Navigate360 : quatre mois de silence après la fuite, DataBreaches saisit la FTC — ce que le RGPD aurait imposé en 72 heures

Le 18 mars 2026, Navigate360 découvrait que 8,3 millions de signalements confiés par des élèves, des parents et des témoins à des dispositifs comme Crime Stoppers, Safe2Tell ou SandyHookPromise avaient été exposés. Quatre mois plus tard, ni l'éditeur ni les programmes qui utilisent sa plateforme n'ont notifié publiquement l'incident. Le média spécialisé DataBreaches.net vient de saisir la Federal Trade Commission (FTC) et d'alerter l'association des procureurs généraux américains (NAAG) pour obtenir des comptes.

Ce qui s'est passé

L'affaire, surnommée « BlueLeaks 2.0 », avait déjà fait l'objet d'un premier signalement de Leto en avril : plus de 7 300 établissements scolaires américains utilisant Navigate360 voyaient les signalements de leurs élèves publiés en ligne. En juillet, Leto avait ensuite détaillé le volet Crime Stoppers de cette même fuite, où plus d'un million de signalements anonymes se sont révélés, dans les faits, réidentifiables.

Ce qui change avec l'article publié le 20 juillet par DataBreaches.net : quatre mois après la découverte de la brèche, Navigate360 et ses filiales P3 Campus et P3 Global Intel n'ont toujours pas confirmé publiquement l'incident, ni indiqué qui serait notifié et quand. Les programmes clients (Safe2Tell, Safe2SayPA, SandyHookPromise) opposent le même silence et invoquent des exemptions aux demandes d'accès aux documents publics. Faute de réponse après plusieurs mois d'enquête, DataBreaches a saisi la FTC pour pratiques commerciales trompeuses (Section 5 du FTC Act) et a alerté la NAAG, l'association des procureurs généraux des États américains, sur l'absence de notification aux victimes et aux régulateurs d'État.

Pourquoi c'est important

Cette saga illustre, en creux, ce que le RGPD a précisément été conçu pour empêcher. En Europe, un responsable de traitement dispose de 72 heures pour notifier une violation de données à son autorité de contrôle dès qu'il en a connaissance — et non quatre mois. Le silence prolongé de Navigate360 ne serait pas une simple maladresse de communication : sous RGPD, il constituerait un manquement direct à l'article 33, doublé d'un défaut de communication aux personnes concernées au titre de l'article 34 lorsque le risque pour leurs droits est élevé — ce qui est manifestement le cas ici, puisque des mineurs figurent parmi les personnes concernées.

L'autre enseignement tient à la chaîne de sous-traitance. Navigate360 agit comme prestataire technique pour des dizaines de programmes scolaires et associatifs qui, eux, restent responsables de traitement vis-à-vis de leurs bénéficiaires. Le RGPD encadre précisément cette relation à l'article 28 : le responsable de traitement ne peut pas se retrancher derrière le silence de son sous-traitant pour éviter ses propres obligations de notification. C'est exactement l'angle mort que révèle l'affaire Navigate360 aux États-Unis, où aucun cadre équivalent n'oblige les programmes clients à agir si leur prestataire ne communique pas.

Ce que ça change pour les organisations

Cette affaire, bien qu'américaine, doit alerter tout DPO ou RSSI qui travaille avec des sous-traitants gérant des données sensibles — a fortiori des données de mineurs. Trois réflexes à vérifier dès maintenant : d'abord, s'assurer que chaque contrat de sous-traitance (DPA) prévoit une obligation contractuelle explicite d'alerte immédiate en cas d'incident, avec des délais chiffrés et des pénalités en cas de manquement — voir notre guide sur la conduite à tenir en cas de violation de données. Ensuite, tester la procédure de notification interne : en cas de silence prolongé d'un sous-traitant, l'organisation doit savoir déclencher elle-même la notification CNIL sous 72h à partir des éléments dont elle dispose, sans attendre une confirmation du prestataire. Enfin, pour les structures traitant des données d'enfants, la vigilance doit être renforcée sur l'article 8 du RGPD et sur la cartographie effective des sous-traitants scolaires et associatifs, y compris ceux considérés comme secondaires.

Ce que Leto pense de cette décision

Le plus inquiétant dans ce dossier n'est pas la fuite elle-même — les incidents de sécurité arrivent — mais l'absence totale de compte rendu quatre mois après. C'est précisément ce que le RGPD a voulu rendre impossible en Europe en imposant un délai contraignant plutôt qu'une obligation vague de \"diligence raisonnable\". Les organisations européennes qui traitent avec des prestataires américains dépourvus d'obligations de notification comparables devraient en tirer une leçon simple : la conformité de son sous-traitant ne se présume pas, elle se contractualise et se vérifie.

Sources : DataBreaches.net, 20 juillet 2026