CEVA Logistics: datalek chez un prestataire — clients de Bol et De Bijenkorf prévenus

Le 6 août 2026, les enseignes néerlandaises Bol et De Bijenkorf ont informé par e‑mail certains clients qu’un « possible datalek » chez leur prestataire CEVA Logistics pouvait avoir exposé des données personnelles (nom, adresse, code postal, numéro de téléphone). Bol précise que ses propres systèmes ne sont pas touchés et que l’incident se limite à l’exécution de commandes depuis un seul centre de distribution. CEVA a signalé un possible accès non autorisé le 1er août; l’Autoriteit Persoonsgegevens a été notifiée le 3 août. Aucun moyen de paiement, mot de passe ou identifiant ne semble affecté à ce stade, mais des retards/annulations et des suspensions préventives de flux ont été mises en place.

Cadre légal et fondement

• RGPD article 33: notification à l’autorité de contrôle dans les 72 heures après connaissance d’une violation susceptible d’engendrer un risque. La chronologie (1–3 août) suggère un respect du délai.
• RGPD article 34: information des personnes en cas de risque élevé, ce qui justifie les e‑mails du 6 août.
• RGPD article 28: encadrement des sous‑traitants (CEVA) avec obligations de sécurité, d’assistance et de coopération.
• RGPD article 32: mesures techniques et organisationnelles appropriées, notamment gestion des accès et journalisation chez les prestataires logistiques.

Cette affaire illustre un risque typique de la chaîne d’approvisionnement et la nécessité de maîtriser ses sous‑traitants. Pour le contexte réglementaire complet, voir les obligations prévues par le RGPD et leurs délais de notification.

Impacts pour les entreprises luxembourgeoises

• Au‑delà du cœur SI: une part des données client transite par 3PL, transporteurs et entrepôts; la compromission d’un seul site peut déclencher des notifications.
• Responsabilité du responsable de traitement: due diligence, clauses contractuelles, audits, tests, journalisation et délais contractuels sub‑24h pour la remontée d’incident.
• Délais serrés: 72 heures pour l’autorité (art. 33) et « sans retard injustifié » pour les personnes (art. 34).
• Risque opérationnel: retards/annulations et suspensions de flux engendrent des coûts immédiats.

Actions concrètes à entreprendre cette semaine

• Exiger de vos 3PL des engagements écrits sur les délais de notification et la capacité à lister, sous 24 h, les catégories de données et clients/commandes potentiellement affectés; intégrer ces exigences dans les avenants Art. 28.
• Tester votre réponse « supply chain »: scénarios de bascule/suspension de flux, messages pré‑rédigés art. 34 (FR/NL/DE) et matrice de décision pour CNPD/clients; réaliser un exercice sur table de 90 minutes.
• Cartographier finement les traitements logistiques (art. 30) et appliquer la minimisation; imposer des rétentions courtes et des purges vérifiables chez le prestataire.

Pour structurer gouvernance et notifications, vous pouvez vous appuyer sur un mandat DPO certifié orienté conformité et gestion d’incident. Côté résilience opérationnelle, évaluez vos scénarios de bascule via un plan de continuité (BCP/DRP) adapté aux ruptures 3PL.

Sources

• NOS — Bol et De Bijenkorf avertissent les clients d’un possible datalek chez CEVA Logistics
• DutchNews.nl — Bol and De Bijenkorf warn customers of possible data leak

Article generé par la veille réglementaire Luxgap. Pour un accompagnement personnalisé sur ce sujet, contactez-nous.