Dois-je prévenir mes clients et la CNIL après un piratage

Ce que le RGPD appelle une violation de données

La définition est plus large que ce que la plupart des marchands imaginent. Pour la CNIL, une violation de données personnelles est un incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de données personnelles.

Trois conséquences pratiques, souvent mal comprises :

• Il n’est pas nécessaire qu’il y ait vol. Une base de commandes effacée par un attaquant, ou rendue inutilisable par un chiffrement, est déjà une violation.
• Il n’est pas nécessaire qu’il y ait intrusion. Des fichiers de journalisation contenant des noms, adresses et téléphones de clients, simplement lisibles depuis l’extérieur, constituent une divulgation non autorisée. L’avis publié en mai 2026 sur le module de transport upsshipping pour PrestaShop demande d’ailleurs explicitement aux marchands concernés d’évaluer leurs obligations au titre du RGPD.
• Il n’est pas nécessaire que vous soyez fautif. L’obligation pèse sur le responsable de traitement, c’est-à-dire vous, quelle que soit l’origine technique de l’incident.

À l’inverse, tout incident de sécurité n’est pas une violation de données : un site défiguré sur sa page d’accueil, sans accès à la base ni aux fichiers contenant des données personnelles, n’en est pas une. La distinction se fait sur les données, pas sur la gravité ressentie.

Quand les 72 heures commencent réellement à courir

Le délai de notification à la CNIL est de 72 heures à compter du moment où vous avez pris connaissance de la violation. C’est ce point de départ qui pose problème en pratique.

Prendre connaissance ne veut pas dire avoir terminé l’analyse, ni avoir la certitude que des données sont sorties. Le compteur démarre quand vous avez un degré raisonnable de certitude qu’un incident de sécurité affectant des données personnelles s’est produit. Autrement dit : le jour où vous découvrez une extension piégée ou un fichier étranger qui a eu accès à la base, pas le jour où votre prestataire vous rend son rapport.

Le RGPD prévoit explicitement le cas où l’analyse n’est pas terminée : la notification peut être faite en plusieurs fois, avec les informations disponibles, puis complétée. Et si le délai est dépassé, la notification doit être accompagnée des motifs du retard. Une notification tardive et motivée vaut mieux qu’une absence de notification.

Comment savoir dans quel cas on se trouve

C’est ici que le travail technique conditionne la décision juridique. L’évaluation du risque dépend de la nature des données atteignables, de leur volume, de la facilité à identifier les personnes, et des conséquences plausibles pour elles.

Les incidents publiés récemment donnent une idée du gradient. Une porte dérobée qui exfiltre des identifiants techniques et un inventaire d’extensions, comme la faille corrigée en mars 2026 dans l’extension d’envoi d’e-mails Gravity SMTP, ne touche pas directement vos clients — mais elle ouvre d’autres portes, et la question devient celle de ce qui a été fait ensuite avec ces clés. À l’opposé, la charge malveillante décrite en juin 2026 dans la compromission de chaîne de distribution d’un éditeur d’extensions WordPress extrayait les commandes WooCommerce des trois derniers mois : là, le périmètre nominatif est net, et daté. Et quand du code capture les données de carte au moment de la saisie, comme dans le vol par double formulaire documenté par Sansec en février 2026, on est dans le cas le plus lourd, avec l’obligation d’informer les clients et de prévenir votre prestataire de paiement.

Une remarque qui compte : le fait que les mots de passe clients soient stockés sous forme d’empreintes est un élément d’atténuation, pas une dispense. Le RGPD prévoit des dispenses d’information individuelle notamment quand les données étaient chiffrées avec des clés non compromises, quand des mesures ultérieures ont supprimé le risque, ou quand contacter chaque personne demanderait un effort disproportionné — mais c’est à vous de démontrer que vous êtes dans l’un de ces cas.

Ce qu’on écrit aux clients, et sur quel ton

Le message aux personnes concernées n’est ni un communiqué de presse ni une excuse. Il doit décrire la nature de la violation en termes compréhensibles, indiquer les conséquences probables, donner un point de contact, exposer les mesures prises et celles envisagées, et surtout formuler des recommandations que la personne peut appliquer elle-même.

Trois erreurs que je vois régulièrement : minimiser au point que le client ne comprend pas qu’il doit agir ; envoyer un message si générique qu’il ressemble lui-même à une tentative d’hameçonnage ; et attendre d’avoir tout compris pour écrire quoi que ce soit. Un message court, daté, précis sur ce qui était concerné et sur ce qui ne l’était pas, vaut mieux qu’un silence de trois semaines.

Le canal compte aussi. Si votre propre système d’envoi d’e-mails a été touché, envoyez depuis un autre canal, et dites-le : cela évite que votre message légitime soit pris pour une suite de l’attaque.