Violaciones de datos Francia 2026 – Informe de febrero | PROTECTOR LEGAL

VIOLACIONES DE DATOS EN FRANCIA

Revisión de febrero de 2026: lo que toda organización debe recordar

Por Christelle REYNO — Abogada del Colegio de Abogados de Guadalupe, Saint-Martin y Saint-Barthélemy

DPO certificado CNIL-AFNOR • LEGALPROTECH-AVOCATS • Baie-Mahault, Guadalupe

Lo que exige la ley y lo que revelan estas violaciones

Francia atraviesa una cibercrisis sin precedentes a principios de 2026. Más de un centenar de incidentes denunciados, 60 millones de líneas de datos comprometidas en cuatro semanas y organizaciones públicas entre las primeras víctimas: el panorama es alarmante. Pero más allá de las cifras, lo que nos sorprende, como OPD, es la recurrencia de las mismas causas fundamentales, causas que el RGPD, precisamente, está diseñado para prevenir.

Este artículo analiza las violaciones más notables del período, identificando para cada una lo que podría (y debería) haberse hecho. No se trata de sobrecargar a las víctimas, sino de recordarnos que el cumplimiento del RGPD no es una obligación administrativa: es un sistema de protección cuya eficacia depende enteramente del rigor de su implementación.

Los principios fundamentales que estas violaciones tienen en común

El RGPD establece varios requisitos claros que cada controlador y procesador de datos debe respetar. Las violaciones que se analizan a continuación revelan que estos principios fueron, en la mayoría de los casos, ignorados o aplicados de manera insuficiente:

• Artículo 5 — Principios relativos al tratamiento
• Minimización de datos: recopilar sólo lo estrictamente necesario para la finalidad declarada
• Precisión, integridad y confidencialidad: proteja los datos del acceso no autorizado
• Limitación de retención: no conservar los datos más allá de su vida útil
• Artículo 25 — Protección de datos por diseño
• Diseñar sistemas integrando la protección de datos desde la fase de desarrollo, no en respuesta a un incidente
• Artículo 32 — Seguridad del procesamiento
• Implementar medidas técnicas y organizativas adaptadas al nivel de riesgo: cifrado, autenticación fuerte, control de acceso, pruebas de penetración periódicas
• Artículo 28 — Subcontratistas y corresponsables
• Garantizar contractualmente que los socios, proveedores de servicios y corresponsables ofrezcan garantías de seguridad equivalentes

Tres errores sistémicos que deben corregirse urgentemente

1. “Es el Estado, es nacional, por lo tanto es seguro” — Una presunción peligrosa

Una de las ilusiones más extendidas es la de considerar que una plataforma nacional o interministerial está, por naturaleza, protegida. Las violaciones de FICOBA, DINUM, France Travail y OFB demuestran lo contrario. La “nacionalidad” de un proveedor de servicios o plataforma no constituye ninguna garantía de seguridad. El RGPD no hace distinciones: ya sea que el responsable del tratamiento sea público o privado, francés o europeo, sus obligaciones son idénticas. Trabajar con una plataforma estatal no exime de un análisis de riesgos, de una cláusula de seguridad contractual ni de una verificación de las medidas implementadas.

1. Tener un DPO y “escuchar de verdad”

Varias de las organizaciones víctimas tenían referentes DPO o GDPR. En algunos casos documentados (en particular, France Travail), los análisis de impacto (AIPD) identificaron correctamente los riesgos y recomendaron medidas correctoras. Parece que no siempre se han implementado medidas. La CNIL también lo considera una circunstancia agravante.

Un DPO no es una función de visualización. Su función es alertar, asesorar y apoyar. Cuando sus recomendaciones son ignoradas por la dirección o los departamentos de TI, la organización está expuesta no sólo a una infracción, sino a una sanción agravada. No basta con nombrar un DPO: hay que darle los medios para actuar y comprometerse a seguir sus recomendaciones.

1. Cada institución debe contar con un Gerente de Seguridad de Sistemas de Información (CISO) interno

Las violaciones de este período resaltan un punto ciego crítico: la ausencia, en muchas instituciones públicas y empresas que procesan datos sensibles, de un CISO dedicado con autoridad real y su propio presupuesto. La ciberseguridad no puede gestionarse como una función periférica confiada a un proveedor de servicios externo o absorbida por un departamento de TI ya sobrecargado.

Un CISO interno permite la detección temprana de comportamientos anormales, respuesta rápida a incidentes, implementación continua de políticas de seguridad y diálogo permanente con el DPO. Esta función ya no es opcional: es estratégica.

A continuación se muestra un análisis de ciertas violaciones de febrero de 2026.

CEGEDIM SANTÉ — La traición del campo de comentarios

🔗 Fuente: El Ministerio de Sanidad lo confirma — franceinfo.fr

🔗 Fuente: Decisión CNIL 2024 — cnil.fr

Los hechos

Revelado el 26 de febrero de 2026 durante el programa de las 8 p.m. En la noticia de France 2, esta violación es una de las más graves jamás documentadas en el sector sanitario en Francia. A través de una intrusión en el software MLM (MonLogicielMedical.com), utilizado por 3.800 médicos, el grupo cibercriminal dumpsec habría filtrado los datos de millones de pacientes.

Los datos administrativos expuestos incluyen nombres y apellidos, fechas de nacimiento, direcciones postales y electrónicas, números de teléfono. Para varios miles de pacientes, lo que se exfiltró fueron las anotaciones gratuitas ingresadas por los médicos en los campos de comentarios: información extremadamente privada.

El punto central: las áreas libres de comentarios

Lo que hace que esta violación sea particularmente grave no es tanto el volumen de datos administrativos expuestos (ciertamente considerable) como el contenido de los campos de comentarios gratuitos. Algunos médicos han utilizado estas áreas para registrar información extremadamente confidencial:

• Estado serológico (particularmente VIH)
• Orientación sexual
• Historia de violencia sexual, incesto, violación.
• Antecedentes penales
• Situaciones familiares íntimas
• Datos políticos, religiosos

Figuras políticas destacadas aparecen en esta base de datos. Este campo de “comentarios administrativos”, dejado en texto libre a discreción de cada profesional, se ha convertido en el vector de una violación de una escala e intimidad sin precedentes.

Puntos de vigilancia y recomendaciones

Medida esencial: organizacional y de comportamiento

La medida más decisiva no es técnica: es comportamental. Nunca debes introducir datos sensibles (en el sentido del artículo 9 del RGPD) en campos de texto libre.

Esta regla, que debería enseñarse durante la formación inicial de los profesionales de la salud y recordarse en cualquier política para el uso de software médico, habría sido suficiente para neutralizar la mayor parte del daño. El software puede verse comprometido: lo que no se ingresa no se puede robar.

Los campos de comentarios son espacios funcionales, no archivos médicos. A menudo se benefician de un cifrado no diferenciado, de restricciones de acceso específicas y de control de contenido. Por lo tanto, introducir datos relacionados con la salud, la sexualidad o la religión constituye una violación del RGPD.

Medidas técnicas adicionales para el editor de software

• Cifrado de campos libres en reposo: las anotaciones de texto deben cifrarse individualmente, a diferencia de los datos administrativos estructurados
• Se requiere autenticación multifactor (MFA) para todos los accesos médicos
• Registro y detección de anomalías: las solicitudes anormales en cuentas de médicos pueden activar una alerta inmediata

Cabe recordar que el 5 de septiembre de 2024, la CNIL impuso una multa de 800.000 euros a la empresa por haber tratado datos de salud sin autorización, en el marco de un “observatorio médico”. En este caso los datos deberían haber sido anonimizados y no seudonimizados.

CAF/DINUM — Datos RSA expuestos por la cadena interadministración

🔗 Fuente: FrenchBreaches — Análisis del incidente CAF/DINUM

🔗 Fuente: Declaración oficial CNAF — caf.fr

Los hechos

Revelada el 25 de febrero de 2026, esta violación afecta a los beneficiarios de la Renta Activa Solidaria (RSA). La intrusión no se produjo en los sistemas de la propia CNAF, sino en los de la DINUM -Dirección Digital Interministerial- que constituye el canal de transmisión de datos entre la CAF y los consejos departamentales como parte de la instrucción RSA.

Los datos comprometidos son particularmente sensibles: número de beneficiario, número de seguridad social (NIR), nombre y apellidos, datos de contacto, fechas vinculadas a derechos y deberes. No se vulneraron datos bancarios ni contraseñas, pero la combinación de identidad + NIR + datos de contacto constituye una base suficiente para campañas de phishing e intentos de robo de identidad ultradirigidos.

Puntos de vigilancia y recomendaciones

Una observación preliminar: las comunidades receptoras no tienen otra opción

Hay que decirlo claramente: un consejo departamental que recibe datos RSA vía DINUM no tiene alternativa. DINUM es una infraestructura exigida por el estado: nadie elige usarla, nos conectamos a ella porque así es como está diseñado el sistema. Recomendar a una comunidad que “prefiera una plataforma más segura” sería tan poco realista como aconsejarle que elija otro estado.

El verdadero problema revelado por este incidente es que la propia cadena interministerial no era suficientemente segura. Esta es una responsabilidad que recae en el Estado –en la DINUM y los ministerios interesados– y no en las organizaciones que reciben los datos. Dicho esto, se imponen ciertas obligaciones a todos los actores de la cadena, cualquiera que sea su posición.

Cuál es la responsabilidad de DINUM y el Estado — medidas técnicas

• Cifrado de extremo a extremo de los flujos entre administraciones: los datos en tránsito entre la DINUM y los consejos departamentales deberían haber sido cifrados sistemáticamente; esta es una obligación de seguridad que incumbe al operador de la cadena
• Partición de entornos de transmisión: el acceso comprometido a un nodo de tránsito no debería permitir la extracción de datos claros
• Autenticación fuerte (MFA) obligatoria en todos los accesos a canales interministeriales: medida incluida en la gobernanza de DINUM
• Monitoreo de flujos anormales en tiempo real: un volumen inusualmente alto de solicitudes o exportaciones debería activar una alerta automática

Lo que cada eslabón de la cadena aún puede controlar

• Mapear con precisión los flujos recibidos y transmitidos: incluso sin controlar la plataforma, cada organización debe saber qué datos recibe, de quién y qué hace con ellos; esta es una obligación del registro de procesamiento
• Nunca retransmita datos de la cadena DINUM mediante mensajería electrónica estándar: un correo electrónico es un canal inseguro, incluso internamente, incluso dentro de la administración
• Cuestionan formalmente al Estado sobre las garantías de seguridad de la cadena: una comunidad receptora puede y debe solicitar, en el marco del convenio que la vincula a la CAF o a la DINUM, documentación sobre las medidas de seguridad aplicadas

Lo que impone la ANSSI — para que conste

Para las organizaciones que tienen control sobre la elección de su plataforma de intercambio, fuera de la cadena interministerial impuesta, los requisitos mínimos de seguridad a verificar son los siguientes:

• Cifrado de extremo a extremo de datos en tránsito y en reposo
• Autenticación de dos factores para todos los usuarios
• Trazabilidad completa del acceso: quién, qué, cuándo, desde dónde
• Aislar entornos por nivel de sensibilidad de datos
• Para datos particularmente sensibles: alojamiento en infraestructura calificada SecNumCloud (ANSSI)
• Contrato de subcontratación conforme al artículo 28 RGPD con el operador de la plataforma
• Pruebas de penetración anuales realizadas por un proveedor de servicios calificado

Estos criterios se aplican tanto a plataformas privadas como a herramientas digitales estatales. La calificación pública de una infraestructura no constituye una garantía de conformidad: este incidente lo demuestra.

FICOBA / DGFiP — El archivo bancario nacional comprometido

🔗 Fuente: IT Social — DGFiP confirma exfiltración de FICOBA

Los hechos

El 18 de febrero de 2026, la Dirección General de Finanzas Públicas (DGFiP) reveló que un actor malicioso había accedido ilegítimamente a FICOBA – el Archivo de Cuentas Bancarias Nacionales – usurpando los identificadores de un funcionario con acceso interministerial. La intrusión, activa desde finales de enero de 2026, permitió consultar y extraer datos relativos a 1,2 millones de cuentas bancarias, incluidos los datos bancarios completos (RIB e IBAN), la identidad del titular, la dirección postal y, en determinados casos, el identificador fiscal.

FICOBA es uno de los archivos administrativos más sensibles del Estado: enumera todas las cuentas abiertas en Francia. Un IBAN por sí solo no permite el débito directo, pero combinado con datos de identidad completos constituye una base formidable para el fraude de transferencias, el phishing bancario personalizado o el robo de identidad documental.

Se notificó a la CNIL, se presentó una denuncia y se movilizó a la ANSSI.

Punto de vigilancia y recomendaciones

Medidas técnicas

• Autenticación multifactor obligatoria (MFA): cualquier acceso a un archivo de tal sensibilidad debe estar protegido por un segundo factor de autenticación; una contraseña por sí sola no es suficiente
• Monitoreo del comportamiento en tiempo real: las herramientas de detección de anomalías (volúmenes de acceso inusuales, franjas horarias atípicas, exportación masiva de datos) deberían haber activado una alerta mucho antes de que la intrusión alcanzara los 1,2 millones de cuentas
• Cifrado de los datos extraídos: incluso en caso de acceso ilegítimo, los datos cifrados en origen no se pueden utilizar sin la clave

Medidas organizativas

• Principio de privilegio mínimo: un funcionario público solo debe acceder a los datos estrictamente necesarios para sus misiones; nunca se debe otorgar acceso amplio y permanente a FICOBA sin una justificación operativa documentada
• Revisión periódica de los derechos de acceso: las cuentas interministeriales poco utilizadas son los objetivos preferidos; una revisión trimestral de las autorizaciones activas permitiría detectar y revocar el acceso inactivo o sobredimensionado
• Política de segregación de funciones: ningún agente por sí solo debería tener la capacidad de acceder y extraer masivamente datos de un archivo tan sensible
• Ejercicios de respuesta a incidentes: simule periódicamente escenarios de robo de credenciales para probar la detección y la respuesta del equipo

IDMERIT — La filtración KYC que expone a 53 millones de franceses

🔗 Fuente: Futura Sciences — IDMerit: 53 millones de franceses afectados

Los hechos

Descubierta por Cybernews, esta filtración global es particularmente preocupante para Francia. La base de datos de terabytes propiedad de IDMerit, una empresa especializada en soluciones Conozca a su cliente (KYC), expone mil millones de registros confidenciales que incluyen nombres, direcciones, fechas de nacimiento, números de identificación nacional, números de teléfono y direcciones de correo electrónico.

Francia se encuentra entre los países más afectados con 53 millones de registros. Estos datos son utilizados por empresas para verificar la identidad de sus clientes en los sectores bancario, fintech, seguros, salud y aduanas. La ironía es cruel: una plataforma diseñada para prevenir el fraude se convierte en el vector de un posible fraude a gran escala.

Puntos de vigilancia y recomendaciones

Lo que este incidente revela sobre todo: un riesgo sistémico

Antes de hacer recomendaciones, debemos hacernos una pregunta que mucha gente evita: ¿realmente podemos elegir nuestro proveedor KYC?

La respuesta honesta es: a menudo no. El mercado de verificación de identidad está dominado por un puñado de actores globales y algunos otros. En muchos casos, el proveedor de servicios no lo elige libremente la empresa: lo impone el banco asociado, lo integra en un procesador de pagos (Stripe, Adyen, etc.) o lo integra en un SaaS empresarial. Es posible que la organización cliente ni siquiera sepa que IDMerit se encuentra en algún lugar de su cadena de procesamiento.

Esta concentración del mercado crea una dependencia masiva de actores cuya seguridad nadie (ni los clientes directos ni los reguladores nacionales) controla realmente. Por lo tanto, no se trata tanto de un problema de responsables del tratamiento de datos individuales como de un problema de estructura sectorial. La filtración de IDMerit es reveladora: cuando un solo actor agrega las identidades de 53 millones de franceses, una sola filtración es suficiente para exponer potencialmente a todos los adultos de un país.

¿Cuál es la responsabilidad del regulador y del legislador?

• Fortalecer las obligaciones de seguridad impuestas a los proveedores de KYC en sectores regulados (banca, seguros, salud) a través de autoridades sectoriales (ACPR, AMF) además del RGPD
• Exigir auditorías de seguridad independientes periódicas en las plataformas KYC que operan en el mercado europeo, cuyos resultados se comunicarían a las autoridades supervisoras

Lo que debe garantizar el proveedor de KYC: medidas técnicas

• Control estricto del acceso a la base de datos: una base de datos que agrega las identidades nacionales de miles de millones de personas nunca debe ser accesible sin una segmentación sólida de la red, una lista blanca de direcciones IP autorizadas y una autenticación sólida
• Cifrado diferenciado por categoría de datos: los números de identificación nacional y los datos del pasaporte merecen un mayor nivel de protección que los datos de contacto
• Detección y apagado automático en caso de acceso o extracción masiva: el comportamiento anormal en una base de datos de este tamaño debería desencadenar una alerta e interrupción inmediata
• Pruebas de penetración periódicas y rigurosas, realizadas por proveedores de servicios independientes calificados

Qué pueden controlar aún los responsables del tratamiento

• Mapee con precisión los datos transmitidos en cada cadena KYC: incluso sin controlar al proveedor de servicios, controlamos lo que les enviamos; solo transmitimos los datos estrictamente necesarios para la verificación.
• Identifique si un actor como IDMerit aparece como subcontratista de segundo nivel de su principal proveedor de servicios e inclúyalo en el registro de actividades de procesamiento; esto es una obligación del RGPD, no una opción
• Garantizar, como mínimo, que el contrato con el proveedor directo de KYC contenga la obligación de notificar en caso de infracción, incluso si el derecho a auditar sigue siendo teórico frente a los principales actores
• Prepare un plan de gestión de crisis anticipando una brecha con un proveedor de servicios externo: cuando no puede elegir un proveedor de servicios, al menos puede tener una opción de respuesta

CNRS — Datos de antiguos agentes en libertad

🔗 Fuente: Comunicado de prensa oficial del CNRS — cnrs.fr

🔗 Fuente: KultureGeek — Análisis detallado de violaciones

Los hechos

El 16 de febrero de 2026, el CNRS anunció que había identificado descargas no autorizadas de archivos que contenían datos personales y profesionales de personas pagadas por la organización antes del 1 de enero de 2007. Los datos expuestos son particularmente sensibles: nombres, nombres, fechas de nacimiento, direcciones postales, números de seguridad social y declaraciones de identidad bancaria (RIB).

El servidor comprometido fue aislado y cerrado inmediatamente. Se notificó a la CNIL y a la ANSSI y se presentó una denuncia ante la fiscalía de París. El incidente no se extendió al resto de la infraestructura. Lo que plantea sobre todo la pregunta: ¿por qué a veces todavía se puede acceder a datos de hace casi veinte años en un servidor conectado?

Punto de vigilancia y recomendaciones

Medidas técnicas

• Separación estricta de entornos activos y de archivo: los datos del personal anterior no tienen ningún motivo para residir en los mismos sistemas conectados que los datos del personal actual; deben almacenarse en entornos fuera de línea o estrictamente segregados.
• Cifrado de archivos de recursos humanos en reposo: los archivos conservados con fines legales deben cifrarse, lo que hace que su exfiltración sea inutilizable sin la clave de descifrado
• Control y trazabilidad del acceso a los datos históricos: todo acceso a los archivos debe ser nominativo, justificado y registrado, con alerta automática en caso de comportamiento anómalo

Medidas organizativas

• Política de retención y purga documentada y aplicada de manera efectiva: cada categoría de datos de RR.HH. debe tener un período de retención definido, conocido por los equipos e implementado; los datos de ex agentes no se pueden conservar indefinidamente
• Registro de actividades de procesamiento actualizado: el mapeo de datos históricos de RRHH debe aparecer allí con los períodos de retención asociados y estar sujeto a una revisión anual
• Revisión periódica de servidores y bases de datos: identificar periódicamente datos residuales, olvidados o huérfanos que continúan existiendo sin justificación operativa o legal
• Sensibilización entre los equipos de recursos humanos y TI: un archivo no está menos expuesto que una base de datos activa: su protección merece el mismo nivel de exigencia

CONCLUSIÓN: El cumplimiento del RGPD no es una opción

Las violaciones analizadas en este artículo no son inevitables. Son, para la gran mayoría, consecuencia de incumplimientos predecibles, documentados y evitables. Autenticación insuficiente, campos libres utilizados para introducir información sensible, flujos interadministrativos no seguros, archivado de datos sin duración limitada, subcontratistas insuficientemente verificados: estos defectos vuelven como un leitmotiv.

El RGPD no exige perfección. Impone proporcionalidad: medidas adaptadas al nivel de riesgo. Para las organizaciones que procesan datos de salud, financieros o de población vulnerable, como los beneficiarios de RSA, este nivel de riesgo es alto y se deben tomar medidas en consecuencia.

Francia está pagando ahora el precio de años de inversión insuficiente en ciberseguridad y cumplimiento. La CNIL está intensificando sus controles y sanciones. Las víctimas están comenzando a ejercer sus derechos ante los tribunales. Las organizaciones que no actúan a tiempo están expuestas a un triple riesgo: financiero, reputacional y criminal.

Aún hay tiempo para actuar…