PVCP : 1,6 million de réservations exposées chez Maeva — la rétention dix ans en cause

Pierre & Vacances-Center Parcs (PVCP) a confirmé vendredi 15 mai 2026 une fuite de données affectant 1,6 million de réservations sur la plateforme « La France du Nord au Sud », filiale de Maeva & Co. Le groupe a déposé plainte contre X et notifié la CNIL. L'historique des données exposées remonterait jusqu'à dix ans — un signal d'alerte qui rappelle aux DPO que la rétention excessive devient toxique au moindre incident.

Ce qui s'est passé

Le 14 mai 2026, PVCP indique avoir été informé d'un « incident de sécurité ayant conduit à l'exposition de certaines données personnelles avec un historique potentiel pouvant remonter à dix ans ». L'attaque ne vise ni Pierre & Vacances ni Center Parcs en direct : elle frappe une filiale, La France du Nord au Sud, rattachée à la marque Maeva & Co. 1,6 million de réservations sont concernées, sans précision sur le nombre exact de personnes physiques touchées.

Les données exposées sont les suivantes : numéro de réservation, dates et lieu de séjour, noms des occupants de l'hébergement, numéros de téléphone et dates de naissance. PVCP affirme qu'« aucune donnée bancaire ni adresse e-mail » n'a été collectée par l'attaquant. Le groupe a déposé plainte contre X et notifié la CNIL — deux réflexes attendus au titre de l'article 33 du RGPD, qui impose à tout responsable de traitement de signaler la violation à l'autorité de contrôle dans un délai de 72 heures.

Pourquoi c'est important

Au-delà de l'incident lui-même, trois éléments doivent retenir l'attention des DPO et RSSI.

1. Une rétention de dix ans est rarement justifiée pour des réservations touristiques. L'article 5.1.e du RGPD impose une limitation de conservation : les données ne peuvent être gardées sous forme identifiante que le temps nécessaire à la finalité. Pour une réservation de séjour, 3 à 5 ans (en lien avec les obligations comptables et la prescription civile) suffisent dans l'écrasante majorité des cas. Une base de dix ans transforme une faille technique limitée en exposition massive — le « blast radius » de l'incident est démultiplié par chaque année de données gardées sans raison.

2. La structure « marque mère / filiale / plateforme » brouille les responsabilités. PVCP communique au nom du groupe mais précise que la faille touche La France du Nord au Sud, filiale de Maeva & Co. Pour les personnes concernées, ce maquis juridique complique l'exercice des droits. Pour les autorités, il pose la question classique du responsable de traitement vs sous-traitant — un terrain où les contentieux récents sur les fuites côté sous-traitant montrent que la responsabilité remonte presque systématiquement à la maison mère.

3. Le combo « nom + téléphone + date de naissance + dates de séjour » est un kit de phishing ciblé prêt à l'emploi. Pas besoin de données bancaires : avec ces éléments, un attaquant peut industrialiser des SMS ou appels frauduleux usurpant un service client de réservation. C'est exactement le scénario qui s'est joué sur Booking.com en avril 2026 et qui justifie une notification individuelle au titre de l'article 34 du RGPD.

Ce que ça change pour les organisations

Trois actions concrètes s'imposent pour tout DPO qui lit cette actualité avec un œil sur sa propre organisation.

Auditer les durées de conservation dans le registre des activités de traitement. Identifier les bases « historiques » qui n'ont plus de finalité active et appliquer une politique de purge ou de pseudonymisation. La démarche de réaction à une violation commence en réalité bien en amont, par cette hygiène de rétention.

Cartographier les sous-traitants et filiales qui détiennent ou traitent vos données clients. Vérifier que chaque entité a un contrat conforme à l'article 28 et que les obligations de notification croisée sont explicites : qui prévient qui, dans quel délai, avec quels éléments minimaux ?

Préparer un kit de communication « notification article 34 » prêt à dégainer. Le RGPD impose une information claire, individuelle et rapide quand le risque pour les droits et libertés est élevé. Un modèle pré-validé par le juridique et la communication évite la panique. Pour les particuliers eux-mêmes potentiellement concernés, Leto a publié un guide des démarches à effectuer en 72 heures après une fuite.

Ce que Leto pense de cette décision

Au stade actuel, PVCP semble cocher les cases formelles (plainte, notification CNIL, communication publique). Mais l'élément le plus parlant de cette affaire n'est pas la faille — c'est la profondeur historique des données exposées. Garder dix ans de réservations touristiques sans justification documentée, c'est créer soi-même la sévérité de l'incident le jour où il survient. La conformité ne se joue pas le jour de la notification : elle se joue dans les arbitrages de rétention faits trois ans plus tôt, quand personne ne regarde.

Sources : Le Monde — Fuite de données chez Pierre et Vacances-Center Parcs · BFM TV — Plainte déposée par PVCP · France Info — Cyberattaque sur une filiale Pierre & Vacances