Une fuite touche les données de vos clients, de vos salariés ou de vos fournisseurs : base clients copiée, messagerie piratée, fichier envoyé au mauvais destinataire, prestataire attaqué. Quelle que soit la taille de l'entreprise, le RGPD impose de réagir vite, de documenter et, selon le risque, de prévenir la CNIL et les personnes concernées.
Les premières heures
- Contenir sans effacer. Isolez les machines ou les comptes touchés (débranchez du réseau, changez les accès compromis), mais n'effacez rien : les traces servent à l'enquête.
- Conserver les preuves. Journaux des serveurs et du pare-feu, captures d'écran, messages reçus, copie des machines touchées. Tenez un registre horodaté de tout ce que vous faites.
- Porter plainte avant de tout remettre en état. Au commissariat, à la gendarmerie ou par courrier au procureur de la République, avec les preuves. La plainte en ligne THESEE n'est pas ouverte aux professionnels.
- Prévenir votre assureur si vous avez une assurance cyber, et votre banque en cas de risque de fraude au virement.
- Vous faire aider. Le diagnostic 17Cyber oriente vers des prestataires référencés ou labellisés ExpertCyber près de chez vous.
Le guide officiel « Que faire en cas de cyberattaque ? » de Cybermalveillance.gouv.fr reprend ces étapes en détail, dont la cellule de crise. Il rappelle aussi de ne jamais payer de rançon.
Évaluer le risque pour les personnes
Ce sont vos obligations envers la CNIL et les personnes qui dépendent du risque, pas la taille de la fuite. Posez-vous trois questions : quelles données (coordonnées, mots de passe, IBAN, santé, pièces d'identité) ; combien de personnes ; les données étaient-elles chiffrées et donc illisibles ?
| Risque pour les personnes | Registre interne | Notifier la CNIL | Informer les personnes |
|---|---|---|---|
| Aucun risque | Oui | Non | Non |
| Risque | Oui | Oui, sous 72 h | Non |
| Risque élevé | Oui | Oui, sous 72 h | Oui, dans les meilleurs délais |
Source : CNIL, « Les violations de données personnelles ». En cas de doute, notifiez : la CNIL vous dira s'il faut informer les personnes.
Notifier la CNIL sous 72 heures
Le délai court à partir du moment où vous avez connaissance de la violation, pas de sa date de début. Si vous n'avez pas encore tous les éléments, faites une notification initiale dans les 72 heures, puis complétez-la. Au-delà de 72 heures, expliquez le retard.
Notre guide « Notifier une violation à la CNIL » détaille le formulaire, champ par champ.
Si un prestataire (hébergeur, éditeur de logiciel, agence) est à l'origine de la fuite, c'est à lui de vous prévenir dans les meilleurs délais. C'est vous, responsable du traitement, qui notifiez la CNIL.
Informer les personnes concernées
En cas de risque élevé, prévenez directement les personnes, en termes clairs. Le message doit dire :
- ce qui s'est passé et quelles données sont concernées ;
- les conséquences possibles pour elles ;
- ce que vous avez fait et ce qu'elles doivent faire : changer leur mot de passe, se méfier des faux messages à votre nom ;
- qui contacter pour en savoir plus.
Cette information n'est pas obligatoire si les données étaient chiffrées, si vous avez écarté le risque élevé, ou si elle demanderait des efforts disproportionnés. Dans ce dernier cas, une communication publique la remplace.
Vos clients vont recevoir de faux mails à votre nom dans les semaines qui suivent. Dites-leur dans votre message comment reconnaître vos vrais emails, et protégez votre nom de domaine pour que personne ne puisse envoyer d'email en se faisant passer pour vous.
Le registre des violations, dans tous les cas
Même sans notification, documentez chaque violation dans un registre interne : les faits, les données et personnes concernées, les conséquences et les mesures prises. La CNIL peut le contrôler.
Et l'ANSSI ?
Le CERT-FR traite les incidents des administrations, des opérateurs d'importance vitale et des entités essentielles ou importantes au sens de la directive NIS 2. Une PME est orientée vers le centre de réponse aux incidents de sa région (CSIRT régional) et vers 17Cyber.