Site piraté et RGPD : violation de données ou non ? Registre, CNIL sous 72 h, vos clients

Votre site WordPress a été piraté, et une question arrive vite : « Dois-je prévenir la CNIL ? Et mes clients ? » La réponse dépend de ce que contient votre site, de ce que l'intrus a pu atteindre et du risque pour les personnes. Elle n'est ni « toujours » ni « jamais ».

Une seule obligation vaut dans tous les cas : documenter l'incident en interne. Le reste se décide selon le risque, d'après le RGPD, la CNIL et le Comité européen de la protection des données (CEPD).

Votre site piraté est-il une violation de données ?

Le RGPD définit la violation de données à caractère personnel à son article 4, point 12 : « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel […], ou l'accès non autorisé à de telles données ».

La CNIL le résume en deux conditions, qui doivent être réunies :

1. votre site traite des données personnelles ;
2. ces données ont perdu leur confidentialité, leur intégrité ou leur disponibilité, de manière accidentelle ou illicite : quelqu'un a pu les lire, les modifier, ou elles ont disparu.

Un piratage devient donc une violation de données quand il touche des données personnelles. Tout l'enjeu est de savoir ce que votre site contient et ce que l'intrus a eu entre les mains.

Ce que votre WordPress conserve, souvent sans que vous y pensiez

Une donnée personnelle, rappelle la CNIL, est toute information se rapportant à une personne identifiée ou identifiable : un nom, une adresse électronique, un numéro de téléphone, et aussi une adresse IP. Sur un site WordPress, on en trouve à plusieurs endroits :

Contact Form 7 ne conserve pas les messages : c'est précisément pour cela qu'existe Flamingo. WPForms Lite n'enregistre pas non plus les entrées dans votre base. Les numéros de carte bancaire, eux, sont en principe saisis chez le prestataire de paiement (Stripe, PayPal, la banque) et non stockés dans WooCommerce.

Un site « sans données » : ce qui change vraiment

Un site vitrine sans formulaire enregistré, sans boutique ni espace client contient tout de même des comptes utilisateurs, souvent les vôtres et ceux de votre prestataire. La question n'est donc presque jamais « y a-t-il des données ? », mais « quelles données, et sur qui ? ».

• Seuls les comptes administrateurs étaient exposés (vous, un salarié, votre prestataire) : c'est une violation, mais le risque pour ces personnes est le plus souvent faible, surtout si les mots de passe sont changés aussitôt. Le registre suffit en général.
• Le pirate n'a eu accès qu'à un espace sans aucune donnée personnelle, par exemple un dossier d'images, sans pouvoir atteindre la base de données : ce n'est pas une violation de données au sens de l'article 4. Notez quand même votre analyse et ce qui la fonde.
• Le pirate a modifié un formulaire ou la page de paiement pour recopier ce que tapent vos visiteurs : même si rien n'était stocké, des données ont été captées. Le CEPD décrit ce scénario dans ses exemples de violations (lignes directrices 01/2021, cas n° 5) : un code malveillant posé sur le site d'une agence d'emploi rendait accessibles les candidatures envoyées par formulaire.

Le point de vigilance : un intrus qui a obtenu un accès administrateur à WordPress, ou un accès aux fichiers du serveur, avait en général les moyens de lire la base de données. Ne pas trouver de trace de copie ne prouve pas qu'il ne l'a pas fait. L'analyse part de ce qu'il pouvait atteindre, puis se resserre avec ce que montrent les journaux. Pour établir les faits techniques, notre guide pour vérifier si votre site est piraté donne les premiers contrôles.

Le responsable, c'est vous : hébergeur et prestataire doivent vous prévenir

Le RGPD distingue deux rôles. Le responsable du traitement détermine pourquoi et comment les données sont traitées : pour le site de votre entreprise ou de votre association, c'est vous. Le sous-traitant traite les données pour votre compte : votre hébergeur, l'agence qui a fait le site, le prestataire qui en assure la maintenance (article 4, points 7 et 8).

Les obligations ne sont pas les mêmes :

• Le sous-traitant prévient le responsable « dans les meilleurs délais après en avoir pris connaissance » (article 33, paragraphe 2). Son contrat doit prévoir qu'il vous aide à respecter vos obligations de sécurité et de notification (article 28, paragraphe 3, point f).
• Le responsable décide : c'est lui qui évalue le risque, tient le registre, notifie la CNIL et informe les personnes si besoin.

Selon les lignes directrices 9/2022 du CEPD, le sous-traitant n'a pas à évaluer le risque avant de vous alerter : il constate la violation et vous prévient. Votre délai commence alors, en principe, au moment où il vous informe.

Vous pouvez demander à votre prestataire de faire la notification à la CNIL en votre nom. La CNIL précise que vous restez alors maître de la décision et que vous devez tenir votre registre à jour.

Registre, CNIL, personnes : trois niveaux selon le risque

La CNIL le présente sous forme de tableau dans sa page sur les règles à suivre. Tout dépend du risque pour les droits et libertés des personnes dont les données sont touchées :

Apprécier le risque, critère par critère

L'appréciation se fait au cas par cas, par vous. La CNIL liste les éléments à prendre en compte :

• le type de violation : confidentialité (lecture, copie), intégrité (modification), disponibilité (perte) ;
• la nature, la sensibilité et le volume des données ;
• la facilité d'identifier les personnes ;
• les conséquences possibles pour elles ;
• leurs caractéristiques : enfants, personnes vulnérables ;
• le nombre de personnes concernées ;
• la nature et l'activité de votre structure.

Pour la CNIL, il n'y a pas de risque justifiant une notification lorsque les données divulguées étaient déjà publiques, lorsque des données supprimées ont été immédiatement restaurées depuis une sauvegarde, ou lorsqu'elles étaient chiffrées avec une clé restée secrète. Les exemples du CEPD aident à se situer : une base de mots de passe d'un site de cuisine, chiffrés avec un algorithme récent, sans adresse e-mail ni téléphone, ne présentait pas de risque (cas n° 6) ; les candidatures captées sur le site de l'agence d'emploi, si (cas n° 5), au point d'imposer l'information des personnes.

En cas de doute, la consigne de la CNIL est simple : notifiez. Elle vous dira s'il faut aussi informer les personnes.

Le registre des violations : toujours, même sans notification

C'est la seule obligation sans exception. L'article 33, paragraphe 5 impose au responsable de documenter toute violation : les faits, ses effets et les mesures prises pour y remédier. Cette documentation permet à la CNIL de vérifier, si elle le demande, que vous avez respecté vos obligations.

Le registre n'a pas de forme imposée : un document daté suffit. Selon la CNIL, il devrait contenir :

• la nature de la violation ;
• les catégories et le nombre approximatif de personnes concernées ;
• les catégories et le nombre approximatif d'enregistrements concernés ;
• les conséquences probables ;
• les mesures prises pour y remédier et en limiter les effets ;
• le cas échéant, pourquoi vous n'avez pas notifié la CNIL ou informé les personnes.

Ce dernier point est celui qui compte le plus quand vous décidez de ne pas notifier : le CEPD recommande d'écrire les raisons pour lesquelles vous estimez la violation sans risque. La CNIL conseille de suivre la trame de son formulaire de notification, qui sert de modèle.

Exemple : un site vitrine

Exemple : une boutique WooCommerce

Notifier la CNIL : le délai de 72 heures, et comment

L'article 33 demande de notifier « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si la violation n'est pas susceptible d'engendrer un risque.

Le point de départ du délai

Pas au moment de l'intrusion, mais quand vous avez un degré de certitude raisonnable qu'un incident a eu lieu et a touché des données personnelles (CNIL et CEPD). Une courte phase de vérification est admise : pendant ce temps, vous n'êtes pas encore considéré comme informé. Elle doit commencer tout de suite : pour le CEPD, une intrusion détectée puis confirmée par une vérification des systèmes ne laisse plus de doute.

Notifier sans avoir toutes les réponses

Vous n'avez pas besoin d'avoir terminé l'enquête. La CNIL prévoit une notification en deux temps : une notification initiale dans les 72 heures, puis une notification complémentaire quand les informations sont réunies. Si les 72 heures sont dépassées, la notification reste due : vous expliquez les motifs du retard dans le téléservice.

Ce que contient la notification

Elle se fait en ligne, sur le téléservice de la CNIL, et reprend les éléments du registre : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises, et les coordonnées d'une personne à contacter.

Ce qui se passe ensuite

D'après la CNIL, la notification est étudiée dans les 24 heures ouvrées ; au besoin seulement, elle vous répond dans les 72 heures avec des conseils ou des questions. Sans retour sous deux mois, vous pouvez considérer qu'elle n'a pas de remarque.

Informer vos clients : seulement si le risque est élevé

L'article 34 impose de prévenir les personnes concernées, dans les meilleurs délais, lorsque la violation est susceptible d'engendrer un risque élevé pour elles. Le message, en termes clairs et simples, décrit la nature de la violation, ses conséquences probables, les mesures prises et une personne à contacter. La CNIL recommande d'y ajouter des conseils pratiques pour en limiter les effets, par exemple changer son mot de passe ou vérifier les informations de son compte.

Trois exceptions existent :

1. les données étaient rendues incompréhensibles pour qui n'y a pas droit, par exemple par un chiffrement dont la clé n'a pas été compromise ;
2. vous avez pris ensuite des mesures qui empêchent le risque élevé de se réaliser ;
3. prévenir chaque personne demanderait des efforts disproportionnés, par exemple faute de coordonnées : une communication publique tout aussi efficace la remplace alors.

Si vous n'avez pas informé les personnes, la CNIL peut l'exiger après examen (article 34, paragraphe 4).

Sur la forme, le CEPD demande un message dédié : pas un paragraphe glissé dans une newsletter, et pas un simple article de blog, qu'il juge insuffisant. E-mail, SMS, bandeau visible sur le site, courrier : le moyen qui touche réellement les personnes.

Le nettoyage du site nourrit le registre

Les questions du registre sont celles d'un bon nettoyage : par où l'intrus est entré, depuis quand, ce qu'il a touché, ce qui a été corrigé. D'où l'importance du premier geste de notre méthode pour nettoyer un site WordPress piraté : sauvegarder le site tel qu'il est, infection comprise, avant toute réparation.

Le compte rendu de nettoyage devient ensuite une pièce du registre. Il devrait au minimum indiquer :

• la date de découverte et celle de la confirmation ;
• la porte d'entrée retenue et la date de première intrusion visible dans les journaux ;
• les comptes, fichiers et tâches ajoutés par l'intrus ;
• les traces d'accès ou d'export de la base de données, ou leur absence ;
• les mesures prises : mots de passe changés, faille corrigée, site remis en ligne.

La CNIL conseille, lorsque la violation fait suite à une cyberattaque, de déposer plainte au commissariat ou à la gendarmerie et de garder à disposition les preuves techniques. Cybermalveillance.gouv.fr et 17Cyber.gouv.fr, cité par la CNIL, orientent gratuitement les victimes. La plainte ne remplace pas la notification à la CNIL : ce sont deux démarches distinctes.

Les sanctions : ce que dit le texte

Le manquement aux obligations des articles 33 et 34, comme à l'obligation de sécurité de l'article 32, relève de l'article 83, paragraphe 4 : une amende administrative pouvant aller jusqu'à 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Pour décider d'une amende et de son montant, l'autorité tient compte, entre autres, des mesures prises pour atténuer le dommage, du degré de coopération et de la manière dont elle a appris la violation, « notamment si […] le responsable du traitement […] a notifié la violation » (article 83, paragraphe 2). La notification fait donc partie des éléments pris en compte, au même titre que la réaction et la coopération. La CNIL rappelle qu'elle peut contrôler le registre et que son examen peut porter sur le niveau de sécurité que la violation révèle.

Le plan, dans l'ordre

1. Dès la découverte : notez la date et l'heure, faites sauvegarder le site en l'état, changez les accès.
2. Dans les premières heures : faites établir ce que l'intrus pouvait atteindre (administration, fichiers, base) et quelles données personnelles s'y trouvent.
3. Ouvrez l'entrée du registre dès que la violation est confirmée, même incomplète.
4. Évaluez le risque avec les critères de la CNIL. Aucun risque : justifiez-le par écrit. Risque : notification initiale à la CNIL sous 72 heures. En cas de doute, notifiez.
5. Risque élevé : préparez un message dédié aux personnes concernées, avec des conseils concrets.
6. Nettoyez et corrigez la faille, puis joignez le compte rendu au registre et complétez la notification si vous l'avez faite.
7. Déposez plainte si l'incident résulte d'une attaque, en gardant les preuves techniques.

Le faire vous-même ou le confier

La décision de notifier vous appartient ; pour un cas délicat (données de santé, mineurs, milliers de clients), un délégué à la protection des données ou un avocat est le bon interlocuteur. Notre rôle est technique : établir les faits dont votre analyse a besoin. Un nettoyage sérieux se termine par un compte rendu daté (porte d'entrée, période d'exposition, comptes et fichiers ajoutés, traces d'accès à la base) que vous pouvez joindre à votre registre ou à votre notification : demandez-le, à nous comme à tout prestataire. BetterCallBil est référencé sur la plateforme Cybermalveillance.gouv.fr ; le guide site piraté rassemble nos autres articles.

Bilal Destouches

Fondateur de BetterCallBil, prestataire référencé sur la plateforme Cybermalveillance.gouv.fr. Plus de dix ans de sites web, 200 sites gérés, et depuis 2026 une veille quotidienne des sites français qui servent du spam à Google. Notre méthode · Mentions légales