Piratage chez votre prestataire : c’est vous qui déclarez

Le 1er octobre, pour l’ouverture du Cybermois, la CNIL et Cybermalveillance.gouv.fr ont publié un dépliant destiné aux particuliers : Violation de données personnelles, que faire en 3 étapes clés ? Il déroule les bons réflexes du jour de la découverte jusqu’à trente jours après. C’est utile, et c’est la moitié du sujet.

L’autre moitié ne concerne pas le particulier qui reçoit le courriel d’alerte, mais l’entreprise qui doit l’envoyer. Et là, les choses se compliquent, parce que dans un nombre croissant de cas, l’entreprise qui doit prévenir ses clients n’est pas celle qui a été piratée.

1. Un record en 2025, et trois leçons que la CNIL tire elle-même

Le rapport annuel 2025 de la CNIL, publié le 18 mai 2026, donne la mesure du phénomène : 6 167 violations de données notifiées, en hausse de 9,5 % sur un an, soit le plus haut niveau jamais comptabilisé. Un incident sur deux relève d’un piratage informatique, qui reste de loin la cause la plus fréquente. La CNIL rappelle au passage que les autres violations proviennent souvent de l’envoi de données personnelles à un mauvais destinataire ou de la perte de matériel.

De ces notifications, sa présidente tire trois enseignements en une phrase, et c’est la phrase à retenir de tout cet article :

Ce constat a une conséquence directe pour les petites structures. Une entreprise de trois personnes n’a pas de service informatique, mais elle a un logiciel de caisse en ligne, un agenda partagé, un outil de devis, une messagerie hébergée, un cabinet comptable qui détient ses fiches de paie. Elle ne détient presque plus rien elle-même. Son risque principal n’est plus son propre serveur : c’est la chaîne de prestataires derrière ses écrans.

2. Une violation, ce n’est pas forcément un piratage

C’est le premier malentendu à lever, et il bloque beaucoup de dirigeants. La CNIL pose deux conditions seulement : vous traitez des données personnelles, et ces données ont subi une perte de disponibilité, d’intégrité ou de confidentialité, de manière accidentelle ou illicite.

Autrement dit, un fichier client supprimé par erreur sans sauvegarde est une violation. Une liste de diffusion envoyée en copie visible à cent cinquante adresses personnelles est une violation. Un ordinateur portable volé dans un véhicule est une violation. Un compte de messagerie professionnel piraté aussi, et c’est le cas le plus fréquent chez les petites structures.

Ce tableau n’est pas un avis juridique : l’appréciation du risque appartient à chaque responsable de traitement, et c’est précisément pour cela que la CNIL recommande de notifier en cas de doute.

3. Le scénario que la CNIL a mis en images

Le 27 mai 2026, la CNIL a publié une fiche pédagogique intitulée Cyberattaque : le sous-traitant au centre de la crise. Le cas est fictif mais inspiré d’incidents réellement notifiés. Un attaquant s’en prend à un prestataire qui propose une solution en nuage à ses clients professionnels. Il obtient, par ingénierie sociale, qu’un salarié exécute un code. Il circule ensuite dans le réseau interne et copie les données du prestataire et celles de ses sociétés clientes, sans être détecté.

Le prestataire réagit correctement : il confirme la fuite, protège son système, et coupe le service. Et c’est là que se trouve l’information la plus utile de tout le document, celle qu’aucun dirigeant n’anticipe.

La répartition des rôles, elle, est stable et mérite d’être connue avant la crise. Le prestataire agit comme sous-traitant : il doit vous informer le plus rapidement possible pour que vous puissiez remplir vos obligations, et il notifie pour son propre compte les données dont il est lui-même responsable, celles de ses salariés par exemple. Vous agissez comme responsable de traitement : c’est vous qui appréciez le risque, c’est vous qui déclarez, c’est vous qui informez vos clients si le risque est élevé.

Le prestataire peut proposer de faire la déclaration pour votre compte et en votre nom, mais la CNIL précise deux choses : ce n’est pas requis par le règlement, et cela suppose votre accord formel. Un bon prestataire fournira aussi un guide de déclaration pas à pas et un modèle de message à destination des personnes concernées. Détail très concret à réclamer : le numéro de la notification qu’il a lui-même déposée, à reporter dans la vôtre, pour que la CNIL comprenne l’ampleur réelle de l’incident.

Quant au message aux personnes, il doit comporter les circonstances de l’incident, la nature des données concernées, les conséquences possibles, les mesures prises et envisagées, et un point de contact. La CNIL suggère de l’écrire sous forme de réponses à six questions simples : que s’est-il passé, comment avons-nous réagi, quelles données sont concernées, quelles sont les conséquences possibles, quelles sont nos recommandations, qui contacter.

4. Les 72 heures, ce qu’elles sont vraiment

Le délai de 72 heures est le chiffre que tout le monde retient et que beaucoup de vendeurs de conformité dramatisent. Le texte est plus souple que sa réputation. La notification doit être transmise dans les meilleurs délais ; si vous ne pouvez pas tout fournir, vous procédez en deux temps : une notification initiale dans les 72 heures si possible, en expliquant les motifs du retard si ce délai est dépassé, puis une notification complémentaire dès que vous en savez plus.

Le vrai seuil n’est donc pas le chronomètre, c’est le risque. S’il existe un risque pour la vie privée des personnes, vous déclarez à la CNIL. Si ce risque est élevé, vous informez en plus les personnes concernées. Les deux obligations figurent aux articles 33 et 34 du règlement général sur la protection des données.

Reste l’obligation la plus oubliée, et la seule qui vaut absolument tout le temps : dans tous les cas, vous documentez l’incident en interne, même si vous ne déclarez rien. Nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou envisagées. Bonne nouvelle pratique : le document récapitulatif de votre notification à la CNIL suffit à répondre à cette obligation de documentation.

Un dernier point, souvent décisif : la CNIL peut clore la procédure si vous avez correctement informé les personnes et si vous aviez mis en place, avant la violation, des mesures techniques de protection appropriées. À l’inverse, elle peut vous imposer d’informer les personnes si ces mesures n’étaient pas appropriées. Ce que vous faites aujourd’hui décide donc de la façon dont votre dossier se terminera. Et si la violation suit une cyberattaque, la CNIL conseille de déposer plainte et de tenir les preuves techniques à disposition des enquêteurs.

5. Depuis le 1er septembre, vous avez un prestataire de plus

Ce n’est pas une hypothèse : c’est arrivé à toutes les entreprises françaises ce mois-ci. Depuis le 1er septembre 2026, toutes doivent pouvoir recevoir des factures électroniques, et chacune doit désigner une plateforme agréée pour émettre, recevoir ou transmettre ses données de transaction. Les PME et les TPE devront aussi émettre à partir du 1er septembre 2027 (nous avions détaillé le calendrier dans notre article du 20 juillet).

Dans sa fiche du 10 septembre 2026, la CNIL qualifie précisément les rôles : l’entreprise qui émet et reçoit ses factures est responsable de traitement ; la plateforme agréée est sa sous-traitante lorsqu’elle traite les données sur ses instructions. La relation doit être encadrée par un contrat. Nous venons donc, collectivement, d’ajouter un maillon à la chaîne, pour tout le monde, le même mois.

Trois recommandations de la CNIL sur ce chantier sont immédiatement applicables et ne coûtent rien. Ouvrir un compte par personne plutôt qu’un compte partagé, et bannir les identifiants génériques : c’est ce qui permet, le jour venu, de savoir ce qui s’est passé. Activer la double authentification, que la CNIL rappelle comme mesure essentielle. Et appliquer la minimisation au libellé des factures : la CNIL donne l’exemple d’une facture d’opticien, où il vaut mieux écrire une référence de dossier que l’identité du client et l’objet du soin. Le code général des impôts prévoit d’ailleurs désormais que la facture électronique ne comporte pas la désignation précise du bien ou du service lorsqu’elle est couverte par le secret professionnel.

6. Ce qui se prépare avant, et pas pendant

La différence entre une crise tenue et une crise subie tient à quatre feuilles de papier, rédigées un jour calme.

La liste de vos prestataires qui détiennent des données de personnes. Logiciel métier, messagerie, comptable, paie, sauvegarde, site internet, plateforme de facturation, service de prise de rendez-vous. Pour chacun : ce qu’il détient, qui appeler, sous quel délai il s’engage à vous alerter. Cette liste est aussi la base du contrat à réclamer.

La fiche de conduite d’incident, une page. Qui décide, qui appelle le prestataire, qui écrit aux clients, où se trouve la liste des personnes à prévenir, et qui dépose plainte. C’est la même logique que la procédure de vérification des changements de coordonnées bancaires que nous recommandions dans l’article sur l’assurance cyber : une page écrite à froid vaut dix réunions à chaud.

Le registre des violations. Un simple tableau, avec les cinq rubriques demandées par la CNIL. Il se remplit en dix minutes par incident, et c’est la première chose qu’un contrôle regardera.

Le message type aux personnes concernées, construit sur les six questions de la CNIL. Écrit à l’avance, il se personnalise en une demi-heure ; improvisé en pleine crise, il se retourne contre vous.

Ce chantier prolonge directement celui que nous décrivions le 31 août dans l’article sur les fuites de l’été : la mise en sécurité des accès réduit la probabilité de l’incident, ces quatre feuilles en réduisent le coût. Les deux se préparent dans la même visite. Et c’est aussi là que se range ce que l’ANSSI a tiré du piratage des impôts : sept mesures techniques qui empêchent l’intrusion, quand les quatre feuilles décrites ici organisent ce qu’il faudra déclarer si elle a lieu quand même.

Ce qu’il faut retenir

Num Compagny accompagne les TPE, les associations et les collectivités d’Auvergne sur ces chantiers concrets : inventaire des prestataires qui détiennent vos données, fiche de conduite d’incident, registre des violations, message type aux clients, et réglages de sécurité des comptes. Nous proposons également des formations courtes à la sécurité numérique et à la protection des données : découvrez nos formations professionnelles.

Sources : CNIL, Cybermois 2026 : la CNIL et Cybermalveillance.gouv.fr publient une nouvelle ressource pour adopter les bons réflexes face à une violation de données (1er octobre 2026), et le dépliant Violation de données personnelles, que faire en 3 étapes clés ? ; CNIL, Rapport annuel : le bilan et les actions marquantes de la CNIL en 2025 (18 mai 2026) ; CNIL, Cyberattaque : le sous-traitant au centre de la crise (27 mai 2026) ; CNIL, Notifier une violation de données personnelles ; CNIL, Facturation électronique : quels enjeux pour la protection des données personnelles ? (10 septembre 2026) ; articles 33 et 34 du RGPD.