Effacez vos données chez l'URSSAF —
12 millions de salariés exposés via la chaîne DSN.
Demandez l'effacement maintenant. Il vous faut deux minutes, votre nom et votre email.
Les chiffres affichés ci-dessus (12 millions de salariés, exfiltration via compte partenaire DSN, septembre 2025) sont confirmés par franceinfo et L'Informaticien — l'URSSAF a confirmé l'incident sans diffuser de communiqué grand public.
URSSAF : 12 millions de salariés piratés sans le savoir, parce qu'embauchés dans les 3 dernières années
L'URSSAF a confirmé en septembre 2025 un accès frauduleux via le compte d'un partenaire DSN externe exposant les données d'environ 12 millions de salariés — sans qu'aucun de ces salariés ne se soit jamais directement inscrit auprès de l'URSSAF. La fuite révèle la profondeur de la chaîne DSN (Déclaration Sociale Nominative) : chaque embauche déclarée par votre employeur remonte jusqu'à l'URSSAF, qui devient l'agrégateur invisible de tous les contrats de travail français. Sheeldy envoie cette demande à votre place, gratuitement, au DPO de l'ACOSS / Caisse nationale URSSAF, au titre des articles 17 et 21 du RGPD.
Ce qu'on sait de la fuite URSSAF de septembre 2025
En septembre 2025, l'URSSAF (Caisse nationale, ACOSS) a confirmé un accès frauduleux à des données personnelles de salariés. L'origine technique a été identifiée : un compte de partenaire externe — un sous-traitant utilisateur de la DSN (Déclaration Sociale Nominative) — a été compromis. Ce partenaire disposait d'accès étendus à des données déclaratives, et l'attaquant s'en est servi pour exfiltrer un volume massif d'enregistrements d'embauche.
La DSN est le canal par lequel les employeurs déclarent mensuellement à l'URSSAF les contrats de travail, les embauches et les sorties. L'URSSAF agrège ces flux pour alimenter ensuite l'ensemble du système de sécurité sociale (Assurance Maladie, retraite, Pôle emploi). Concrètement, chaque CDI, CDD ou contrat d'intérim signé en France remonte indirectement jusqu'à l'URSSAF, sans que le salarié n'ait jamais à s'inscrire personnellement nulle part. C'est ce qui explique pourquoi 12 millions de personnes sont concernées sans avoir aucun « compte URSSAF » à leur nom.
La singularité de cette fuite, c'est l'exposition indirecte : la quasi-totalité des personnes touchées n'ont jamais saisi leur identité dans un quelconque formulaire URSSAF. Elles ont simplement signé un contrat de travail dans les trois dernières années. La chaîne DSN — invisible pour le salarié — est devenue le vecteur de fuite, ce qui rend l'exercice du droit à l'effacement particulièrement légitime : les personnes concernées n'ont jamais individuellement consenti à figurer dans cette base.
Quelles données ont fuité ?
L'URSSAF a communiqué la nature des champs touchés via la chaîne DSN compromise. La fuite est limitée aux données déclaratives d'embauche — aucun montant financier, aucun identifiant Sécu, aucun IBAN. La combinaison reste cependant exploitable pour de l'usurpation administrative ciblée.
— Exposées
— Préservées
Ce que Sheeldy demande, et ce que l'URSSAF doit obligatoirement faire
Sheeldy envoie à l'URSSAF une demande RGPD cumulative, c'est-à-dire qu'elle invoque deux articles à la fois pour maximiser ce que vous obtenez :
- Article 17 du RGPD — droit à l'effacement : l'URSSAF doit supprimer les données qu'elle détient sur vous dès lors qu'au moins l'un des motifs s'applique (retrait du consentement, fuite récente questionnant la licéité du maintien, traitement non strictement nécessaire à la mission de service public…).
- Article 21 du RGPD — droit d'opposition : l'URSSAF doit cesser sans délai tout traitement non strictement nécessaire — notamment les transferts vers les partenaires DSN et les utilisations secondaires non directement liées au recouvrement des cotisations.
Ce qui est garanti immédiatement (art. 21) : l'arrêt de tout traitement non strictement nécessaire à la mission de service public — en particulier les transferts vers des partenaires externes au-delà du strict besoin de gestion des cotisations. Ce droit est opposable même à un organisme public.
Ce qui dépend des obligations légales (art. 17) : l'URSSAF est un organisme public de sécurité sociale avec des obligations légales de conservation des données de cotisations sociales — notamment jusqu'à 30 ans pour les calculs de retraite (Code de la sécurité sociale, articles relatifs à la liquidation des droits). L'effacement complet n'est juridiquement possible qu'après extinction de tous les droits sociaux. En pratique, la demande Sheeldy obtient au minimum la limitation du traitement, l'arrêt des transferts vers les partenaires DSN non strictement nécessaires, et la documentation écrite du périmètre de conservation.
L'URSSAF dispose d'un mois pour répondre formellement (article 12.3 RGPD), prolongeable à trois mois sur motivation. Sans réponse à J+30, vous pouvez saisir la CNIL.
Remonter au formulaireQuestions fréquentes — Fuite URSSAF
Suis-je concerné si j'ai été embauché entre 2022 et 2025 ?
Mon employeur est-il informé que mes données ont fuité via lui ?
Cette fuite URSSAF facilite-t-elle l'usurpation pour souscrire un crédit ?
Mon salaire ou mes cotisations détaillées ont-ils fuité ?
Sheeldy envoie-t-il vraiment la demande à l'URSSAF ?
L'URSSAF peut-elle refuser d'effacer mon dossier ?
Responsable de traitement : Sheeldy (sheeldy.com). Finalité : transmettre en votre nom au DPO de Belambra une demande d'effacement et d'opposition à la prospection (articles 17 et 21 RGPD), rédigée à la première personne. Base légale : votre demande explicite via le formulaire (art. 6.1.a RGPD). Destinataires : Belambra (DPO) et, le cas échéant, la CNIL en cas de recours. Durée de conservation : 3 ans pour la trace de la demande. Vos droits sur vos données chez Sheeldy : accès, rectification, effacement, opposition — à exercer auprès de privacy@sheeldy.com. Politique complète : conditions d'utilisation.