Site piraté et RGPD : notifier la CNIL sous 72 heures
Un site piraté peut devenir, en quelques heures, une affaire de conformité RGPD. Dès que des données personnelles de clients, de prospects ou d'adhérents sont exposées, le règlement impose une analyse rapide et, souvent, une notification à la CNIL dans les 72 heures. Cet article vous explique ce que disent précisément les articles 33 et 34, comment décider s'il faut notifier, et comment documenter l'incident pour être en règle, sans remplacer l'avis d'un professionnel du droit pour les situations complexes.
Comprendre ce qu'est une violation de données
Le RGPD définit la violation de données personnelles comme une atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à celles-ci. Trois dimensions sont donc visées : la confidentialité, l'intégrité et la disponibilité.
Pour un site WordPress, les données personnelles sont partout : comptes clients WooCommerce, messages reçus via un formulaire de contact, inscrits à une newsletter, comptes utilisateurs, journaux de commandes. Un pirate qui obtient un accès administrateur ou un accès à la base de données a potentiellement accès à tout cela.
L'erreur fréquente consiste à se dire « le pirate voulait juste rediriger mon site vers du spam, il n'a rien volé ». C'est possible, mais vous devez pouvoir le démontrer. Tant que vous ne savez pas, il faut raisonner comme si l'accès aux données était possible, puis affiner au fil de l'enquête technique.
Il faut aussi savoir qui est qui. L'entreprise qui exploite le site et décide des finalités du traitement est le responsable de traitement : c'est elle qui notifie. L'agence web, l'hébergeur ou le prestataire de maintenance sont généralement des sous-traitants : l'article 33 leur impose de vous prévenir dans les meilleurs délais après avoir pris connaissance d'une violation, mais pas de notifier à votre place. D'où l'importance d'un contrat qui organise cette alerte et d'interlocuteurs joignables rapidement.
Les obligations : article 33, article 34 et registre
Le RGPD organise trois obligations distinctes, à ne pas confondre.
- Notification à la CNIL (article 33) : le responsable de traitement notifie la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises. Elle peut être complétée par étapes.
- Information des personnes (article 34) : lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent être informées dans les meilleurs délais, en des termes clairs. Des exceptions existent : données rendues incompréhensibles par un chiffrement robuste, mesures ultérieures supprimant le risque élevé, ou effort disproportionné, auquel cas une communication publique peut être utilisée.
- Registre des violations (article 33, paragraphe 5) : toute violation, même non notifiée, doit être documentée en interne : faits, effets, mesures prises. C'est ce registre que la CNIL peut demander lors d'un contrôle.
La notification se fait en ligne via le téléservice dédié sur cnil.fr. La CNIL publie aussi des fiches pratiques sur l'évaluation du risque, qui méritent d'être lues avant tout incident.
Cas concrets
Une boutique WooCommerce
Un pirate injecte un script sur la page de paiement d'une boutique de cosmétiques. Le paiement passe par un prestataire externe, mais le script capture les noms, adresses et e-mails saisis. C'est une violation de confidentialité avec un risque réel, d'hameçonnage notamment. La notification à la CNIL est très probablement requise, et l'information des clients doit être sérieusement envisagée.
Un cabinet libéral
Un cabinet d'ostéopathie découvre un compte administrateur inconnu sur son site, qui reçoit des demandes de rendez-vous mentionnant parfois des motifs de consultation. Des données relatives à la santé sont potentiellement exposées. Ces données sensibles augmentent nettement le niveau de risque : le cabinet a intérêt à se faire accompagner rapidement par un conseil spécialisé.
Un artisan avec un site vitrine
Le site d'un menuisier est défiguré, mais il ne stocke aucune donnée : le formulaire envoie les messages par e-mail sans les conserver en base. Après vérification, aucune donnée personnelle n'a été exposée. Il n'y a pas de violation au sens du RGPD, mais documenter l'analyse reste une bonne pratique.
Une association
Une association sportive voit sa base d'adhérents exportée par un pirate : noms, e-mails, dates de naissance. Le risque est jugé limité mais réel. La notification à la CNIL est effectuée dans les délais, l'information individuelle est décidée en complément, avec des conseils de vigilance face aux e-mails frauduleux.
Méthode pas à pas dans les 72 heures
- Datez la prise de connaissance : notez l'heure à laquelle vous avez eu une certitude raisonnable de l'incident. C'est le point de départ du délai.
- Contenez l'incident : changez les mots de passe, supprimez les comptes inconnus, isolez les fichiers malveillants. Notre guide pour supprimer un malware WordPress détaille cette phase.
- Préservez les traces : conservez les journaux serveur, une copie des fichiers suspects et la liste des comptes. Elles serviront à l'analyse et à une éventuelle plainte.
- Identifiez les données exposées : quelles tables, quels formulaires, combien de personnes, quelles catégories de données. Soyez honnête sur ce que vous ne savez pas encore.
- Évaluez le risque pour les personnes : nature des données, volume, facilité d'identification, gravité des conséquences possibles. C'est ce critère, et non le préjudice pour l'entreprise, qui guide la décision.
- Notifiez ou documentez : si un risque existe, notifiez via le téléservice de la CNIL, quitte à compléter ensuite. Dans tous les cas, inscrivez la violation au registre.
- Informez les personnes si le risque est élevé : message clair, nature de l'incident, conséquences possibles, mesures prises et conseils pratiques.
- Corrigez la cause : identifiez la faille exploitée. Notre article sur la réaction face à une vulnérabilité WordPress aide à traiter la porte d'entrée.
Vous pouvez également signaler l'incident et trouver de l'aide sur cybermalveillance.gouv.fr, et déposer plainte auprès des services de police ou de gendarmerie.
Bonnes pratiques
- Préparez un modèle de registre avant tout incident, avec les champs exigés : date, faits, données, personnes, conséquences, mesures.
- Minimisez les données stockées : un formulaire qui n'archive pas les messages en base réduit l'exposition en cas de piratage.
- Encadrez vos sous-traitants : le contrat avec votre agence ou votre hébergeur doit prévoir l'obligation de vous alerter sans délai.
- Gardez des journaux exploitables : sans trace, impossible de prouver qu'aucune donnée n'a été consultée.
- Identifiez à l'avance votre conseil juridique ou votre délégué à la protection des données pour les cas sensibles.
Erreurs fréquentes à éviter
- Attendre d'avoir toutes les réponses techniques avant de notifier, et dépasser les 72 heures sans justification.
- Restaurer une sauvegarde en écrasant les traces qui auraient permis d'évaluer l'exposition des données.
- Penser que l'agence ou l'hébergeur notifiera à votre place.
- Ne rien inscrire au registre parce que la violation n'a pas été notifiée.
Comment V-Shield vous aide
V-Shield ne remplace ni votre analyse juridique ni votre notification, mais il vous donne les éléments techniques pour décider vite. La détection de dérives vous alerte par e-mail en cas de nouvel administrateur ou de fichier modifié, ce qui fixe tôt le point de départ de votre analyse. Le scan détecte les portes dérobées et les injections en base, et la quarantaine réversible permet de neutraliser un fichier sans détruire la trace.
Si votre site est déjà compromis, notre page site WordPress piraté décrit la prise en charge. Les fonctionnalités de détection et de nettoyage sont détaillées ici, et notre article sur le coût réel d'un piratage vous aide à mesurer l'enjeu global.
Données clients potentiellement exposées et horloge qui tourne ? Parlez tout de suite à un expert V-Shield pour sécuriser le site pendant que vous gérez la conformité.
Questions fréquentes
Dois-je toujours notifier la CNIL quand mon site est piraté ?
Non. L'article 33 du RGPD impose la notification d'une violation de données personnelles sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Un piratage qui ne touche aucune donnée personnelle n'est pas une violation au sens du RGPD. En revanche, toute violation doit être documentée dans votre registre interne.
Le délai de 72 heures court-il à partir de l'attaque ?
Le délai court à partir du moment où vous avez pris connaissance de la violation, c'est-à-dire quand vous avez une certitude raisonnable qu'un incident de sécurité a compromis des données personnelles. Si vous notifiez après 72 heures, la notification doit expliquer les motifs du retard. Vous pouvez aussi notifier en plusieurs temps si l'enquête est en cours.
Que se passe-t-il si je ne notifie pas une violation ?
Le manquement aux obligations des articles 33 et 34 peut être sanctionné par la CNIL. L'article 83 du RGPD prévoit, pour ce type de manquement, des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Dans la pratique, la CNIL tient compte de la taille de l'organisme et de sa bonne foi.
Mon agence web ou mon hébergeur doit-il notifier à ma place ?
Non. En règle générale, c'est le responsable de traitement, donc l'entreprise qui exploite le site, qui notifie la CNIL. Le sous-traitant, comme une agence ou un hébergeur, doit vous prévenir dans les meilleurs délais après avoir pris connaissance de la violation. Votre contrat peut prévoir qu'il vous assiste dans la démarche.
Faut-il prévenir les clients dont les données ont fuité ?
L'article 34 impose d'informer les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, par exemple en cas de fuite de mots de passe ou de données bancaires. Des exceptions existent, notamment si les données étaient chiffrées de façon robuste. En cas de doute, faites-vous accompagner par un professionnel.