La CNIL a publié le 27 mai 2026 un cas pratique consacré à une situation devenue très concrète pour les entreprises : un prestataire informatique, cloud ou SaaS est attaqué, les données de plusieurs clients sont touchées, et chacun se demande qui doit notifier, informer, réparer et répondre aux demandes urgentes.
Cette situation est fréquente dans les contrats d’hébergement, de maintenance, d’infogérance, de CRM, de paiement, de paie ou de logiciel métier. L’entreprise cliente n’a pas toujours la main sur les serveurs ni sur les journaux techniques. Le prestataire, lui, n’est pas toujours le responsable juridique final vis-à-vis des personnes concernées. En pratique, les 72 premières heures servent donc à trier les rôles, sécuriser les preuves et éviter deux erreurs : attendre trop longtemps le rapport complet du prestataire, ou notifier sans savoir précisément quelles données sont concernées.
Voici la méthode à suivre lorsqu’une cyberattaque frappe un sous-traitant RGPD et menace les données d’une entreprise cliente.
Le premier réflexe : séparer les deux rôles
Dans une cyberattaque touchant un prestataire, il faut distinguer deux situations.
Le prestataire est responsable de traitement pour ses propres données : fichiers salariés, comptes utilisateurs internes, données de facturation, données commerciales, logs de ses propres outils. Pour ces données, il doit analyser lui-même la violation, tenir son registre et notifier la CNIL si le risque le justifie.
Le prestataire est aussi sous-traitant lorsqu’il traite les données de ses clients pour leur compte : base clients, dossiers RH, fichiers prospects, données de patients, données de paie, historiques de commandes, tickets de support, pièces contractuelles. Pour ces données, le client reste en principe responsable de traitement. C’est donc le client qui doit décider s’il notifie la CNIL et s’il informe les personnes concernées.
Cette distinction est essentielle. Le prestataire ne peut pas se contenter de dire qu’il est victime d’une cyberattaque. Il doit aider ses clients à comprendre l’incident. Le client, de son côté, ne peut pas attendre passivement que le prestataire termine son enquête si le délai légal court déjà.
Ce que le sous-traitant doit faire immédiatement
Le sous-traitant doit d’abord contenir l’incident : couper les accès compromis, réinitialiser les comptes, isoler les environnements touchés, conserver les journaux utiles et documenter les premières mesures. La priorité technique est d’éviter l’aggravation de la fuite ou du chiffrement.
Sur le plan RGPD, il doit informer sans délai les responsables de traitement concernés. Cette information ne doit pas rester vague. Le client a besoin de savoir :
- quand l’incident a été détecté ;
- quels systèmes sont touchés ;
- quelles catégories de données peuvent être concernées ;
- si une exfiltration est suspectée ou confirmée ;
- combien de personnes sont potentiellement concernées ;
- quelles mesures de confinement ont déjà été prises ;
- quelles informations restent incertaines ;
- qui est le contact de crise côté prestataire.
Le sous-traitant peut préparer une trame de notification, une ligne dédiée, un rapport d’incident ou une FAQ pour ses clients. Il peut aussi notifier la CNIL pour le compte d’un client, mais seulement si cette mission est clairement encadrée. Une simple aide technique ne transfère pas automatiquement la responsabilité juridique.
Ce que le client doit faire sans attendre le rapport final
L’entreprise cliente doit ouvrir son propre dossier de violation de données. Même si l’incident vient du prestataire, elle doit apprécier le risque pour les personnes concernées : salariés, clients, fournisseurs, prospects, dirigeants, utilisateurs ou patients selon l’activité.
Si la violation présente un risque pour les droits et libertés des personnes, la notification à la CNIL doit être faite dans les 72 heures après en avoir pris connaissance, lorsque c’est possible. Si le délai ne peut pas être tenu, il faut expliquer les raisons du retard et compléter ensuite la notification.
L’entreprise doit aussi tenir un registre interne des violations, y compris lorsque l’incident n’est finalement pas notifié. Ce registre doit montrer que la décision a été prise sérieusement : nature des données, volume, mesures de sécurité, conséquences possibles, décisions prises, échanges avec le prestataire.
Lorsque le risque est élevé, les personnes concernées doivent être informées directement. Le message doit être compréhensible et utile : ce qui s’est passé, quelles données sont concernées, quelles conséquences sont possibles, quelles précautions prendre, et qui contacter. Un message trop vague peut aggraver la crise, car il donne l’impression que l’entreprise cache l’étendue de l’incident.
Les preuves à demander au prestataire informatique
Le client doit formaliser rapidement ses demandes. Un appel de crise est utile, mais il ne suffit pas. Il faut conserver une trace écrite des informations reçues et des demandes restées sans réponse.
Les pièces utiles sont notamment :
- le contrat principal et ses annexes RGPD ;
- le plan d’assurance sécurité ou les engagements de service ;
- la liste des sous-traitants ultérieurs ;
- la chronologie de l’incident ;
- les journaux techniques disponibles ;
- les indicateurs de compromission ;
- les sauvegardes disponibles et leur date ;
- les données concernées par client ;
- les mesures correctrices ;
- les échanges avec l’assureur cyber ;
- les notifications déjà faites par le prestataire pour son propre compte.
Si le prestataire reste imprécis, une mise en demeure peut être nécessaire. Elle doit demander les informations indispensables à l’analyse RGPD, mais aussi réserver les droits du client : pertes d’exploitation, atteinte à l’image, coûts de notification, frais de reconstitution, interventions informatiques, pénalités contractuelles, recours de clients finaux.
Notification CNIL : ne pas confondre aide et transfert de responsabilité
La CNIL rappelle que le sous-traitant doit aider ses clients à respecter leurs obligations. Cette aide peut prendre plusieurs formes : remontée d’information, modèle de notification, documentation technique, réponse aux questions, canal de crise, mise à jour régulière de l’enquête.
Mais cette aide ne supprime pas l’obligation du responsable de traitement. Si l’entreprise cliente traite les données pour ses propres finalités, c’est elle qui doit apprécier le risque et décider de notifier. Elle ne doit donc pas se contenter d’une formule du type « le prestataire gère avec la CNIL ».
En pratique, deux notifications peuvent coexister. Le prestataire peut notifier pour les données dont il est responsable. Le client peut notifier pour les données qu’il traite en tant que responsable. Les deux démarches doivent rester cohérentes : mêmes dates, mêmes faits techniques, mêmes catégories de données, mêmes mesures correctrices.
Peut-on agir contre le prestataire après la cyberattaque ?
Oui, mais la responsabilité du prestataire n’est pas automatique. Il faut examiner le contrat, les engagements de sécurité, les sauvegardes prévues, les exclusions de responsabilité, les fautes techniques alléguées et le lien entre l’incident et le préjudice.
La jurisprudence récente montre l’importance de la preuve. Dans une décision du 28 mai 2026, le tribunal judiciaire de Metz a retenu qu’un prestataire informatique devait « assurer la sécurité de la conservation des données » qui lui avaient été remises. La décision est consultable sur le site de la Cour de cassation : TJ Metz, 28 mai 2026, n° 23/01633.
Dans une autre affaire, le tribunal de commerce de La Roche-sur-Yon a examiné le rôle très large d’un prestataire qui avait la « responsabilité totale de la fonction informatique ». Cette décision illustre l’intérêt de qualifier précisément la mission confiée : maintenance ponctuelle, infogérance globale, sauvegarde, supervision, hébergement, cybersécurité. La décision est disponible ici : TC La Roche-sur-Yon, 14 janvier 2025, n° 2023005634.
À l’inverse, la cour d’appel de Lyon a rappelé le 12 juin 2025 qu’une cyberattaque ne suffit pas toujours à engager la responsabilité du prestataire si la faute, l’obligation contractuelle précise et le préjudice ne sont pas démontrés. La décision peut être consultée ici : CA Lyon, 12 juin 2025, n° 22/00548.
Avant d’agir, le client doit donc réunir un dossier probatoire solide. L’objectif n’est pas seulement de prouver qu’une attaque a eu lieu, mais d’établir ce que le prestataire devait faire, ce qu’il n’a pas fait, et ce que cette défaillance a coûté.
Paris et Île-de-France : organiser la crise avec les bons interlocuteurs
Pour une entreprise située à Paris ou en Île-de-France, la crise doit être organisée vite : direction, DPO, RSSI, avocat, assureur cyber, expert informatique et prestataire doivent travailler sur une chronologie commune.
Lorsque le prestataire est une société commerciale, le litige contractuel peut relever du tribunal de commerce si les parties sont commerçantes. Certaines demandes urgentes peuvent aussi être envisagées en référé : obtenir des documents, préserver une preuve, faire cesser un trouble, encadrer la restitution de données ou organiser une expertise. Le choix dépend du contrat, de la qualité des parties et de l’urgence.
L’enjeu est souvent double : respecter les obligations CNIL dans les délais et préparer un recours si le prestataire a manqué à ses obligations. Ces deux objectifs ne se contredisent pas. Au contraire, une notification bien documentée, un registre de violation complet et une chronologie fiable renforcent ensuite le dossier indemnitaire.
Checklist des 72 premières heures
Dans les premières heures, l’entreprise cliente doit :
- désigner un responsable de crise ;
- obtenir une première note écrite du prestataire ;
- identifier les traitements et les personnes concernées ;
- évaluer le risque pour les personnes ;
- ouvrir le registre interne de violation ;
- décider si une notification CNIL initiale est nécessaire ;
- préparer une information des personnes si le risque est élevé ;
- conserver les preuves techniques et contractuelles ;
- prévenir l’assureur si le contrat le prévoit ;
- encadrer par écrit les demandes adressées au prestataire.
Si vous êtes dirigeant, DPO ou responsable juridique, ne laissez pas la crise uniquement entre les mains du prestataire. Il peut aider, mais il ne porte pas toujours toutes les obligations à votre place.
Pour le sujet plus général des cyberattaques et de la notification en 72 heures, vous pouvez aussi consulter notre article : Cyberattaque en entreprise : que faire dans les 72 heures après une fuite de données ?.
Sources utiles
- CNIL, cyberattaque : le sous-traitant au centre de la crise
- CNIL, notifier une violation de données personnelles
- CNIL, gérer les incidents et les violations
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous pouvons analyser le contrat du prestataire, qualifier vos obligations CNIL, préparer une mise en demeure et organiser les premières mesures de preuve.
Le cabinet accompagne les entreprises à Paris et en Île-de-France dans les litiges commerciaux, les urgences contractuelles et les crises liées aux données.
Voir aussi notre page dédiée aux avocats en droit des affaires à Paris.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.