Résumé

  • L’avis publié par DoorDash en septembre 2019 décrivait un accès non autorisé à des données détenues par l’un de ses prestataires, touchant environ 4,9 millions de clients, de Dashers et de commerçants ; l’entreprise indiquait avoir sécurisé ses systèmes, renforcé ses protocoles et prévenu les personnes concernées.
  • Le règlement californien de février 2024 portait sur les pratiques de vente et d’information de DoorDash au titre du California Consumer Privacy Act et du California Online Privacy Protection Act — pas sur l’incident de 2019.
  • Le point intéressant n’est pas qu’un prestataire soit intervenu. C’est que le dossier public ne dise jamais qui détenait le contrôle défaillant, ni ne produise la preuve que la frontière du prestataire a été corrigée et l’est restée.

Une phrase qui fait deux métiers

L’avis de septembre 2019 était étonnamment concret sur les catégories. Noms. Adresses électroniques. Adresses de livraison. Historique des commandes. Mots de passe hachés. Quelques occurrences des quatre derniers chiffres de cartes bancaires de clients. Il l’était tout autant sur l’ampleur : environ 4,9 millions de personnes, à travers les clients, les Dashers et les commerçants (le compte rendu de l’incident établi à partir de cette déclaration).

Puis vient la phrase qui porte depuis tout l’édifice : l’accès avait eu lieu chez l’un des prestataires de DoorDash.

Cette phrase dit honnêtement où se trouvaient les données. Elle ne dit rien de l’endroit où le contrôle a cédé. Ce sont deux faits distincts, détenus par deux entreprises distinctes, démontrables à partir de journaux distincts. Une décennie de fuites par prestataire interposé a appris aux équipes de communication à fusionner les deux, parce que la fusion tient mieux debout qu’un nom propre au bout d’une chaîne de responsabilité.

Lisez cet avis comme une allégation et non comme une conclusion, et la forme du problème apparaît.

Une plateforme de livraison est une organisation d’achat déguisée en application

DoorDash a choisi ce prestataire, négocié les conditions, accordé l’accès, payé la facture et conservé la relation client. La personne dont l’adresse de livraison se trouvait dans les tables du prestataire n’avait aucun lien avec le prestataire. Elle avait un lien avec une application, et l’application avait un fournisseur.

L’opérateur garde donc ce que le prestataire n’a pas : l’obligation publique. Quand la perte est devenue publique, c’est DoorDash qui devait une explication à 4,9 millions de personnes, et DoorDash qui leur devait une étape suivante. Dans son propre récit de la réponse, l’entreprise indique avoir pris des mesures pour sécuriser ses systèmes, renforcé ses protocoles de sécurité et notifié les personnes concernées (le même compte rendu).

C’est une déclaration d’activité. Ce n’est ni une matrice de contrôles, ni une conclusion sur la cause racine, ni le résultat d’un test indépendant.

La distinction compte, parce qu’une fuite survenant dans l’environnement d’un prestataire est précisément le cas où le travail d’assurance de l’opérateur — et non son travail de durcissement — détermine si la réparation est réelle. Durcir son propre périmètre ne change rien à une faiblesse logée dans le tenant d’un autre. Vérifier le tenant d’un autre relève d’une autre discipline, avec d’autres coûts, et laisse un autre type de papier.

Ce que la Californie a réellement poursuivi

En février 2024, le procureur général de Californie a annoncé un règlement avec DoorDash. Les allégations relevaient du California Consumer Privacy Act et du California Online Privacy Protection Act et portaient sur la vente d’informations personnelles de consommateurs sans information préalable ni possibilité de refus, assorties d’injonctions touchant aux pratiques de données de l’entreprise (l’annonce du procureur général ; la couverture judiciaire contemporaine).

Le montant annoncé n’est pas repris ici. L’annonce du parquet et la couverture médiatique décrivent le même document en termes incompatibles, et aucun des textes conservés pour cet article ne restitue les mots exacts de l’éditeur sur le chiffre. Un montant sur lequel trois lectures d’une même annonce ne s’accordent pas n’est pas une preuve ; c’est une erreur d’arrondi avec un communiqué attaché.

L’objet de l’action est le fait plus intéressant. La Californie a poursuivi ce que DoorDash disait de sa propre vente de données. Elle n’a pas poursuivi ce qu’un prestataire a fait aux données de DoorDash en 2019.

Dans la déclaration de 2019 et les deux documents californiens examinés pour cet article, n’apparaît aucune sanction, ordonnance, obligation ou récupération contractuelle liée à l’incident.

C’est une observation bornée à un petit ensemble de documents, non l’affirmation que rien ne s’est produit ailleurs.

Des accords confidentiels existent. Des recours assurantiels existent. Des mises en demeure privées existent. Aucun d’eux n’est au dossier, et un dossier auquel il manque un tiroir n’est pas identique à un dossier vide.

Pourquoi cette séparation est le sujet

Un régulateur doté d’un calendrier fini poursuit la violation qu’il peut prouver à partir de documents que l’entreprise a elle-même publiés. « Vous avez vendu mes données sans me le dire » est une phrase que l’on peut confronter à une politique de confidentialité. « L’environnement de votre prestataire présentait une faille de contrôle à l’été 2019 » est une phrase qui exige les journaux d’un autre, la coopération d’un autre et une théorie du contrôle imputé qu’aucune agence ne souhaite plaider contre une entreprise qui a déjà posté les lettres.

L’incitation fonctionne donc à l’envers. La notification est bon marché, rapide, légalement obligatoire et maîtrisable dans son récit : une lettre, des excuses, un engagement. L’assurance est coûteuse, lente, juridiquement facultative dans la plupart des juridictions et dangereuse sur le plan narratif, parce qu’elle produit des documents qui peuvent avoir tort par écrit.

Cette rédaction a déjà examiné ce qui avait fui au moment des faits, puis de nouveau en juillet 2026. La question qui demeure n’est pas ce que contenait le dossier sur 4,9 millions de personnes. C’est ce que devrait contenir le dossier interne de l’entreprise sur cette frontière — et si quelqu’un d’extérieur peut distinguer une réparation d’une ligne de communication.

Six pièces qui trancheraient la question

Si la frontière du prestataire avait réellement été réparée, six objets existeraient. Chacun est un document. Chacun a un auteur, une date et un lecteur.

Un périmètre documenté. Le prestataire, le service, les systèmes touchés, les classes de données concernées et les éventuels sous-traitants en dessous. Pas nécessairement destiné à une publication intégrale, mais lisible par un régulateur, un auditeur ou un assureur.

Une matrice de propriété des contrôles. Pour chaque contrôle situé sur la frontière — revue des accès, chiffrement, journalisation, alerting, gestion des identifiants — l’entreprise qui le détient et la personne responsable à l’intérieur de cette entreprise. « Le prestataire était responsable de la sécurité » n’est pas une matrice. C’est une excuse grammaticalement pourvue d’un sujet.

Une analyse de cause racine rattachée à l’incident. Le chemin d’accès, le contrôle qui aurait dû l’arrêter, la raison de sa défaillance. Une analyse qui nomme un mécanisme et non une catégorie.

Un registre d’actions correctives. Chaque action, son responsable, sa date de mise en œuvre, et si un test indépendant l’a confirmée. Les dates séparent un registre d’une liste de souhaits.

Des clauses contractuelles avec des dents. Des délais de notification mesurables, des droits d’audit qui survivent à un refus, des échéances de remédiation assorties de conséquences financières, et une voie de résiliation ou de remplacement réellement exercée ou crédiblement brandie.

Un nouveau test. Le même contrôle, testé plus tard, par quelqu’un qui ne rend pas compte aux auteurs du premier rapport. Un test propre après une fuite est un point de données. Un test propre un an plus tard est un contrôle.

Rien de tout cela n’a été publié pour la perte de 2019. Une partie existe peut-être en privé.

L’absence de publication est le constat, et il est plus étroit et plus utile que la version populaire, selon laquelle un prestataire était en cause. Il l’était peut-être. Personne à l’extérieur ne peut le dire, et c’est précisément le problème : un public incapable de distinguer une défaillance de prestataire d’une défaillance de gouvernance d’opérateur n’a aucun moyen de tarifer l’une ou l’autre.

Ce que le prochain avis devrait répondre

Les notifications sont des messages. Les contrôles sont des pièces.

L’avis de 2019 a dit à 4,9 millions de personnes ce que le fichier contenait à leur sujet. Il ne leur a pas dit si l’organisation qui l’avait perdu savait décrire sa propre frontière, encore moins la corriger, et le dossier n’a rien ajouté depuis qu’un lecteur puisse vérifier.

La norme du prochain avis ne devrait pas être de nommer le prestataire. Nommer est une courtoisie, parfois incompatible avec une enquête en cours.

La norme devrait être de prouver que l’opérateur est revenu voir : qui détenait le contrôle, ce qui a changé, quand cela a été testé et ce que le test a trouvé. N’importe quelle entreprise peut le promettre. Seule une entreprise qui possède les pièces peut le montrer.