C’est une première : Ledger doit dévoiler sa sanction CNIL non publique

Le 10 octobre 2024, la Commission nationale de l’informatique et des libertés (CNIL) a infligé à Ledger une amende de 750 000 euros. La société, spécialisée dans des clefs de stockage sécurisé de cryptomonnaies, était épinglée pour d’importantes fuites de données survenues au printemps 2020. Une cyberattaque qui a concerné 272 000 fichiers de clients et plus d’un million d’adresses e-mail. Suite à ces brèches, visant à la fois sa base de données marketing et Shopify, l’un de ses sous-traitants, des clients ont subi des campagnes d’hameçonnage conduisant parfois à la perte d’actifs. Les montants en jeu avoisineraient les 10 millions d’euros. Plusieurs ont décidé d’attaquer l’entreprise dès juin 2021. Après l’audience du 1er octobre 2024, le tribunal judiciaire devait rendre son jugement le 4 mars 2025. La sanction CNIL, intervenue dans l’intervalle, a cependant relancé la procédure et retardé la date du délibéré. Plusieurs plaignants ont souhaité obtenir communication de cette décision administrative. L’enjeu ? Mieux matérialiser l’existence des fautes de la licorne française. Dans une série d’ordonnances consultée par l’Informé, le tribunal judiciaire vient de leur donner raison : Ledger, qui s’y opposait, doit bien communiquer au juge de la mise en état cette pièce, pourtant non publique. Une première qui pourrait faire jurisprudence.