Fuite de données au PCF : un même pirate revendique aussi LFI et Renaissance, qui démentent

Entre le vendredi 23 et le dimanche 25 octobre 2026, un pirate se présentant sous le pseudonyme ChimeraZ a revendiqué la récupération de données de trois partis politiques français : le Parti communiste français (PCF), La France insoumise (LFI) et Renaissance. Seul le PCF reconnaît une fuite, qui porte sur son fichier des adhérents et sympathisants ; les deux autres partis démentent toute intrusion. Pour un DPO, l'épisode réunit des données sensibles, une ampleur invérifiable et un démenti fondé sur le caractère « public » des données.

Ce qui s'est passé

Dans un communiqué diffusé le vendredi 23 octobre au soir, le PCF indique avoir été alerté par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et avoir « immédiatement engagé la sécurisation de ses systèmes, de ses outils informatiques et de ses bases de données ». Selon Le Parisien, le parti précise qu'« à ce stade des investigations, aucune donnée bancaire n'a été compromise », que des investigations sont menées « en lien avec l'Anssi et les autorités compétentes » et qu'il va déposer plainte. Le quotidien ajoute que la CNIL a été « notifiée ».

Le PCF n'a pas donné le nombre de personnes concernées. Le pirate revendique, d'après Next, des données sur 190 000 personnes : noms, prénoms, adresses postales, adresses e-mail et numéros de téléphone. Next rappelle que les pirates agrègent souvent plusieurs sources pour gonfler les volumes : la part issue des systèmes du PCF reste inconnue. Selon Le Parisien, le fichier aurait été mis en vente le samedi 24 octobre.

Le même samedi, ChimeraZ a diffusé un fichier présenté comme issu des outils de LFI. Cyberattaque.org compte 1 270 096 lignes revendiquées, surtout des points d'adresse de la Base Adresse Nationale liés à des campagnes de porte-à-porte, mais aussi 12 959 enregistrements de passages qui peuvent porter le nom ou le pseudonyme du militant qui les a saisis. Le coordinateur de LFI, Manuel Bompard, affirme qu'« aucune donnée personnelle de membres de la France insoumise n'a été divulguée au-delà de celles déjà disponibles publiquement (contacts d'événements par exemple) ». Le Parisien indique pourtant avoir constaté des numéros et des e-mails de militants dans les extraits consultés.

Au cours du même week-end, le pirate a revendiqué un fichier de 4,1 millions de lignes attribué à Renaissance. Le dimanche 25 octobre, la direction du parti a déclaré au Parisien que ses « vérifications ne montrent aucune intrusion » et que les éléments « correspondent à des informations publiques, soit disponibles via l'Insee, soit affichées sur notre plate-forme militante, consultables publiquement. Ils semblent avoir été collectés par extraction automatisée de ces pages ».

Pourquoi c'est important

Un fichier d'adhérents et de sympathisants révèle par nature des opinions politiques, l'une des catégories particulières de données de l'article 9 du RGPD. Leur traitement est interdit par principe, sauf exception, dont celle du 2.d) qui vise les organismes à finalité politique pour leurs membres et les personnes en contact régulier avec eux. Une violation sur ce type de fichier est susceptible d'engendrer un risque élevé, seuil de la communication aux personnes concernées prévue par l'article 34, en plus de la notification à la CNIL dans les 72 heures de l'article 33. Le guide Leto sur les données sensibles détaille ce régime.

Le démenti de LFI et de Renaissance se lit aussi avec précision : qu'une donnée soit consultable publiquement ne la fait pas sortir du RGPD. Un nom associé à une action militante reste une donnée personnelle au sens de l'article 4, et peut révéler une opinion politique. Le champ politique n'échappe pas au contrôle : l'autorité de Berlin a récemment constaté une violation du RGPD par quatre partis allemands pour du microciblage sur Facebook.

Ce que ça change pour les organisations

• Repérer dans le registre les traitements qui portent, même indirectement, des catégories particulières de données, et vérifier que leurs mesures de sécurité suivent.
• Prévoir dans la procédure de gestion des violations la revendication non confirmée : qui qualifie l'incident, sur quels échantillons, en combien de temps.
• Documenter l'analyse même en cas de démenti : l'article 33.5 impose de consigner toute violation, et une conclusion « pas d'intrusion » doit reposer sur des éléments vérifiables.
• Évaluer l'exposition des pages consultables sans authentification : aspirées en masse, elles peuvent être présentées comme une fuite.
• Analyser les échantillons publiés avant de démentir. Le guide Leto sur la réaction à une violation de données reprend les étapes.

Ce que Leto en pense

Une violation se gère autant par la preuve que par la technique. L'annexe A d'ISO/IEC 27001:2022 en fait des mesures à part entière : préparer la gestion des incidents (A.5.24), apprécier les événements (A.5.25), y répondre (A.5.26) et collecter les preuves (A.5.28). Face à une revendication, l'organisation qui a cartographié ses traitements sensibles et écrit sa procédure de qualification répond vite et sur pièces. Leto tient déjà la partie RGPD de votre SMSI, registre et violations compris : voir comment en démo.

Sources

• Next, « Un pirate affirme avoir récupéré des données de trois partis politiques », 27 octobre 2026
• Le Parisien, « Fuite de données : le Parti communiste et la France insoumise visés, des informations sur des militants LFI concernées », 24 octobre 2026
• Le Parisien, « Un hacker revendique une fuite de 4,1 millions de données chez Renaissance, le parti dément toute intrusion », 25 octobre 2026
• Cyberattaque.org, « La France insoumise : 1,27 million de lignes issues de ses outils de campagne diffusées par un hacker », 24 octobre 2026