Votre prestataire de facturation, votre CRM en ligne ou votre hébergeur vous écrit un vendredi soir : un « incident de sécurité » a exposé des données. Ou pire, ce sont vos clients qui vous alertent, parce que leurs informations circulent, parce qu’ils reçoivent des appels frauduleux, parce que leur compte a été compromis. Dans les deux cas, la même question tombe : que faire, et dans quel ordre, quand la fuite vient de l’outil informatique que vous avez choisi ? La réponse tient en trois chantiers menés en parallèle : traiter l’incident au regard du RGPD avec des délais comptés en heures, faire exécuter le contrat par le prestataire, et préparer le terrain de la sanction comme celui de la réparation. Ce guide décrit la méthode complète : qualifier la violation, la documenter, obtenir l’alerte du sous-traitant, notifier la CNIL sous 72 heures en cas de risque, informer les clients en cas de risque élevé, relire le contrat de sous-traitance article par article, contester une sanction éventuelle et comprendre comment les victimes peuvent être indemnisées.
I. Réagir vite et dans l’ordre : qualifier l’incident, le documenter, alerter le bon acteur
A. Dire s’il y a violation de données et écrire ce qui s’est passé
Tout incident de sécurité n’est pas une violation de données personnelles, mais tout incident qui touche des données personnelles doit être traité comme une violation présumée jusqu’à preuve du contraire. La définition de référence est posée par le règlement européen : constitue une violation toute atteinte à la sécurité entraînant destruction, perte, altération, divulgation non autorisée de données personnelles ou accès non autorisé à ces données, de manière accidentelle ou illicite. La CNIL reprend cette définition et donne des exemples concrets : suppression accidentelle de données médicales non sauvegardées, perte d’une clef USB non sécurisée contenant une copie d’un fichier clients, introduction malveillante dans une base de données.
Concrètement, une base clients exposée sur internet, un accès anormal aux comptes administrateurs de votre outil de facturation, un envoi de fichiers à un destinataire inconnu ou un rançongiciel chez votre hébergeur entrent dans cette définition. L’erreur la plus coûteuse consiste à minimiser l’événement avant de l’avoir qualifié : les organismes qui traitent des données personnelles doivent prévoir des procédures qui couvrent tout le cycle, depuis la détection jusqu’à la décision de notifier, comme le recommande la CNIL sur sa page dédiée aux violations.
Dès l’alerte, trois réflexes s’imposent. D’abord, endiguer : révoquer les accès compromis, isoler les systèmes atteints, demander par écrit au prestataire les mesures de confinement qu’il a prises et l’heure exacte de leur mise en œuvre. Ensuite, qualifier : identifier les catégories de données touchées et le nombre approximatif de personnes concernées, car c’est de cette analyse que dépendent les obligations de notification. Enfin, documenter : le règlement impose au responsable du traitement de documenter chaque violation dans un registre interne qui consigne les faits, les effets et les mesures prises pour y remédier (obligations détaillées par la CNIL). Cette documentation peut être contrôlée par la CNIL pour vérifier le respect de ces obligations, y compris lorsque vous décidez de ne pas notifier. Conservez les journaux techniques, les échanges horodatés avec le prestataire, les captures et les décisions prises : ce registre des violations est votre première pièce de défense en cas de contrôle.
Cette phase de qualification détermine aussi qui fait quoi. Si les données ont fuité chez votre prestataire, c’est lui le premier informé ; le règlement lui impose d’alerter : de notifier au responsable du traitement toute violation de données personnelles « dans les meilleurs délais » (obligations en cas de violation rappelées par la CNIL). La CNIL le rappelle en des termes directs : les sous-traitants doivent alerter l’organisme de tout incident de sécurité au plus vite, pour lui permettre de remplir ses propres obligations. Votre contrat doit donc prévoir un délai de notification chiffré en heures, un interlocuteur joignable et un contenu minimal d’alerte, faute de quoi vous apprendrez l’incident par vos clients ou par la presse. Passé ce premier tri, la question devient celle des délais légaux, qui ne pardonnent pas.
B. Notifier la CNIL sous 72 heures et informer les personnes en cas de risque élevé
Lorsque la violation fait peser un risque sur les droits et libertés des personnes, la notification à la CNIL est obligatoire : le responsable du traitement doit notifier la violation à l’autorité de contrôle au plus tôt et, si possible, dans les 72 heures de sa découverte, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. La CNIL formule la même règle sur son site : si la violation entraîne un risque, le responsable du traitement doit notifier cette violation à la CNIL au plus tôt et dans un délai maximal de 72 heures Lorsque la notification n’a pas lieu dans les 72 heures, elle doit être accompagnée des motifs du retard. Seule l’absence de risque dispense de notifier, et cette appréciation doit figurer dans le registre interne, à la disposition de la CNIL en cas de contrôle.
La notification s’effectue par le téléservice sécurisé de la CNIL et doit contenir au minimum la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les coordonnées du délégué à la protection des données ou d’un autre point de contact, et les mesures prises pour y remédier. Si toutes les informations ne sont pas disponibles, elles peuvent être communiquées de manière échelonnée, sans retard indu : l’incomplétude initiale n’autorise jamais le silence.
Un second seuil se superpose au premier. lorsque la violation est susceptible d’engendrer un risque élevé pour ses droits et libertés, le responsable du traitement doit la lui communiquer dans les meilleurs délais (règle exposée par la CNIL). Cette information des clients, en des termes clairs et simples, est prioritaire car elle leur permet de prendre des mesures de protection : changer leurs mots de passe, surveiller leurs comptes, déposer plainte en cas d’usurpation. Trois exceptions seulement dispensent de cette communication individuelle : les données étaient protégées par des mesures qui les rendent incompréhensibles aux personnes non autorisées, « telles que le chiffrement » (exceptions listées par la CNIL), le responsable a pris des mesures qui garantissent que le risque élevé ne se matérialisera plus, ou la communication individuelle exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente doit être réalisée. Si vous ne communiquez pas alors que le risque élevé est établi, l’autorité de contrôle peut vous l’ordonner après examen.
Concrètement, l’information adressée aux clients doit être opérationnelle : nature des données exposées, risques identifiés tels que l’hameçonnage, l’usurpation d’identité ou les accès frauduleux, mesures déjà prises par votre entreprise, gestes recommandés comme le changement des mots de passe et la vigilance face aux messages suspects, et coordonnées du point de contact dédié. Joignez-y l’indication des recours ouverts aux personnes, notamment la réclamation auprès de la CNIL et l’action en réparation, sans préjuger de leur issue. Cette transparence maîtrisée réduit les plaintes individuelles et démontre votre diligence en cas de contrôle ultérieur. À l’inverse, une communication vague ou tardive alimente les signalements et aggrave l’appréciation portée par l’autorité sur votre gestion de crise.
Préparer la notification, c’est d’abord réunir les pièces que le téléservice de la CNIL exige : nature et chronologie de l’incident, catégories de données et de personnes concernées avec des ordres de grandeur, conséquences probables pour les clients, coordonnées du délégué à la protection des données ou du point de contact désigné, et mesures déjà prises pour contenir la fuite et limiter ses effets. Associez systématiquement le délégué à la protection des données lorsqu’il existe, ainsi que le responsable informatique et le service juridique, et figez les échanges avec le prestataire par écrit. Si toutes les informations ne sont pas disponibles dans les 72 heures, la notification peut être complétée de manière échelonnée, sans retard indu : l’incomplétude initiale, dûment expliquée, ne vaut jamais abstention.
L’abstention a un coût. En 2025, la CNIL annonce 143 mises en demeure et 83 sanctions dont 78 amendes pour un montant cumulé de plus de 486 millions d’euros, selon sa page consacrée au contrôle et aux sanctions. La présidente de la CNIL peut mettre en demeure un organisme qui méconnaît le RGPD ou la loi de se mettre en conformité dans un délai imparti, et ces mises en demeure peuvent être rendues publiques. Une violation non notifiée, découverte par une plainte de clients ou par un contrôle, cumule alors les manquements : défaut de sécurité, défaut de notification, défaut d’information. C’est pour cette raison que la notification dans les délais n’est pas une option de communication, mais une obligation dont la violation se paie, comme le montre la suite contentieuse examinée en seconde partie.
II. Faire jouer le contrat et obtenir réparation : sous-traitant, sanction et juge
A. Relire le contrat de sous-traitance et agir contre le prestataire
L’incident révèle la qualité du contrat signé avec le prestataire. Le règlement n’autorise le responsable du traitement à ne recourir qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles (choix du sous-traitant expliqué par la CNIL), et il impose un contrat écrit qui encadre le traitement. La CNIL propose un guide et des exemples de clauses pour travailler avec un sous-traitant, et les cabinets spécialisés détaillent les mêmes rubriques obligatoires : objet, description du traitement, sécurité, sous-traitants ultérieurs, assistance, registre.
Quatre clauses décident de l’issue d’une fuite. Premièrement, l’assistance : le sous-traitant aide le responsable du traitement à répondre aux demandes d’exercice des droits des personnes et à respecter ses obligations de sécurité, de notification et d’analyse d’impact, par des mesures techniques et organisationnelles appropriées (contenu du contrat encadré par le règlement, détaillé par la CNIL). Concrètement, c’est le prestataire qui doit vous fournir les journaux, la liste des données exposées et les mesures correctives, sans lesquels vous ne pouvez ni notifier ni informer. Deuxièmement, le sort des données en fin de contrat : le sous-traitant doit, selon le choix du responsable du traitement, « supprime toutes les données à caractère personnel » ou « les renvoie au responsable du traitement » au terme de la prestation, et « [détruire] les copies existantes », sauf obligation légale de conservation (fin du contrat expliquée par la CNIL). Troisièmement, l’audit : le sous-traitant met à sa disposition les informations nécessaires pour démontrer le respect de ses obligations et pour « la réalisation d’audits, y compris des inspections », en y contribuant (audit du sous-traitant présenté par la CNIL). Quatrièmement, la chaîne de sous-traitance : lorsqu’un sous-traitant en recrute un autre, les mêmes obligations doivent être imposées à cet autre sous-traitant par contrat, et le sous-traitant initial reste pleinement responsable envers le responsable du traitement lorsque son propre sous-traitant manque à ses obligations (chaîne de sous-traitance expliquée par la CNIL). Vérifiez donc où vos données sont réellement hébergées et par qui.
Sur le plan opérationnel, agissez par écrit dès le premier jour : mise en demeure de fournir l’alerte complète, les causes, les données concernées et le plan de remédiation, avec un délai court et explicite prévu au contrat. Conservez tout, car ces échanges serviront à établir les responsabilités. La suspension des flux vers le prestataire, le changement d’hébergeur et la résiliation se décident au regard du contrat : gravité du manquement, engagements de sécurité et de disponibilité, pénalités, clause de réversibilité et délai de restitution des données. Au moment de choisir un prestataire, exigez des preuves concrètes de ses garanties : mesures de sécurité documentées, politique de gestion des incidents, localisation des hébergements, liste des sous-traitants ultérieurs avec droit d’objection, certifications ou codes de conduite reconnus, et références de notifications déjà gérées. Ces éléments se négocient dans le contrat sous forme d’engagements mesurables, assortis de délais d’alerte chiffrés en heures, d’un droit d’audit effectif et d’une clause de réversibilité détaillée. Un contrat qui se contente d’affirmer que le prestataire respecte le règlement, sans décrire comment, ne vous aidera ni à notifier en 72 heures ni à démontrer votre diligence devant la CNIL ou le juge.
Côté droit des contrats, l’inexécution par le prestataire ouvre les sanctions du droit commun : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : […] refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; […] poursuivre l’exécution forcée en nature de l’obligation ; […] obtenir une réduction du prix ; […] provoquer la résolution du contrat ; […] demander réparation des conséquences de l’inexécution » (article 1217 du code civil), sachant que « Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » (article 1217 du code civil). Quant à la sortie du contrat, « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice » (article 1224 du code civil). Vérifiez donc la clause résolutoire de votre contrat SaaS et, à défaut, caractérisez par écrit la gravité de l’inexécution avant toute notification de résolution (article 1224 du code civil).
Une jurisprudence récente d’appel en matière d’hébergement cloud, rendue après l’incendie d’un datacentre, illustre la sévérité de l’examen judiciaire : la force majeure invoquée par l’hébergeur a été rejetée, les clauses limitatives de responsabilité ont été maintenues après contrôle, et seul le préjudice découlant du manquement imputable au prestataire a été indemnisé (cour d’appel de Douai, 4 juin 2026, RG 24/00967). La leçon est générale : sauvegardes externalisées, tests de restauration, engagements mesurables et documentation valent mieux qu’une clause de force majeure rédigée large.
B. Sanction de la CNIL, recours et indemnisation des victimes
Le volet administratif suit son cours indépendamment du contrat. Après un contrôle ou des plaintes, la CNIL peut, en application de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, rappeler à l’ordre, mettre en demeure, puis sanctionner : injonction de mise en conformité y compris sous astreinte, limitation ou suspension du traitement, injonction de satisfaire aux demandes d’exercice des droits y compris sous astreinte, et amende administrative, selon la présentation officielle de la procédure de sanction. Une illustration récente montre l’articulation des outils : saisie de réclamations restées sans réponse après un rappel puis une mise en demeure, la CNIL a infligé par procédure simplifiée une amende de 15 000 euros assortie d’une injonction de répondre à la demande d’effacement sous un mois et sous astreinte de 50 euros par jour de retard (Conseil d’État, 28 novembre 2025, n° 499566, décision disponible sur Légifrance). Le recours de la société a été rejeté, y compris sur la régularité de la signification du rapport par commissaire de justice (Conseil d’État, 28 novembre 2025, n° 499566). Les sanctions et les mises en demeure prononcées sur le fondement de la procédure simplifiée de l’article 22-1 de la loi du 6 janvier 1978 suivent donc un contrôle juridictionnel complet. Cette décision confirme qu’ignorer une demande d’exercice des droits après mise en demeure conduit à une sanction pécuniaire cumulée à une injonction sous astreinte.
Contre une sanction, la voie de recours est unique : à compter de la notification de la décision, l’organisme mis en cause dispose d’un délai de deux mois pour la contester devant le Conseil d’État, comme l’indique la CNIL sur sa page des sanctions. Si votre entreprise est sanctionnée après une fuite, le contentieux portera sur la réalité des mesures de sécurité, la diligence de la notification et la proportionnalité de l’amende, au regard des critères de l’article 83 du RGPD, parmi lesquels la coopération avec l’autorité et les mesures prises pour atténuer le dommage. Les entreprises du même groupe ou les clients exposés par ricochet, eux, se tourneront vers le juge judiciaire.
Car la violation ouvre aussi un droit à réparation pour les personnes concernées : toute personne ayant subi un « dommage matériel ou moral » du fait d’une violation du règlement a le droit d’en obtenir « réparation du préjudice subi » auprès du responsable du traitement ou du sous-traitant. Chaque personne concernée dispose par ailleurs d’un droit à un recours juridictionnel effectif lorsqu’elle estime que le traitement de ses données a violé les droits que le règlement lui confère, devant les juridictions de l’État membre de son établissement ou de sa résidence habituelle. La Cour de justice a précisé les conditions de l’indemnisation dans son arrêt du 4 mai 2023 (affaire C-300/21, résumée par la Cour) : la seule violation du règlement ne suffit pas, un dommage causé par cette violation doit être démontré, y compris un préjudice moral réel même sans gravité particulière, sans qu’un seuil de sérieux puisse être exigé, et l’évaluation relève des juridictions nationales. Autrement dit, vos clients devront prouver un dommage, mais ce dommage moral peut résulter de la perte de contrôle de leurs données, de démarches entreprises ou d’une exposition avérée.
Côté entreprise, la répartition se joue entre responsable du traitement et sous-traitant. Le sous-traitant n’est responsable que s’il a méconnu les obligations que le règlement impose spécifiquement aux sous-traitants, ou s’il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. Chacun peut s’exonérer en prouvant que le fait à l’origine du dommage ne lui est nullement imputable, et lorsque plusieurs acteurs sont responsables, chacun répond du dommage dans sa totalité envers la victime, avec ensuite un recours contributif entre eux. Pour une analyse consolidée des sanctions, de la mise en demeure et des recours contre la CNIL, le lecteur peut se reporter au dossier du cabinet sur les entreprises sanctionnées par la CNIL.
De la même manière, vérifiez sans attendre les engagements de sauvegarde et de restauration prévus au contrat : qui sauvegarde, à quelle fréquence, avec quel délai de remise en service, et qui supporte le coût de la reconstitution des données lorsque la perte provient du prestataire. Ces stipulations, souvent reléguées en annexe technique, deviennent le centre du litige indemnitaire dès lors que l’activité est interrompue.
En pratique, si votre entreprise a désigné un délégué à la protection des données, associez-le dès la première heure : ses coordonnées figurent dans la notification adressée à la CNIL et dans l’information communiquée aux personnes, et son analyse du risque conditionne les décisions prises sous 72 heures. Vérifiez également votre registre des activités de traitement, qui doit décrire les catégories de données et de destinataires : un registre à jour accélère la qualification de l’incident et démontre une démarche de conformité en cas de contrôle. Enfin, conservez les données de connexion et les journaux utiles à l’établissement des responsabilités, dans le respect des durées de conservation applicables, et formalisez chaque étape par écrit, y compris les demandes restées sans réponse du prestataire : en cas de litige sur la notification, sur la résiliation ou sur la réparation, le dossier écrit fait la différence entre une défense construite et une version invérifiable.
Conclusion
Une fuite de données via un prestataire SaaS ou cloud ne se gère ni dans la précipitation ni dans le silence : qualifier l’incident au regard de la définition européenne, le documenter dans un registre contrôlable, exiger du sous-traitant une alerte complète dans les meilleurs délais, notifier la CNIL au plus tôt et au plus tard sous 72 heures en cas de risque, puis informer les clients en cas de risque élevé, sauf les trois exceptions légales. Le contrat de sous-traitance conditionne tout le reste : assistance du prestataire, audit, restitution ou suppression des données en fin de prestation et responsabilité du sous-traitant initial pour ses propres sous-traitants. L’abstention expose à la mise en demeure, à l’amende et à l’injonction sous astreinte, avec un recours limité à deux mois devant le Conseil d’État, tandis que les victimes peuvent agir devant le juge pour obtenir réparation de leur dommage matériel ou moral, sans seuil de gravité mais avec un dommage à démontrer. En pratique, l’entreprise qui notifie vite, informe clairement et conserve ses preuves se place à la fois du côté de la conformité et du côté de la défense.