L'autorité norvégienne de protection des données, la Datatilsynet, a constaté un nombre record de notifications de violations de données personnelles résultant d'attaques intentionnelles durant le premier semestre 2026.

L'autorité a reçu 282 notifications de ce type entre janvier et juin 2026, en forte augmentation par rapport aux 103 notifications enregistrées sur la même période en 2025. Ce chiffre représente un record depuis que cette catégorie est suivie en 2023. Cette hausse est principalement attribuée aux attaques visant la chaîne d'approvisionnement, où une seule cyberattaque contre un fournisseur de services affecte de multiples entreprises clientes. Des cas concrets ont été cités, comme l'attaque d'une plateforme d'apprentissage ayant exposé les données d'employés et d'étudiants de plusieurs établissements, ou celle d'un prestataire du secteur du tourisme ayant conduit à de nombreuses notifications de la part d'hôtels.

Il est rappelé que même en cas d'attaque visant un fournisseur, chaque entreprise cliente demeure responsable de la notification de la violation à l'autorité. En effet, les conséquences d'une violation peuvent varier considérablement d'une entreprise à l'autre en fonction des finalités du traitement et des types de données stockées. Cette responsabilité découle de l'article 28, paragraphe 1 du RGPD, qui impose au responsable du traitement de ne faire appel qu'à des sous-traitants offrant des garanties suffisantes. Pour accompagner les organisations, la Datatilsynet, en collaboration avec d'autres organismes norvégiens, a publié des recommandations sur la "Gestion de la sécurité de l'information et de la protection des données personnelles : acquisitions et gestion des fournisseurs".