incidents, dont l'absence se lit comme une performance. Les applications héritées, celles qui ont changé de nom, de périmètre ou d'entité de rattachement, échappent plus facilement aux revues, parce que personne ne les a conçues dans leur forme actuelle. Les durées de conservation sont définies dans des politiques, rarement vérifiées dans les bases.

Rien de cela n'est propre à l'assurance. Toute organisation qui exploite des comptes clients, des historiques de transactions ou des données de salariés réunit les conditions. Ce qui change n'est pas la probabilité d'une attaque, c'est le moment où l'écart devient coûteux : au jour du contrôle, et non au jour de l'incident.

Grille de lecture

  1. Combien d'écarts à une recommandation publiée de la CNIL ou de l'ANSSI figurent dans le registre des risques, et depuis quelle date chacun y est-il inscrit ?
  2. Au cours des douze derniers mois, combien de corrections de sécurité ont été financées sans qu'un incident ou un audit externe les ait déclenchées ?
  3. Pour les trois applications les plus anciennes encore en production, qui est en mesure de dire comment les mots de passe y sont stockés ?
  4. Les durées de conservation inscrites dans la politique de protection des données ont-elles été comparées, au moins une fois, à l'ancienneté réelle des enregistrements en base ?
  5. Les indicateurs de sécurité présentés à la direction générale mesurent-ils des écarts à une norme, ou seulement des événements survenus ?

Ce que la délibération permettra de vérifier

L'audience du 15 octobre n'a rien tranché. Les 7 millions d'euros restent une proposition, contestée par un assureur qui soutient que les griefs ne correspondent pas à la réalité des faits. Mais la question posée dépasse le montant final. En instruisant un dossier bâti sur l'état d'un système plutôt que sur un dommage, la CNIL rend coûteux ce que la normalisation de la déviance rend confortable : la durée d'un écart toléré sans incident.

L'hypothèse qui en découle se vérifie de l'extérieur, d'ici au 31 décembre 2027. Premier indicateur, la délibération concernant Macif Vie dira si la proposition a été suivie, réduite ou écartée, et si la publication nominative a été retenue. Deuxième indicateur, un éventuel recours devant le Conseil d'État préciserait la portée d'une sanction prononcée sans violation de données. Troisième indicateur, le rapport annuel de la CNIL pour 2026 et les délibérations publiées en 2027 montreront si d'autres organismes de l'assurance, de la mutualité ou de la banque sont sanctionnés au titre de la sécurité ou de la conservation sans incident déclaré. Si ces signes manquent, le dossier restera une exception. S'ils apparaissent, l'incident aura cessé d'être la condition de la priorité.

Note méthodologique

Les faits reposent sur deux comptes rendus de presse indépendants (MLex du 15 octobre 2026, L'Agefi du 16 octobre 2026), sur les délibérations de la formation restreinte publiées sur Légifrance et sur les publications de la CNIL et de Macif Vie. Seuls les éléments établis par ces sources sont retenus. Aucune causalité n'est affirmée : les griefs sont attribués à la procédure et présentés comme contestés. L'absence de délibération publiée et de lien rapporté avec une attaque s'entend au 20 octobre 2026, sur le périmètre de ces sources, du site de la CNIL et de Légifrance. Le choix de la normalisation de la déviance comme cadre et du dossier Challenger comme parallèle relève de l'interprétation de l'auteur. Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Documents des organisations et décisions

Presse de référence

Cadres théoriques

  • Diane Vaughan, « Theorizing disaster: Analogy, historical ethnography, and the Challenger accident », Ethnography, vol. 5, n° 3, 2004, p. 315 à 347, texte consulté le 20 octobre 2026, https://doi.org/10.1177/1466138104045659
  • Hervé Laroche, « L'ingénieur, le manager et l'astronaute », recension de Diane Vaughan, « The Challenger Launch Decision » (1996), Gérer et comprendre, Annales des Mines, septembre 1998, texte consulté le 20 octobre 2026, https://www.annales.org/gc/1998/gc09-98/69-77.pdf

Parallèle historique

  • Presidential Commission on the Space Shuttle Challenger Accident, « Report to the President », volume 2, appendix H, « Flight Readiness Review Treatment of O-ring Problems », 6 juin 1986, https://www.nasa.gov/history/rogersrep/v2apph.htm

Derniers articles

Gouvernance des SI