--- title: "La deuda técnica del Estado: una quiebra organizada" subtitle: "Crónica de una hemorragia de datos personales" meta_title: "La deuda técnica del Estado francés: una quiebra organizada" meta_description: "Filtraciones masivas, parches con años de retraso, ministros efímeros: cómo la deuda técnica del Estado mina la confianza en su identificación digital." date: 2026-08-18 author: JAS theme: "Cybersécurité" keywords: ["fugas de datos", "deuda técnica", "ciberseguridad", "soberanía digital", "Estado"] image: https://ik.imagekit.io/l2lkwahet/199A/_fuites-donnees-france-dette-technique-etat_L41HvzvJj.jpg slug: la-deuda-tecnica-del-estado-una-quiebra-organizada status: published faq: [{"q":"¿Qué es exactamente la \"deuda técnica del Estado\" que describe el artículo?","a":"El artículo la define como una deuda técnica acumulada, documentada, conocida y nunca saldada, y no como un simple golpe de mala suerte. En las administraciones públicas francesas persisten vulnerabilidades identificadas y a veces corregidas por el editor desde hace años, con retrasos de parches que pueden alcanzar cinco, siete o diez años. Se trata de decisiones presupuestarias y políticas repetidas que sacrifican la securización de los sistemas de información en beneficio de la puesta en producción rápida de servicios digitales de escaparate."},{"q":"¿Por qué las filtraciones de datos ya no son incidentes aislados y qué las hace peligrosas?","a":"Porque la amenaza se ha vuelto estadística, industrial y acumulativa: cada nueva filtración enriquece un grafo de datos ya colosal. Correlacionando fragmentos aparentemente anodinos (fecha de nacimiento, número de seguridad social, IBAN, identificador de France Travail) entre filtraciones como las de France Travail, DGFiP, Viamedis, Free o la ANTS, un actor malicioso puede reconstituir una identidad completa, coherente y verificable en apariencia. Bastan tres fuentes comprometidas para perfilar, apuntar y manipular a millones de ciudadanos en estrategias de influencia o de fraude a gran escala."},{"q":"¿Cuáles son las cifras y fechas clave que documentan esta hemorragia de datos en Francia?","a":"En 2024 la CNIL registró 5.629 notificaciones de violaciones de datos (+20% en un año) y en 2025 alcanzó 6.167 (+9,5%), con cerca de 80 incidentes que afectaron a más de un millón de franceses en dos ejercicios. Entre los casos citados: France Travail (marzo de 2024, hasta 43 millones de demandantes, 36,8 millones de expedientes comprometidos y multa de 5 millones de euros en enero de 2026), Viamedis y Almerys (enero-febrero de 2024, más de 33 millones de asegurados), Free y Free Mobile (octubre de 2024, 19 a 24 millones de abonados y 5,11 millones de IBAN, con multa récord de 42 millones de euros en enero de 2026) y la ANTS (abril de 2025, cerca de 12 millones de cuentas). En total, más de 145 millones de registros han filtrado desde 2023 solo en servicios públicos, salud, telecomunica…"},{"q":"¿Qué responsabilidad tiene el Estado francés y qué dice el RGPD sobre la notificación de estas violaciones?","a":"La obligación de notificación no se detiene en las puertas de la administración: el artículo 33 del RGPD obliga a todo responsable de tratamiento a notificar una violación con riesgo para los derechos y libertades en un plazo de 72 horas, y el artículo 34 exige informar a las personas afectadas cuando el riesgo es elevado. La Ley Informática y Libertades retoma explícitamente esta exigencia para el Estado y los organismos públicos. Sobre el caso DGFiP, el artículo precisa que no es exacto afirmar que el Estado se habría sustraído a la notificación, ya que la CNIL escribe literalmente que fue notificada de las violaciones y que el ministerio informará individualmente a las personas afectadas."},{"q":"¿Qué consecuencias tiene esta situación para la confianza en el sistema nacional de identificación digital?","a":"El artículo sostiene que ya no se trata de exponer la vida privada de un particular, sino de que la credibilidad de todo un sistema nacional de identificación digital se desploma filtración tras filtración. El viraje es cualitativo: una identidad sintética construida a partir de fragmentos auténticos es infinitamente más difícil de detectar que un fraude burdo, y permite usurpación metódica, selección de perfiles vulnerables y campañas de influencia creíbles. El caso DGFiP agrava el cuadro porque toca el núcleo fiscal y catastral del Estado, alimentando escenarios de fraude dirigido, spear phishing y usurpación administrativa con alta verosimilitud."},{"q":"¿Cómo puede 199A Consulting ayudar a una organización a enmarcar y ejecutar frente a esta deuda técnica y estos riesgos de ciberseguridad?","a":"199A Consulting acompaña a las organizaciones como socio de confianza, empezando por el encuadre estratégico: auditoría, gobernanza y gestión de riesgos para identificar la deuda técnica, priorizar la remediación y alinear las decisiones presupuestarias con la seguridad por diseño. En la ejecución, intervenimos en arquitectura, construcción, integración y formación, con más de 20 años de experiencia y una exigencia constante de soberanía digital. Para enmarcar o ejecutar su estrategia frente a estos riesgos: business@199a.agency"}] --- Una fecha de nacimiento, un número de la seguridad social, un IBAN, una dirección, un identificador de France Travail. Tomados de forma aislada, cada uno de estos fragmentos parece anodino. Correlacionados entre sí, cruzados entre las filtraciones de France Travail, DGFIP, Viamedis, Free o la ANTS, se convierten en la materia prima de una industria de la falsificación. Un actor malicioso que disponga de suficientes conjuntos de datos puede hoy reconstituir una identidad completa, coherente y verificable en apariencia. Bastan para abrir un crédito, usurpar una cuenta administrativa o alimentar un perfil sintético hecho a medida para una operación de ingeniería social dirigida. La amenaza se ha vuelto estadística, industrial, acumulativa: cada nueva filtración enriquece un grafo de datos ya colosal, donde recopilar tres fuentes comprometidas basta para perfilar, apuntar y manipular a millones de ciudadanos en estrategias de influencia o de fraude a gran escala. Ya no se trata de exponer la vida privada de un particular. Es la credibilidad de todo un sistema nacional de identificación digital la que se desploma, filtración tras filtración, sanción tras sanción, comunicado de crisis tras comunicado de crisis. ## Una crónica que ya no debería sorprender a nadie Hay que decirlo con la frialdad de las cifras, porque la indignación por sí sola ya no basta. En 2024, la [CNIL registró 5.629 notificaciones de violaciones de datos](https://www.cnil.fr/fr/violations-de-donnees-personnelles-bilan-de-5-annees-de-rgpd), un 20% más en un año. En 2025, el contador vuelve a dispararse: 6.167 violaciones notificadas, un 9,5% más, con cerca de 80 incidentes que han afectado a más de un millón de franceses en los dos últimos ejercicios, es decir, una duplicación en un año del número de ataques masivos. Francia se ha convertido, en el primer semestre de 2025, en el país europeo más afectado y el segundo del mundo por detrás de Estados Unidos, con 1,8 millones de cuentas comprometidas entre enero y junio. fuites-de-donnees-en-france-trajectoire-hors-de-controle El catálogo de siniestros públicos es sencillamente estremecedor. France Travail, en marzo de 2024, expone hasta 43 millones de demandantes de empleo, reteniendo finalmente la CNIL 36,8 millones de expedientes comprometidos, sancionados con una multa de 5 millones de euros en enero de 2026 por un sistema de información deficiente, cuando el mismo operador ya había sido afectado en 2023. Viamedis y Almerys, operadores del pago delegado sanitario, entregan en enero-febrero de 2024 los datos de más de 33 millones de asegurados: estado civil, número de la seguridad social, garantías del contrato. Free y Free Mobile, en octubre de 2024, dejan escapar los contratos de cerca de 19 a 24 millones de abonados, de los cuales 5,11 millones de IBAN, lo que le valió al operador una multa récord de 42 millones de euros en enero de 2026. La Agencia Nacional de Títulos Seguros (ANTS), portal soberano por excelencia, ve cerca de 12 millones de cuentas afectadas en abril de 2025. A finales de 2025, se suman a la pila 16 millones de jóvenes seguidos por las misiones locales y 15 millones de expedientes médicos a través de Cegedim. En total, más de 145 millones de registros han filtrado desde 2023 solo en los servicios públicos, la salud, las telecomunicaciones y el comercio, es decir, varias violaciones por residente francés. La propia INSEE, guardiana estadística de la nación, ha visto expuestos a 12.800 agentes. Incluso el Museo Nacional de Historia Natural quedó paralizado por un ciberataque en 2025. Según la ANSSI, los ministerios y las colectividades territoriales concentran por sí solos el 24% de los incidentes de seguridad tratados en 2025, junto con la educación y la salud. Adición necesaria a este cuadro ya abrumador: la [DGFiP reconoció en agosto de 2026 una nueva violación de datos](https://cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours) que afecta a su sistema de información. La CNIL indica que un tercero pudo consultar y extraer informaciones relativas a particulares y profesionales, entre ellas datos fiscales, como el ingreso fiscal de referencia, el cociente familiar y la tasa de retención en la fuente, así como datos catastrales, como las direcciones y las superficies de bienes inmuebles. Para las empresas, se mencionan también el SIREN y la razón social. Después, el balance público se precisó. Según los elementos recogidos por [*Le Monde*](https://www.lemonde.fr/pixels/live/2026/08/18/en-direct-piratage-du-site-des-impots-le-gouvernement-detaille-les-trois-fuites-de-donnees-qui-concernent-aussi-les-donnees-cadastrales-et-les-successions_6749047_4408996.html), la filtración concerniría como máximo a 433.485 particulares y 1.082 profesionales, en un conjunto presentado por el gobierno como tres violaciones distintas, con un total de unos 678.000 usuarios afectados. ## Una deuda técnica conscientemente ignorada Aquí no hay mala suerte. Es el resultado mecánico de una deuda técnica acumulada, documentada, conocida y nunca saldada. Los informes de los editores de seguridad de aplicaciones son tajantes: en las administraciones públicas francesas, vulnerabilidades identificadas y a veces corregidas por el editor desde hace años siguen arrastrándose en los servidores de colectividades, ministerios e instituciones, con retrasos de parches que pueden alcanzar cinco, siete o diez años. No se habla aquí de obsolescencia tecnológica inevitable, sino de decisiones presupuestarias y políticas repetidas que sacrifican la securización de los sistemas de información en beneficio de la puesta en producción rápida de servicios digitales de escaparate. La propia CNIL señala que el 55% de las violaciones notificadas en 2024 se deben directamente al pirateo informático, un aumento del 21% en un año, en su inmensa mayoría consecutivas a defectos de securización de las infraestructuras: identificadores comprometidos, ausencia de segmentación, proveedores externos mal auditados. Son exactamente los síntomas de una deuda técnica sin tratar, de la seguridad por diseño nunca aplicada, de parches nunca presupuestados, de auditorías nunca seguidas de efectos. El caso DGFiP da a esta idea una materialidad inmediata. Bercy confirmó que la intrusión fue detectada ya en junio, pero sin comunicación pública en aquel momento, cuando la filtración no habría sido detectada desde el principio. Esta secuencia alimenta una crítica clásica de la deuda técnica pública: la detección tardía, la visibilidad parcial de la extensión de una compromisión y la incapacidad de calificar inmediatamente los datos exfiltrados. ## La incuria ministerial erigida en sistema Frente a esta hemorragia, el Estado debería haber opuesto una doctrina estable, una dirección continua, una autoridad política identificada. Ha ofrecido lo contrario: un vals de titulares del ámbito digital digno de un ministerio de segunda fila. Desde 2017 se han sucedido Mounir Mahjoubi, Cédric O, Jean-Noël Barrot, Marina Ferrari, Clara Chappaz y luego, en octubre de 2025, Naïma Moutchou, cuyo mandato duró menos de veinticuatro horas, la ministra de Digital más efímera de la V República, antes de que Anne Le Hénanff retomara la cartera. Siete titulares en ocho años, ninguna continuidad doctrinal, un puesto regularmente degradado de ministerio de pleno derecho a simple secretaría de Estado diluida en un gran ministerio de Economía, pese a una tribuna firmada por ochenta personalidades del digital que reclamaba un ministerio de verdad, dotado de medios y de voz en el Consejo de Ministros. ¿Cómo exigir una estrategia de ciberseguridad a largo plazo, decisiones presupuestarias valientes sobre la remediación de la deuda técnica, una doctrina de soberanía digital coherente, cuando la cúspide del aparato del Estado cambia de rostro cada doce a dieciocho meses, a veces en cuestión de horas? ## De la filtración puntual al colapso de la confianza El verdadero viraje es cualitativo. Cuando la CNIL constata que el número de violaciones que afectan a más de un millón de personas se ha duplicado en un año, pasando de una veintena a una cuarentena, se trata de un cambio de escala de la amenaza. Una identidad sintética construida a partir de fragmentos auténticos, estado civil real, número de la seguridad social real, historial administrativo real, es infinitamente más difícil de detectar que un fraude burdo. Permite la usurpación metódica, la selección de perfiles vulnerables, la fabricación de campañas de influencia creíbles apoyadas en datos públicos verificables. Cada filtración adicional no solo suma víctimas. Enriquece un referencial de ataque acumulativo y permanente, explotable por cualquier actor, estatal o delictivo. Y el asunto DGFiP agrava aún más este cuadro, porque toca el núcleo fiscal y catastral del Estado. Incluso en ausencia, en esta etapa, de identificadores y contraseñas comprometidos según la CNIL, la asociación entre datos patrimoniales, datos fiscales e informaciones de identificación alimenta escenarios de fraude dirigido, de spear phishing y de usurpación administrativa con alta verosimilitud. ## Notificación a la CNIL: el Estado no está fuera de la ley La obligación de notificación de las violaciones de datos personales no se detiene en las puertas de la administración. La [CNIL recuerda que el artículo 33 del RGPD](https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles) obliga a todo responsable de tratamiento a notificar una violación que presente un riesgo para los derechos y libertades de las personas, lo antes posible y, si es posible, en un plazo de 72 horas. Cuando el riesgo es elevado, el artículo 34 exige además informar a las personas afectadas. Esta regla vale también para el Estado y para los organismos públicos que tratan datos personales. La Ley Informática y Libertades retoma explícitamente esta exigencia de notificación a la CNIL y de comunicación a las personas interesadas en aplicación de los artículos 33 y 34 del RGPD. Sobre el caso DGFiP, las fuentes verificadas imponen sin embargo una formulación rigurosa. No es exacto afirmar, en el estado actual, que el Estado francés se habría sustraído a la notificación a la CNIL en este asunto concreto, ya que la [CNIL escribe literalmente que fue notificada de las violaciones](https://cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours) que afectan al sistema de información de la DGFiP, y precisa que el ministerio va a informar individualmente a las personas afectadas.