Le 19 juin 2026, la CNIL a actualisé ses recommandations sur les mots de passe. Ce n’est pas un sujet technique secondaire pour les entreprises qui collectent des données clients. Une politique d’authentification trop faible peut devenir le point de départ d’une fuite de données, d’une notification CNIL, d’une information des clients, d’un litige avec un prestataire informatique ou d’une discussion difficile avec l’assureur cyber.
Pour un dirigeant, la question pratique est simple : si des comptes clients sont accessibles avec des mots de passe faibles, réutilisés, insuffisamment protégés ou sans double authentification lorsque le risque l’exige, l’entreprise pourra-t-elle démontrer qu’elle a pris des mesures de sécurité adaptées ?
La réponse dépend moins d’une formule magique que d’un dossier de preuve. Il faut pouvoir expliquer la politique de mot de passe, les mesures complémentaires, les journaux de connexion, les alertes, les correctifs appliqués, les décisions prises après incident et les informations données aux personnes concernées.
Une faille de mot de passe peut devenir une violation de données
Une entreprise peut subir une attaque sans que toutes les données soient immédiatement publiées sur internet. Le risque commence parfois plus tôt : tentative de connexion massive, credential stuffing, réutilisation d’identifiants volés sur un autre site, absence de verrouillage après essais répétés, stockage non sécurisé des mots de passe, accès administrateur conservé par un ancien prestataire.
Lorsque ces faits touchent des données personnelles, la grille RGPD s’applique. Une violation de données peut résulter d’un accès non autorisé, d’une perte de confidentialité, d’une altération ou d’une indisponibilité de données relatives à des personnes physiques : clients, prospects, salariés, fournisseurs individuels, contacts de facturation ou utilisateurs d’une plateforme.
La difficulté vient du délai. L’entreprise découvre rarement l’étendue exacte de l’incident le premier jour. Elle sait qu’un accès suspect existe, mais ne sait pas encore si les données ont été copiées. Elle sait qu’un compte administrateur a été compromis, mais ignore si l’attaquant a consulté la base clients. Elle sait que des mots de passe ont été forcés, mais ne sait pas encore combien d’utilisateurs sont concernés.
Dans cette phase, il ne faut pas attendre passivement le rapport final. Il faut qualifier le risque, documenter les faits connus et décider rapidement si une notification à la CNIL est nécessaire.
Ce que la CNIL attend d’une politique de mots de passe
La recommandation CNIL du 19 juin 2026 insiste sur un point : une politique de mots de passe doit être définie pour chaque système d’information ou traitement de données personnelles. Elle ne se limite pas à écrire dans une charte que les utilisateurs doivent choisir un mot de passe complexe.
L’entreprise doit pouvoir justifier des critères de robustesse retenus. La CNIL raisonne notamment en termes de résistance aux attaques par force brute ou par dictionnaire. En pratique, cela impose de réfléchir à la longueur, à l’imprévisibilité, aux mots de passe trop communs, au stockage, au renouvellement en cas de compromission, au verrouillage ou ralentissement des tentatives, ainsi qu’aux mesures complémentaires comme l’authentification multifacteur.
Le point le plus important pour un dirigeant est probatoire. Si l’entreprise est contrôlée après une fuite de comptes clients, elle devra montrer ce qui existait avant l’incident. Une politique rédigée après coup ne suffit pas. Il faut des traces : règles configurées dans l’outil, captures ou exports d’administration, procédures internes, ticket de mise en production, contrat avec le prestataire, preuve de hachage des mots de passe, journal des changements, revue des accès privilégiés.
Un site e-commerce, un extranet client, un logiciel SaaS, un CRM accessible à distance ou un portail de paiement ne présentent pas le même risque. Plus le traitement est sensible, plus l’entreprise doit pouvoir expliquer pourquoi la mesure choisie était adaptée.
Après une attaque : les décisions à prendre dans les premières heures
Le premier réflexe n’est pas de supprimer les comptes, de purger les journaux ou de réinitialiser tous les accès sans méthode. Il faut d’abord contenir l’incident sans effacer la preuve.
Il convient d’isoler les systèmes touchés, de suspendre les accès suspects, de conserver les journaux de connexion, de dater les premières alertes, de préserver les courriels de phishing éventuels et d’identifier les comptes privilégiés. Si un prestataire administre l’environnement, il faut lui demander immédiatement les logs, les adresses IP, les horaires d’accès, les actions réalisées et les correctifs appliqués.
La réinitialisation des mots de passe peut être nécessaire. Elle doit être organisée. Il faut décider si elle concerne tous les utilisateurs ou seulement une catégorie, si une authentification multifacteur doit être imposée, si certains accès doivent rester gelés le temps de l’analyse et comment informer les personnes concernées sans créer de panique ni minimiser le risque.
Un tableau de crise est utile. Il doit indiquer l’heure de découverte, la nature des données, les systèmes concernés, les décisions prises, les personnes prévenues, les prestataires sollicités, les notifications envisagées et les justificatifs conservés.
Quand notifier la CNIL et quand prévenir les clients ?
La CNIL rappelle que les articles 33 et 34 du RGPD encadrent les violations de données personnelles. Lorsque la violation présente un risque pour les droits et libertés des personnes, l’entreprise doit la notifier à l’autorité compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Ce délai ne suppose pas que l’enquête technique soit terminée. Une notification initiale peut être complétée ensuite. L’erreur fréquente consiste à attendre une certitude absolue alors que les premiers éléments suffisent déjà à caractériser un risque sérieux.
L’information directe des clients dépend d’un seuil plus élevé. Elle devient nécessaire lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. Ce peut être le cas si des identifiants, coordonnées, données bancaires, documents d’identité, informations de santé, données de compte ou historiques sensibles sont exposés.
Le message envoyé aux clients doit rester utile. Il doit expliquer ce qui s’est passé, quelles données sont concernées ou susceptibles de l’être, quelles mesures l’entreprise a prises, quels gestes sont recommandés et qui contacter. Il faut éviter deux excès : affirmer trop vite qu’aucune donnée n’a été consultée, ou envoyer un message vague qui n’aide personne à se protéger.
Le rôle du sous-traitant informatique
Beaucoup d’entreprises ne gèrent pas seules leur sécurité. Le site, le CRM, la boutique en ligne, l’hébergement, la messagerie ou le portail client peuvent dépendre d’un éditeur SaaS, d’une agence web, d’un infogérant, d’un hébergeur ou d’un prestataire de maintenance.
Cette organisation ne supprime pas la responsabilité du responsable de traitement. Elle impose de relire les contrats. Il faut vérifier les clauses de sécurité, de confidentialité, de sous-traitance RGPD, d’assistance en cas de violation, de délai d’alerte, de restitution des logs, de sauvegarde, de réversibilité et d’assurance.
Si le prestataire a laissé un accès administrateur ouvert, n’a pas appliqué un correctif connu, a conservé des identifiants partagés ou refuse de remettre les journaux, la question devient contentieuse. Une mise en demeure peut être nécessaire pour obtenir les éléments techniques. Dans les cas urgents, une procédure en référé peut être envisagée pour préserver ou obtenir des preuves avant qu’elles ne disparaissent.
L’entreprise doit aussi faire attention à sa propre communication. Dire au client que « le prestataire est responsable » peut se retourner contre elle si le contrat ou le RGPD lui imposait de choisir un sous-traitant présentant des garanties suffisantes et de surveiller l’exécution des obligations de sécurité.
Les pièces à réunir pour se défendre
Après une cyberattaque liée à des mots de passe ou à une compromission de comptes, les pièces utiles sont toujours les mêmes.
Il faut conserver la politique de mots de passe applicable avant l’incident, les paramètres d’authentification, les preuves de hachage ou de stockage sécurisé, les mesures contre les tentatives répétées, les règles de réinitialisation, les journaux de connexion, les alertes de sécurité, les tickets du prestataire, les comptes administrateurs actifs, les dates de désactivation des anciens accès et les sauvegardes disponibles.
Il faut aussi conserver les échanges avec l’hébergeur, l’agence web, l’éditeur SaaS, l’assureur, la banque, les clients concernés et la CNIL. Ces échanges permettront de démontrer que l’entreprise n’a pas laissé la crise sans réponse.
Enfin, il faut chiffrer les conséquences : frais de remédiation, interruption du site, pertes de commandes, temps passé, remboursements clients, frais d’information, audit de sécurité, honoraires, coûts de communication et éventuelles pénalités contractuelles.
Ce travail de preuve sert trois objectifs. Il limite le risque de sanction, prépare une demande d’indemnisation contre un prestataire fautif et sécurise les discussions avec l’assurance.
Paris et Île-de-France : organiser vite les recours utiles
Pour une entreprise située à Paris ou en Île-de-France, la notification CNIL se fait en ligne et suit les règles nationales. En revanche, la réaction opérationnelle dépend souvent de la proximité des prestataires, des clients et des juridictions compétentes.
Si un prestataire francilien refuse de coopérer, si un hébergeur ne transmet pas les logs, si une agence web conserve seule les accès ou si une plateforme bloque le compte de l’entreprise après l’incident, il faut agir vite. La priorité peut être de récupérer un accès, de figer les preuves, d’obtenir un rapport technique, de mettre en demeure le sous-traitant ou de préparer une procédure d’urgence.
La clause attributive de compétence, le tribunal de commerce compétent, les conditions générales du prestataire et la localisation du dommage doivent être examinés avant d’envoyer une demande trop large. Un courrier mal cadré peut faire perdre du temps. Une demande précise, fondée sur les obligations contractuelles et RGPD, augmente les chances d’obtenir les pièces utiles.
Ce qu’il faut faire maintenant
Si votre entreprise exploite un espace client, un site e-commerce, une application SaaS ou un CRM contenant des données personnelles, il faut vérifier quatre points avant l’incident.
Le premier est la robustesse des mots de passe et des mesures complémentaires. Le deuxième est l’existence d’une authentification multifacteur pour les comptes sensibles. Le troisième est la capacité à produire rapidement les journaux de connexion. Le quatrième est le contrat avec les prestataires qui administrent l’accès aux données.
Si l’incident a déjà eu lieu, l’urgence est différente. Il faut dater la découverte, isoler les accès compromis, préserver les logs, qualifier le risque RGPD, décider de la notification CNIL, préparer l’information des clients si elle est nécessaire, relire l’assurance cyber et organiser les recours contre le prestataire ou l’auteur de la faute.
Une faille de mot de passe n’est pas seulement un incident informatique. C’est un dossier juridique, probatoire et commercial. L’entreprise qui peut démontrer sa méthode se défend mieux que celle qui découvre ses obligations après la fuite.
Sources utiles : la recommandation CNIL du 19 juin 2026 sur les mots de passe, la page CNIL sur les violations de données personnelles, le guide public Cybermalveillance.gouv.fr pour les dirigeants victimes de cyberattaque et notre page dédiée aux avocats en droit des affaires à Paris.
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous pouvons qualifier l’incident, préparer une notification CNIL, sécuriser les preuves, relire les contrats informatiques et organiser les recours contre un prestataire ou un partenaire.
Pour une entreprise située à Paris ou en Île-de-France, l’analyse peut aussi intégrer les contrats avec les prestataires locaux, les preuves à préserver et l’urgence d’une procédure si des accès ou des journaux doivent être obtenus rapidement.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.