Vol de données en centre d’appels : les contrôles à exiger du prestataire

Indore, en Inde. Selon la plainte déposée contre TaskUs, un conseiller du support de Coinbase sort son téléphone et photographie la fiche d’un client affichée à l’écran. Chaque image lui rapporterait 200 dollars. Sur ce plateau, les téléphones sont en principe interdits.

Coinbase a décrit le mécanisme devant la SEC : des personnels de support, payés par des criminels, ont extrait des données clients depuis leur poste. Personne n’a forcé de porte.

Le vol de données en centre d’appels passe ainsi par un accès légitime détourné, pas par une intrusion. Les contrôles utiles se déplacent vers la donnée : ce qu’elle affiche, ce qu’on peut en copier, ce qu’on en journalise.

Cet article reprend ce que les deux affaires établissent vraiment, décrit six scénarios de fuite et leurs contrôles, rappelle les limites que la CNIL fixe à la surveillance des salariés, puis liste les preuves à exiger du prestataire.

Coinbase et TaskUs : ce que les documents établissent vraiment

Trois natures d’information circulent sur cette affaire, et la presse les mélange souvent :

• les faits déclarés par Coinbase à la SEC, estimations comprises ;
• les allégations de la plainte contre TaskUs, tenues pour vraies au seul stade de la requête en irrecevabilité ;
• la décision de procédure du 28 juillet 2026, qui ne juge aucune responsabilité.

Le formulaire 8-K de Coinbase ne nomme ni TaskUs ni l’Inde. Le rattachement vient de la plainte.

Ce que Coinbase a déclaré à la SEC

Le 11 mai 2025, Coinbase reçoit une demande d’extorsion. Dans son formulaire 8-K déposé à la SEC, l’entreprise explique que des personnels de support situés hors des États-Unis ont été payés pour collecter des données depuis leur poste, et que des accès sans besoin métier avaient été détectés dans les mois précédents.

Les données obtenues : identité et coordonnées, quatre derniers chiffres du numéro de sécurité sociale, numéros bancaires masqués, pièces d’identité, soldes et historiques. Ni mots de passe, ni accès aux fonds. Coinbase estimait alors le coût entre 180 et 400 millions de dollars.

Au deuxième trimestre 2025, elle a comptabilisé 306,7 millions de dollars de pertes, un montant trimestriel et non un coût total. Dans un billet du 15 mai, l’entreprise indique que moins de 1 % de ses utilisateurs actifs mensuels sont touchés, refuse la rançon de 20 millions de dollars, durcit ses contrôles d’identité sur les gros retraits et annonce un centre de support aux États-Unis.

Ce que le juge a retenu, et ce qu’il n’a pas jugé

La plainte décrit une interdiction des téléphones « largement non appliquée », 200 dollars par photo pour un salaire annuel d’entrée de 4 000 à 6 000 dollars, des complicités jusqu’aux chefs d’équipe et 300 licenciements en janvier 2025.

Dans sa décision du 28 juillet 2026, le juge Edgardo Ramos rejette quatre demandes (conversion, fraude, contrat implicite, loi californienne sur la vie privée) et en maintient cinq, dont la négligence et la négligence dans l’embauche ou la supervision.

Son motif : il est plausible que TaskUs soit le mieux placé pour protéger ses systèmes et superviser ses salariés. Ces allégations tenues pour vraies ne valent qu’à ce stade, et en droit new-yorkais. Rien à transposer tel quel.

L’enquête de Que Choisir, un dispositif réel mais contournable

Le 20 août 2026, UFC-Que Choisir publie une enquête menée par infiltration sur un site de Concentrix, présenté comme le plus gros centre d’appels de France. Seule la partie publique a pu être lue ici, l’article complet étant réservé aux abonnés.

Le constat tient en deux mots : le dispositif (téléphones interdits, badges, clés biométriques) est « réel », mais son contournement est jugé « facile ». Les entreprises y sont décrites comme « plus démunies » face au vol interne. Aucun vol n’est établi sur ce site, et l’enquête publique ne nomme aucun client.

Le législateur regarde aussi le sujet. Déposée le 7 juillet 2026, la proposition de loi n° 3032 crée un fichier des manquements graves à la probité, limité aux banques mais incluant le personnel mis à disposition par un tiers. Les réseaux bancaires déclarent près de 500 manquements en 2024, pour 40 millions d’euros de préjudice. Le texte n’est pas adopté.

Pourquoi le vol de données en centre d’appels échappe aux défenses classiques

Ni code malveillant, ni intrusion. Un pare-feu, un centre de supervision de sécurité ou une certification ne voient rien d’anormal à ce qu’un conseiller ouvre une fiche : son métier l’exige. Pour mesurer cette limite, voyez ce que couvre un service de détection externalisé : il ne repère pas une consultation légitime.

Le Comité européen de la protection des données, dans son cas n° 08 consacré à un salarié qui copie des données clients pendant son préavis, juge ce type de violation sans doute le plus difficile à prévenir.

Calcul ExternFlow sur les chiffres allégués : 20 à 30 photos valent un an de salaire d’entrée. À ce tarif, une clause de confidentialité ne pèse pas lourd.

Coinbase avait repéré les accès anormaux des mois avant l’extorsion. Elle a vu, sans empêcher. La leçon tient en une ligne : surveiller la donnée, pas le conseiller.

Six scénarios de fuite et les contrôles qui y répondent

La matrice ci-dessous est une synthèse ExternFlow, construite à partir des lignes directrices du CEPD, du guide de la CNIL, de la norme PCI DSS et du guide d’hygiène de l’ANSSI. La dernière colonne cite des faits déclarés ou des allégations, jamais des fautes jugées. P désigne le prestataire, DO le donneur d’ordre.

Trois enseignements s’en dégagent. La prévention la plus efficace tient souvent au paramétrage de l’outil du donneur d’ordre, pas au règlement intérieur du site. Une interdiction physique seule ne protège pas d’une photo.

Départs et superviseurs restent les angles morts. Chaque départ est une révocation à prouver et un préavis à surveiller, d’autant plus fréquent que la rotation des conseillers chez un prestataire de centre d’appels est élevée.

Réduire ce qu’un conseiller voit et peut emporter

Premier réglage : le masquage par défaut des IBAN, pièces d’identité et historiques, avec un dévoilement motivé et journalisé, comme le recommande le CEPD. Deuxième réglage : une consultation liée à un contact en cours, impossible hors dossier ouvert.

Le poste de travail virtualisé (VDI) bloque copie, impression et ports. Si des cartes bancaires transitent, PCI DSS v4.0.1 limite l’affichage au BIN et aux quatre derniers chiffres sauf besoin métier (exigence 3.4.1) et impose d’empêcher la copie du numéro par accès distant (3.4.2). Une nuance compte : un téléphone photographie tout, et seul le masquage réduit le butin.

Détecter la consultation sans motif avant la revente

Quatre alertes suffisent pour commencer : consultation sans interaction client, volume anormal, accès hors horaires, dévoilements répétés sur des comptes à forte valeur. Encore faut-il savoir qui les lit, et sous quel délai.

Un recoupement simple, proposé par ExternFlow : rapprocher les fraudes signalées par vos clients des conseillers qui ont ouvert leur fiche dans les semaines précédentes. La CNIL recommande de conserver les journaux de 6 mois à 1 an glissants, assez pour remonter ces chaînes. Un outil de prévention des fuites de données (DLP) complète, sur le poste, ce contrôle par les journaux.

Lutter contre la fraude interne sans enregistreur de frappe ni captures d’écran

La tentation existe : tout enregistrer. Le droit français la limite.

Un enregistreur de frappe (keylogger) capte tout ce que le salarié tape au clavier. Pour la CNIL, dans sa page mise à jour le 9 juillet 2026, ce dispositif est disproportionné, et une surveillance constante est excessive. L’employeur informe les salariés au préalable et consulte le CSE dès 50 salariés.

Dès 2019, la CNIL jugeait disproportionnées les captures d’écran couplées aux enregistrements d’appels pour prévenir la fraude. Le 19 décembre 2024, elle a sanctionné de 40 000 euros une entreprise dont le logiciel prenait des captures d’écran de ses salariés toutes les 3 à 15 minutes.

La journalisation des frappes évoquée dans la plainte américaine ne s’importe donc pas. Celle des consultations, que la CNIL recommande, reste l’outil le plus solide. Sur un site offshore, le droit local s’applique : toute clause de contrôle du personnel du prestataire passe par un juriste.

Le principe d’une exigence toujours adossée à une preuve vaut ici comme en modération : voyez les exigences associées à une preuve dans la modération externalisée.

Répartir les contrôles entre le prestataire et le donneur d’ordre

Le RGPD charge les deux parties. L’article 32 impose à chacune des mesures de sécurité adaptées, et son paragraphe 4 exige que toute personne agissant sous leur autorité ne traite les données que sur instruction. Pour le sous-traitant au sens de l’article 28, le contrat prévoit la confidentialité des personnes autorisées (paragraphe 3 b) et les audits (paragraphe 3 h).

Le plafond d’amende de l’article 83, paragraphe 4, vaut pour les deux : 10 millions d’euros ou 2 % du chiffre d’affaires mondial. En pratique, le partage se fait comme suit :

• le donneur d’ordre porte l’outil, les champs affichés, l’export des journaux et la revue des actions des superviseurs ;
• le prestataire porte le site, les postes, l’encadrement et les engagements signés par les conseillers ;
• les deux portent l’exercice d’alerte et l’enquête après incident.

Au contrat, quatre points : un délai d’alerte chiffré, un droit d’audit inopiné, le signalement des départs pour manquement et une garantie. Le 8-K de Coinbase évoque des demandes d’indemnisation. La mesure 3 du guide d’hygiène de l’ANSSI, consacrée à l’infogérance, recommande de formaliser ces exigences dans un plan d’assurance sécurité.

Les preuves d’audit à exiger du prestataire avant et pendant le contrat

Une interdiction se prouve par ses écarts constatés. Un règlement affiché ne démontre rien, alors qu’une interdiction appliquée laisse des traces datées : écarts relevés, rappels, sanctions.

Les fréquences du tableau sont des propositions ExternFlow, à négocier. Seules la conservation des journaux et la revue au moins annuelle des habilitations viennent de la CNIL. Elles complètent la grille d’audit d’un prestataire avant un projet pilote, qui sert à choisir ; ces preuves servent à vérifier en continu.

Huit pièces qui prouvent un contrôle, pas une intention

Les pièces 1, 3 et 4 portent sur l’outil, les pièces 5 et 6 sur le site, les pièces 2, 7 et 8 sur l’organisation. Une pièce introuvable sous 48 heures est déjà un signal, selon la lecture d’ExternFlow.

Le test inopiné, seule preuve d’application réelle

Trois tests sans préavis donnent la mesure : extraire les journaux d’un jour tiré au sort, faire le tour du plateau en visioconférence pendant un pic d’appels, tenter de copier un champ masqué depuis un poste. L’affaire TaskUs, telle que la plainte la décrit, montre ce que vaut une règle jamais testée.

Le fondement existe : l’article 28, paragraphe 3 h), du RGPD prévoit audits et inspections, et la mesure 38 du guide de l’ANSSI recommande des contrôles réguliers suivis d’actions correctives.

Notification sous 72 heures : le vrai délai se joue chez le prestataire

L’article 33 du RGPD fixe deux délais. Le responsable du traitement notifie la CNIL 72 heures au plus tard après avoir pris connaissance de la violation, si possible. Le sous-traitant, lui, l’en informe dans les meilleurs délais, sans attendre d’avoir évalué le risque.

Selon les lignes directrices WP250, le responsable est en principe réputé informé dès l’alerte du prestataire. Le goulet se situe donc chez ce dernier : le temps qu’il met à qualifier un comportement suspect avant de prévenir son client.

D’où deux mesures : un délai d’alerte chiffré au contrat (ExternFlow propose 24 heures) et un exercice chronométré chaque année. La CNIL admet une notification en deux temps quand l’enquête n’est pas terminée.

Si le risque est élevé, l’article 34 impose d’informer les personnes concernées. C’est souvent le cas après une fuite de fiches clients, car les victimes sont ensuite démarchées par de faux conseillers. Sous NIS2, la clause de notification d’incident exigée des sous-traitants complète ce dispositif.

Le prochain audit doit porter sur la donnée affichée, pas sur le badge

Badges, clés biométriques et interdictions gardent leur utilité. Mais aucun des cas documentés ne s’est joué sur eux.

Avant le prochain comité de pilotage, demandez une journée de journaux de consultation et le paramétrage du masquage. Ces deux pièces disent en une heure ce que des mois de questionnaires taisent.

La proposition de loi n° 3032, même limitée aux banques, signale que le vol interne sort du registre des faits divers. Transmettez la liste des huit preuves à votre prestataire avant la prochaine revue de sécurité, et abonnez-vous à La lettre ExternFlow pour suivre l’affaire TaskUs.

Sources et références

Cet article s’appuie notamment sur le formulaire 8-K déposé par Coinbase à la SEC le 15 mai 2025, son rapport trimestriel 10-Q au 30 juin 2025 et la décision Estrada v. TaskUs du tribunal fédéral de New York. Le cadre juridique repose sur le chapitre IV du RGPD publié par la CNIL, le guide de la CNIL sur la sécurité des données personnelles, ses recommandations sur le contrôle de l’activité des salariés, les lignes directrices du CEPD sur la notification des violations, les lignes directrices WP250, le guide d’hygiène informatique de l’ANSSI et la bibliothèque documentaire du PCI Security Standards Council. Le contexte français s’appuie sur la proposition de loi n° 3032 et sur l’enquête de UFC-Que Choisir, réservée aux abonnés.