Une haute fonctionnaire victime d'un vol dans un bar parisien. Ses appareils contiennent des données sensibles sur plusieurs milliers de détenus. L'enquête débute sur fond d'antécédents dramatiques.
Vendredi 4 septembre, vers 23 h 30, une haute fonctionnaire à la Direction générale de l'administration pénitentiaire a quitté quelques minutes son sac au Hang'Art, établissement du 19e arrondissement parisien, le temps d'une cigarette. À son retour, le sac avait disparu - ordinateur professionnel, téléphone de service inclus. Ce qui aurait pu rester un vol ordinaire a basculé en affaire d'État. Les appareils contenaient vraisemblablement accès à Genesis, le fichier national des détenus - plusieurs milliers de dossiers d'hommes et femmes incarcérés, leurs antécédents pénaux, leurs parcours carcéraux, parfois des données sanitaires.
Le parquet de Paris a saisi lundi la Brigade de répression de la délinquance contre la personne, unité spécialisée dans les affaires sensibles. L'administration pénitentiaire affirme que « toutes les données sont protégées et cryptées » et que « les accès aux appareils ont été désactivés à distance dans les plus brefs délais ». L'angle officiel se résume à cela : l'architecture technique a tenu. Mais reste la réalité que nul ne contredit - les appareils sont ailleurs, et nul ne sait qui les tient.
La DGAP gère 186 établissements pénitentiaires et 103 services pénitentiaires d'insertion et de probation. Genesis est un traitement automatisé de données à caractère personnel dénommé gestion nationale des personnes détenues en établissement pénitentiaire. Genesis a pour finalité la mise en exécution des décisions prises par les autorités judiciaires, la gestion de la vie en détention et la réinsertion des personnes. Ce fichier, mis en œuvre par décret en mai 2014, centralise des informations que la jurisprudence de Luxembourg qualifierait d'ultrasensibles - identités, numéros d'écrou, historiques judiciaires, placements en isolement, statuts disciplinaires. Autant de données qui permettraient à un adversaire de dresser des cartes des vulnérabilités du système carcéral national.
Pourquoi ce bar, cette nuit-là
Au milieu de la soirée, vers 23 h 30, la fonctionnaire est sortie du Hang'Art avec une compagne pour fumer une cigarette. Un peu plus tard, elle s'est rendu compte que son sac n'était plus là. C'est un détail qui passe inaperçu tant il paraît banal. Mais il révèle un mécanisme d'exposition qu'aucune directive interne n'a pu effacer : même les plus hautes fonctionnaires de l'État, actrices de la surveillance massive des populations pénitentiaires, se retrouvent seules avec un ordinateur dans un bar.
Le 19e arrondissement de Paris concentre le plus haut taux de délinquance de la capitale, avec 8 200 infractions pour 100 000 habitants contre une moyenne parisienne de 4 500. C'est le secteur le plus exposé, notamment autour de Stalingrad, Place des Fêtes, Danube, Cité Cambrai et Jaurès. Le Hang'Art se situe au quai de Seine, dans un périmètre où les vols à la sauvette sont fréquents - rues animées, passages rapides, sorties aisées.
Deux éléments doivent être nommés. D'abord : s'agit-il d'un vol opportuniste ou d'une opération ciblée ? Les vols peuvent être ciblés et viser spécifiquement le contenu des matériels volés à des fins d'interception d'information ou d'espionnage industriel, ou bien constituer des vols crapuleux motivés par la valeur marchande des matériels dérobés. Dans les deux cas, les données contenues dans ces supports sont susceptibles d'être détournées à des fins malveillantes. Aucun indice public ne permet de trancher. L'enquête devra l'établir.
Ensuite : qu'est-ce qui légitime une haute fonctionnaire à transporter l'intégralité du gouvernail informatique du système pénitentiaire français en promenade parisienne ? La circulaire officieuse donne la réponse : mobilité professionnelle. Les appareils de l'État sont déplacés. Ils sortent. Ils restent sans surveillance. Ce n'est pas une faute particulière de cette fonctionnaire - c'est un travers structural qui afflige l'administration française depuis deux décennies.
Genesis : sept ans d'accumulation numérique sans garde-fou Le logiciel Genesis, créé par la loi pénitentiaire du 24 novembre 2009, remplace un autre traitement de données, le logiciel GIDE. La généralisation du logiciel a été actée par un décret paru au Journal officiel en juin 2014. Ce qui signifie qu'une base de données couvrant presque une décennie d'incarcérations françaises - avec leurs variations, leurs secrets, leurs fragilités - repose sur un accès segmenté mais très largement distribué.
Le fichier, baptisé "Genesis" (Gestion Nationale des personnes écrouées pour le suivi individualisé et la sécurité), est consultable par le personnel de l'administration mais aussi par le juge d'application de peines. Sur le papier, la segmentation est rigoureuse. En pratique, les autorités judiciaires, les agents du greffe, les commissions d'application des peines, les personnels pénitentiaires en charge de la gestion administrative - plus de cent mille individus au sein de la justice et de l'administration pénitentiaire - possèdent un chemin d'accès documenté.
Des données de cyberattaques ont visé la société DCE Conseil, petite entreprise française travaillant comme prestataire de plusieurs prisons, pour analyser les performances énergétiques de leurs bâtiments. Son activité lui donne accès à des documents confidentiels. France Télévisions a contacté plusieurs centres pénitentiaires pour vérifier l'exactitude des données. Le piratage du système pénitentiaire n'est donc pas une hypothèse abstraite. C'est un précédent.
Il existe aussi un précédent de vol physique. Un ordinateur professionnel contenant des données sensibles a été volé à Mulhouse dans la nuit du 1er au 2 avril, contenant des données liées à l'administration pénitentiaire du centre de Lutterbach. Selon des sources policières, l'ordinateur stockait des identités de détenus et des numéros d'écrou. Il y avait aussi des éléments sur les cellules et certains transferts. C'était en avril 2026, cinq mois avant le vol parisien. Aucun officiel n'a augmenté les garde-fous après Mulhouse.
L'enveloppe technique qui existe sur le papier
L'administration affirme que l'accès aux appareils a été désactivé à distance rapidement. Ce qui signifie : les identifiants ont été révoqués, les sessions administrateur fermées, les chemins d'accès verrouillés côté serveur. C'est effectivement un réflexe qui fonctionne - tant que le voleur ignore comment contourner l'authentification.
En cas de perte ou de vol, seul le chiffrement des données contenues dans votre appareil vous assurera qu'une personne malintentionnée ne pourra pas contourner les codes d'accès et accéder à vos informations. Tous les appareils récents proposent cette option qu'il suffit d'activer dans les paramètres et qui est quasi transparente à l'utilisation. Le gouvernement impose depuis six mois le chiffrement obligatoire pour tous les appareils de l'État ayant un niveau de classification. Genesis étant hautement classifié, l'hypothèse d'un chiffrement à la source n'est pas farfelue - c'est même le standard.
Mais le chiffrement ne crée pas l'invulnérabilité. Verrouiller votre appareil par mot de passe, NIP ou geste ne protègera pas vos données si l'appareil même est saisi. Il est assez facile de contourner de tels verrous, car vos données sont stockées dans l'appareil sous une forme facilement lisible. Un adversaire n'aurait qu'à accéder directement à la mémoire afin de copier ou d'examiner vos données sans connaître votre mot de passe. La technique existe. Elle coûte. Mais elle existe. Les attaques visant les systèmes de l'État ou contenant des données à caractère personnel mises en œuvre par l'État sont aggravées. Cette protection renforcée vise les infrastructures critiques et les données sensibles de l'administration.
Entre les lignes - ce que personne ne dit
Trois questions ne trouvent aucune réponse publique. Première : une haute fonctionnaire de la DGAP se déplace-t-elle normalement avec un accès complet à Genesis en tant que fichier opérationnel ? La réponse technique est oui - elle dirige une partie du service, elle a besoin de consulter des dossiers. Mais la question politique reste suspendue - faut-il que cet accès soit total et permanent, même hors des murs du ministère ?
Deuxième : qu'advient-il du matériel si le voleur passe les appareils à un receleur professionnel, qui lui-même les revend à un groupe structuré ? Les administrateurs présumés de la principale plateforme mondiale de revente de données volées ont été interpellés sur le territoire national en 2026. Les réseaux existent. Les débouchés aussi.
Troisième : pourquoi, cinq mois après le vol de Mulhouse, le ministère de la Justice n'a-t-il modifié ni les protocoles de mobilité des hauts fonctionnaires ni les normes de transport des appareils sensibles ? La DAP a été transformée en direction générale, effective depuis le 1er février 2026. Cette réforme de l'administration centrale vise à doter la nouvelle DGAP de moyens renforcés en matière de renseignement pénitentiaire ainsi que d'une inspection générale. Mais aucune directive spécifique aux vols de matériel contenant Genesis n'a circulé.
Ce que l'administration ne dit pas, c'est que les données compromises à la suite d'un vol physique ouvrent des angles d'attaque que le chiffrement détient seul. APT28, également connu sous les noms de Fancy Bear, Sofacy ou encore Sednit, est un groupe actif depuis au moins 2004 et a été officiellement désigné par l'Union européenne comme émanant du renseignement militaire russe, le GRU. Depuis 2021, APT28 a ciblé diverses organisations françaises, y compris des entités ministérielles, des collectivités territoriales, des secteurs de la défense, de l'aérospatial, de la recherche, et de la finance. Ces campagnes reposent sur des techniques discrètes, comme l'exploitation de failles logicielles. Un ordinateur de hautes fonctionnaires, arraché du réseau ministériel, devient un point d'ancrage pour des analyses hors ligne, une cartographie sans alertes.
Le scénario le plus probable : une identification rapide du suspect
L'enquête peut déboucher sur trois développements de probabilités inégales. Le plus probable : identification rapide d'un suspect mineur ou sans structure organisée. Les vols à la sauvette dans le 19e arrondissement impliquent rarement des opérations préméditées. Si l'auteur est identifié rapidement - caméras, témoins, données télécom - la chaîne de possession de l'ordinateur s'éclairera. Aucun accès aux données ne sera alors établi. C'est le scénario sans séquelle.
Selon les mêmes mois, les enquêteurs pourraient découvrir que l'appareil a été manipulé après vol, que les données ont transité. C'est un saut qualitatif. Il impose une autre enquête - non pas simple vol, mais accès frauduleux à un système automatisé de l'État, délit passible de sept ans d'emprisonnement en droit français. Les signaux à observer : communications entre le parquet et les services de sécurité informatique, divulgation de briefings à niveau ministériel, ou évolution du qualificatif officiel du dossier.
Dernière branche : appareil jamais retrouvé, auteur jamais localisé, données jamais exploitées. L'absence de preuve ne signifie pas l'absence d'exploitation. C'est la forme la plus insidieuse pour l'administration - elle doit gérer un trou noir pendant des années. Les détenus dont les dossiers auraient transité resteraient exposés sans le savoir. Les victimes (dont certains détenus sont eux-mêmes les auteurs) resteraient non informées d'une possible compromission. Les personnels pénitentiaires soupçonnés par les détenus informés deviendraient des cibles. L'effet domino ne se mesure pas aux premières vagues.
Le signal clé sera le timing de la reconstitution publique. Si le parquet de Paris communique un mois après, sur une simple interpellation sans accès établi, cela signifie que l'administration gère déjà le pire en silence. Si la parole tarde, c'est que la chaîne de possession de l'ordinateur pose des problèmes à chaque étape.
GENESIS : L'EPINE DORSALE DES DONNEES PENITENTIAIRES
Genesis a pour finalité la mise en exécution des décisions prises par les autorités judiciaires, la gestion de la vie en détention et la réinsertion des personnes. Le décret détaille de manière exhaustive les catégories de données pouvant être enregistrées. Outre les informations d'identité et de situation pénale, le fichier peut contenir des données relatives à la situation familiale, à la scolarité, à l'activité professionnelle, à la santé.
L'accès à ces données permettra à l'administration pénitentiaire de recueillir des informations permettant la prévention des actes susceptibles de porter atteinte à la sécurité publique et à la sécurité des établissements et des services pénitentiaires, mais aussi d'assurer la surveillance des personnes détenues, des groupes ou organisations et phénomènes précurseurs de menaces.
