Prestataire piraté : les bons réflexes de votre PME face à une fuite de données

Deux affaires qui montrent où passe désormais la fuite

Dans les Hauts-de-France, les deux prestataires touchés sont Atexo, qui gérait la plateforme des aides régionales, et Docaposte, qui gérait celle de la Carte Génération #HDF destinée aux lycéens et aux apprentis. La Région évoque des noms, prénoms et adresses électroniques, et « potentiellement » des relevés d’identité bancaire. Plusieurs centaines de milliers de personnes seraient concernées selon les chiffres avancés par la Région, tandis que le pirate revendique un volume plus élevé, non confirmé.

Au Danemark, les autorités ont annoncé le 5 octobre 2026 un incident grave touchant le registre central des personnes (CPR). Des personnes non autorisées ont utilisé l’accès légitime d’une entreprise privée à la recherche dans ce registre pour obtenir les noms, adresses et numéros d’identification d’environ 8,8 millions de personnes. L’activité anormale a eu lieu en septembre et n’a été repérée que le soir du 2 octobre ; l’accès de l’entreprise a été coupé et la police enquête.

Le point commun est instructif pour une petite entreprise : aucun système central n’a été « cassé ». L’attaquant est passé par un acteur à qui l’on avait confié des données ou un accès. Plus une entreprise externalise, et c’est souvent une bonne décision, plus la sécurité de ses données dépend de celle de ses prestataires et de la façon dont leurs accès sont limités.

Ce que dit le RGPD quand la fuite vient d’un prestataire

Le règlement général sur la protection des données distingue le responsable du traitement, qui décide pourquoi et comment les données sont utilisées, et le sous-traitant, qui les traite pour son compte : éditeur de logiciel en ligne, hébergeur, cabinet de paie, agence qui gère le site ou la prospection. Quand votre fichier clients est hébergé par un éditeur, vous restez en principe le responsable du traitement, même si la faille est chez lui.

Les règles principales sont fixées par les articles 33 et 34 du RGPD, et rappelées par la CNIL :

• Le sous-traitant doit prévenir le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation ; il ne notifie pas la CNIL à sa place, sauf si le contrat l’en charge.
• Le responsable du traitement doit notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes. Passé ce délai, la notification reste due et doit expliquer le retard.
• Si toutes les informations ne sont pas connues, la notification peut se faire en plusieurs temps : une première déclaration, puis des compléments.
• Si le risque pour les personnes est élevé, elles doivent aussi être informées, dans les meilleurs délais.
• Toute violation, même non notifiée, doit être consignée dans un registre interne : faits, effets, mesures prises et raisons de la décision de notifier ou non.

Les 72 premières heures : que faire quand le prestataire annonce un incident

Le délai de 72 heures court à partir du moment où vous avez connaissance de la violation, week-end compris. L’annonce d’un prestataire arrive souvent par un simple e-mail, parfois un vendredi soir : mieux vaut savoir à l’avance qui s’en occupe. Une méthode simple pour une petite structure :

En cas de doute sur le niveau de risque, la CNIL conseille de notifier : elle indique ensuite s’il faut informer les personnes concernées. La notification se fait en ligne sur le site de la CNIL. Pour l’analyse juridique d’un cas précis, notamment la répartition des responsabilités avec le prestataire, l’avis d’un avocat ou d’un délégué à la protection des données reste préférable.

• Noter la date et l’heure de l’information reçue, et conserver le message du prestataire.
• Demander par écrit au prestataire ce qui a été touché : quelles données, combien de personnes, depuis quand, si la faille est refermée et si des accès ont été utilisés.
• Couper ou réinitialiser les accès partagés avec ce prestataire : mots de passe, clés de connexion entre logiciels, comptes d’administration.
• Évaluer le risque pour les personnes : de simples adresses électroniques n’ont pas les mêmes conséquences que des RIB, des pièces d’identité ou des données de santé.
• Notifier la CNIL si un risque existe, même avec des informations incomplètes, puis compléter au fil de l’enquête.
• Inscrire l’incident dans le registre des violations, y compris si la décision est de ne pas notifier.

Prévenir clients et salariés, et contrer les arnaques qui suivent

Une fuite est rarement la fin de l’histoire : les données volées servent ensuite à des hameçonnages très crédibles. Un client dont l’adresse et le nom de son fournisseur ont fuité peut recevoir un faux message « de votre part » annonçant un changement de RIB. C’est là que le préjudice devient concret, et c’est aussi ce qui rend l’information des personnes utile, au-delà de l’obligation.

Le 1er octobre 2026, à l’ouverture du Cybermois, la CNIL et Cybermalveillance.gouv.fr ont publié une fiche pratique, « Violation de données personnelles, que faire en 3 étapes clés ? », qui détaille les réflexes à adopter du jour de la découverte jusqu’à J+30 : changer les mots de passe concernés, activer la double authentification, surveiller ses comptes bancaires, se méfier des messages inhabituels. Elle peut servir de base au message envoyé à vos propres clients ou salariés.

Dans votre entreprise, rappelez une règle simple : toute demande de changement de coordonnées bancaires ou de paiement urgent se vérifie par un appel au numéro habituel du fournisseur ou du client, jamais à celui indiqué dans le message. Cette seule habitude neutralise une grande partie des fraudes qui suivent une fuite.

Le risque juridique et financier, sans dramatiser

Début octobre 2026, la CNIL a précisé dans quels cas les victimes d’une violation peuvent être indemnisées. Une fuite n’ouvre pas droit automatiquement à réparation : il faut un manquement au RGPD, par exemple une sécurité insuffisante, un préjudice réel, matériel ou moral, et un lien de causalité entre les deux. La crainte d’un usage abusif de ses données peut constituer un préjudice moral. La CNIL ne verse pas d’indemnités : la demande se fait devant un juge.

Pour une PME, la conséquence pratique est double. D’une part, la qualité des mesures de sécurité prises, chez soi comme dans le choix et l’encadrement des prestataires, pèse dans l’appréciation d’un éventuel manquement. D’autre part, la répartition finale de la responsabilité entre l’entreprise et son prestataire dépend du contrat et des faits : c’est une question à examiner avec un professionnel du droit, pas à trancher seul dans l’urgence.

Le contexte rend ces questions moins théoriques : selon le baromètre de Cybermalveillance.gouv.fr réalisé avec Ipsos et publié pour le Cybermois, 45 % des Français déclarent avoir été informés d’une fuite de leurs données personnelles au cours des douze derniers mois. Les clients sont désormais sensibilisés, et attendent une réaction claire.

Se préparer dès maintenant : contrats, accès et inventaire

La meilleure gestion de crise commence avant l’incident. L’article 28 du RGPD impose un contrat avec chaque sous-traitant qui traite des données personnelles pour votre compte ; c’est l’endroit où fixer les règles du jeu. Quelques chantiers à mener sans attendre :

L’affaire danoise rappelle un dernier point : un accès légitime peut être détourné. Les comptes de prestataires doivent être nominatifs quand c’est possible, limités aux seules données utiles et protégés par la double authentification. Un accès qui ne sert plus est un accès à supprimer.

• Dresser la liste des prestataires qui détiennent ou consultent des données personnelles : logiciel de gestion, paie, CRM, hébergeur du site, outil d’e-mailing, prestataire informatique.
• Vérifier que chaque contrat prévoit l’obligation d’alerte en cas de violation, avec un délai court et un contact identifié, pour laisser le temps de respecter les 72 heures.
• Recenser les accès dont disposent ces prestataires dans vos outils, et supprimer ceux qui ne servent plus.
• Activer les alertes de connexion et les journaux d’activité lorsque les logiciels le proposent, pour repérer un usage anormal plus tôt.
• Préparer un modèle de message d’information aux clients et désigner qui notifie la CNIL en cas d’incident, avec un suppléant.
• Interroger son assureur sur la couverture du risque cyber, y compris quand l’incident survient chez un prestataire.

Questions fréquentes