Le 8 septembre 2026, le groupe Rhysida a revendiqué une cyberattaque contre SAD'S Interim, réseau d'agences d'emploi présent en France dans les secteurs de la construction, la logistique et le médical. Les données publiées en preuve incluent des fiches de paie, des contrats de travail, des passeports, des numéros de sécurité sociale (NIR), des relevés bancaires et des documents attestant d'un handicap. Plus de 8 000 travailleurs intérimaires sont potentiellement affectés. Ce cas illustre une vulnérabilité structurelle peu documentée : les agences d'emploi temporaire détiennent, par nature, un concentré de données parmi les plus sensibles que le RGPD reconnaisse.
Pourquoi les agences d'intérim sont des cibles à haute valeur
Un attaquant qui compromise le système d'information d'une agence d'emploi temporaire accède en un seul mouvement à plusieurs typologies de données protégées.
La première est le NIR. En France, le numéro d'inscription au répertoire national d'identification des personnes physiques est régi par l'article 87 du RGPD, renvoyant aux législations nationales, et par l'article 22 de la loi informatique et libertés. Son traitement est soumis à des conditions strictes et sa divulgation expose directement les personnes à des risques d'usurpation d'identité. Un NIR combiné à un état civil complet constitue un document de fraude quasi prêt à l'emploi.
La deuxième catégorie est la donnée de santé et de handicap. Les documents attestant d'un handicap constituent des données de santé au sens de l'article 9 du RGPD, catégories particulières dont le traitement est interdit par défaut sauf dérogation explicite. Dans le contexte de l'emploi, leur traitement est autorisé, mais leur protection impose des mesures de sécurité renforcées. Leur divulgation est directement préjudiciable : discrimination à l'embauche, impact sur la couverture assurantielle, stigmatisation.
La troisième catégorie est le relevé bancaire. Dans le contexte de l'intérim, les coordonnées bancaires sont traitées pour le versement des salaires. Une fois exfiltrées, elles permettent des virements frauduleux et des tentatives d'ingénierie sociale ciblées.
Ces trois catégories réunies — NIR, santé et handicap, données bancaires — définissent une violation à haut risque pour les droits et libertés des personnes concernées. Cette qualification change les obligations qui s'ensuivent.
Ce que le RGPD impose après une telle violation
L'article 33 du RGPD oblige le responsable de traitement à notifier la violation à l'autorité de contrôle compétente — en France, la CNIL — dans les 72 heures suivant la prise de connaissance. Ce délai ne court pas à partir du moment où les données sont exfiltrées : il court à partir du moment où l'organisation a eu connaissance de la violation. La revendication publique de Rhysida, avec publication d'échantillons de données, constitue un moment de prise de connaissance au sens de l'article 33.
L'article 34 va plus loin. Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable de traitement doit également notifier les personnes concernées dans les meilleurs délais. La présence de données de santé, de NIR et de coordonnées bancaires dans les données exfiltrées porte la qualification quasi automatiquement vers le risque élevé. La notification aux individus devient obligatoire, sauf à démontrer que les données étaient chiffrées ou que des mesures ultérieures ont rendu le risque improbable.
Ce double niveau de notification — CNIL et individus — est la mécanique centrale que les équipes doivent avoir préparée. Pour 8 000 personnes, la communication individuelle représente une opération logistique non triviale à conduire sous pression.
La mécanique de double extorsion de Rhysida
Rhysida opère selon une logique de double extorsion devenue standard dans les ransomwares sophistiqués : chiffrement des données côté victime, exfiltration et menace de publication de l'autre. Selon Breachsense, au 1er septembre 2026, le site de publication de Rhysida comptabilisait 295 victimes, dont 54 dans les douze derniers mois. Les délais de sept jours accordés avant publication finale constituent une pression calculée : assez court pour décourager une investigation approfondie, assez long pour créer une illusion de marge de manœuvre.
Ce délai crée un problème spécifique sous le RGPD. Si l'organisation attend le terme du délai avant de notifier — espérant une résolution ou une négociation — elle court le risque d'avoir laissé passer les 72 heures réglementaires sans notification à la CNIL. La CNIL a été claire dans plusieurs décisions récentes : l'incertitude sur le périmètre exact de la violation n'exonère pas de la notification dans le délai. Elle justifie simplement une notification initiale partielle, complétée ultérieurement.
Ce que votre organisation doit préparer
Trois actions concrètes réduisent l'exposition.
La première est la classification de vos données RH. Cartographiez précisément quelles catégories de données personnelles votre organisation détient sur ses salariés et prestataires. Si cette cartographie révèle des données de santé, des NIR ou des données financières directement exploitables, vous disposez d'un périmètre à risque élevé qui impose des mesures de sécurité spécifiques (contrôles d'accès stricts, chiffrement au repos, journalisation des accès) et un plan de notification préparé à l'avance.
La deuxième est le test de votre délai de détection. Rhysida a revendiqué l'attaque contre SAD'S Interim le 8 septembre 2026. Si votre organisation ne dispose pas de mécanismes de détection d'exfiltration de données, votre prise de connaissance peut n'intervenir qu'au moment où l'attaquant rend l'incident public — au moment même où le délai de 72 heures commence à courir. Réduire ce délai de détection est une priorité opérationnelle directement liée à votre capacité à respecter l'article 33.
La troisième est la préparation du processus de notification individuelle. La plupart des organisations ont un processus de notification CNIL. Beaucoup n'ont pas de processus opérationnel pour notifier plusieurs milliers de personnes simultanément. Ce processus inclut la rédaction du message, l'identification des moyens de contact disponibles, la gestion des retours et les réponses aux demandes d'information. Sans ce processus préparé, l'article 34 se transforme en urgence non pilotable au pire moment. L'article sur la coordination des notifications RGPD et NIS2 après un incident décrit les étapes à séquencer pour tenir les délais des deux régimes simultanément.
Le secteur de l'emploi comme angle mort de la gouvernance des données
La plupart des commentaires post-incident portent sur les mesures techniques : chiffrement, segmentation réseau, sauvegarde. Ce sont des prérequis. Mais la spécificité du secteur de l'emploi temporaire est d'ordre juridique autant que technique : les données traitées appartiennent à des catégories qui démultiplient les obligations en cas d'incident. Une organisation qui sait qu'elle traite des données de santé et des NIR doit avoir calibré ses mesures de sécurité et ses procédures de notification en conséquence, avant l'incident, pas en réaction à lui.
L'attaque contre SAD'S Interim n'est pas un cas isolé. Sur l'ensemble de 2026, la France enregistre plus de 87 % de cyberattaques supplémentaires par rapport à l'année précédente (Global Knowledge, juillet 2026). Le secteur RH et intérim n'était pas identifié comme prioritaire dans les plans de sécurité de la plupart des organisations concernées. L'incident de septembre 2026 change ce calcul.