Fuite de données chez un prestataire : comment réagir

Votre hébergeur, éditeur de logiciel ou prestataire de paie vous annonce un incident. Face à une fuite de données chez un prestataire, commencez par obtenir les faits, sécuriser les accès et identifier les personnes concernées. Le cas pratique publié par la CNIL le 27 mai 2026, fictif mais inspiré d'incidents réels, rappelle que votre entreprise doit organiser sa propre réponse. Voici un plan d'action pour les premières heures.

Obtenir un état des lieux écrit du prestataire

Vérifiez l'alerte auprès de votre interlocuteur habituel, par un canal connu. Demandez les dates de détection et de survenue estimée, les services touchés, les données potentiellement consultées ou copiées, les mesures de confinement et l'heure du prochain point. Faites distinguer les faits confirmés, les hypothèses et les informations encore manquantes. Un simple « incident maîtrisé » ne décrit pas l'exposition de vos données.

Désignez un pilote côté direction, avec votre référent informatique et votre délégué à la protection des données, si vous en avez un. Ouvrez une chronologie partagée à accès restreint : alertes, décisions, responsables et échéances. Si le prestataire traite des données pour votre compte, il doit vous avertir dans les meilleurs délais ; sa démarche ne remplace pas automatiquement vos obligations de responsable de traitement.

Sécuriser les accès sans effacer les preuves

Avec l'équipe technique, suspendez les comptes et connexions suspects, révoquez les sessions actives et renouvelez les mots de passe ou clés d'accès exposés depuis un environnement sain. Vérifiez l'authentification multifacteur. Examinez aussi les connecteurs de vos automatisations métier : une clé compromise peut ouvrir un accès à plusieurs outils.

Conservez les messages, journaux et traces disponibles avant toute réinitialisation susceptible de les effacer. Faites coordonner le confinement et la préservation des preuves par les intervenants techniques. Prévoyez un fonctionnement temporaire pour les services interrompus, avec des accès limités aux seules personnes nécessaires.

Identifier les données et les risques pour les personnes

Croisez les informations du prestataire avec vos propres traitements : coordonnées, factures, identifiants, pièces d'identité, données bancaires ou de santé. Estimez les personnes et les enregistrements concernés, y compris salariés et anciens clients. Vérifiez si des données ont été modifiées ou rendues indisponibles : une violation ne se limite pas à leur divulgation.

Évaluez les conséquences possibles : hameçonnage ciblé, usurpation d'identité, fraude ou interruption d'un service essentiel. Tenez compte de la sensibilité des informations, de leur combinaison et de la vulnérabilité des personnes. L'absence de preuve d'exfiltration ne suffit pas à conclure à l'absence de risque. Réévaluez votre analyse à chaque élément nouveau.

Décider de la notification sans attendre le rapport final

Les articles 33 et 34 du RGPD distinguent deux démarches. Si la violation est susceptible d'engendrer un risque pour les droits et libertés, le responsable de traitement notifie l'autorité compétente, généralement la CNIL pour une PME française, dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance. Tout retard doit être motivé. En cas de risque élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais, sous réserve des exceptions prévues par le règlement.

N'attendez pas une investigation exhaustive : la procédure de la CNIL permet une notification initiale puis des compléments. Préparez la nature de la violation, les volumes estimés, les conséquences, les mesures prises et un contact. Documentez chaque violation, même sans notification, avec les raisons de votre décision. Faites examiner les incertitudes par votre DPO ou un conseil compétent.

Préparer une information utile aux clients concernés

Rédigez un message clair : ce qui s'est passé, les données concernées, les conséquences probables, les mesures prises ou prévues et le contact disponible. Ajoutez des conseils adaptés, comme changer un mot de passe exposé ou vérifier une demande de paiement par téléphone. Évitez toute garantie de sécurité que l'enquête ne permet pas d'établir.

Préparez les destinataires et un canal fiable, puis faites valider le message par le pilote et le référent protection des données. Une publication générale sur votre site ne remplace pas systématiquement l'information individuelle requise. Donnez au service client une réponse commune et actualisez-la à mesure que les faits se précisent.

Renforcer votre préparation après l'incident

Revoyez les contacts d'urgence, les engagements d'alerte du prestataire et les droits accordés. Notre accompagnement en cybersécurité pour les PME aide à prioriser ces mesures et à piloter leur mise en œuvre. Pour préparer votre organisation, échangez avec Soft Power Consulting ; une intervention technique de réponse à incident relève d'experts spécialisés.