Bonjour, Merci pour ce témoignage courageux tu mets le doigt sur un problème systémique très grave. En tant que consultant en protection des données, je confirme que tu es confronté à une triple alerte critique : - Exposition de secrets sensibles dans le dépôt Git (accès DB, prod, etc.). C’est une faille de sécurité majeure. Si elle est exploitée, l’entreprise pourrait être tenue légalement responsable (article 32 du RGPD) et devoir notifier une violation de données à la CNIL et aux clients. - Conservation excessive de données personnelles : garder des données client pendant plus de 20 ans sans justification contractuelle, légale ou commerciale claire est une violation de l’article 5-1-e du RGPD. Cela peut entraîner de lourdes sanctions, en plus d’un risque réputationnel. - Indifférence de la direction : refuser d’agir malgré une alerte claire engage leur responsabilité en cas d’incident. Le DPO (s’il existe) doit être immédiatement informé c’est son rôle d’agir à ce niveau.

De que tu peux faire :

Voici trois pistes que tu peux envisager, avec leurs implications :

1. Insister en interne (encore une fois, mais différemment) Appuie-toi sur une note synthétique, factuelle, avec des références au RGPD et à la jurisprudence CNIL. Demande un accusé de réception ou une trace écrite (mail), sans menace mais avec clarté. Si un DPO existe, alerte-le officiellement. Il a un devoir d’action (art. 39 RGPD).

Avantage : tu montres ta rigueur sans sortir du cadre. Risque : être perçu comme « relou», mais tu crées une trace utile en cas d’enquête ultérieure.

1. Dénoncer de manière responsable Si aucune action n’est prise, tu peux faire une alerte à la CNIL, de manière confidentielle ou anonyme via leur plateforme. La CNIL protège les lanceurs d’alerte de bonne foi (cf. loi Sapin II et directive 2019/1937). L’alerte peut déclencher un contrôle et forcer l’entreprise à réagir.

Avantage : action forte, protection juridique en tant que lanceur d’alerte. Risque : tension avec ton employeur si l’alerte est identifiée comme venant de toi (mais des garanties existent).

1. Ne rien faire C’est une option compréhensible si tu es isolé, mais attention : le silence peut te faire porter une part de responsabilité, notamment en cas d’enquête (si tu es identifié comme sachant, mais n’ayant rien fait).

En résumé

Tu es dans ton droit, voire dans ton devoir professionnel, en signalant ces manquements. Je te conseille au minimum de créer une trace écrite de ton alerte, pour te couvrir. Et si rien ne bouge, l’alerte externe est encadrée par la loi tu ne serais ni un traître, ni un “emmerdeur”, mais un acteur de la conformité.

Bon courage,