+352 661 70 98 60Site WordPress piraté et données clients : notifier la CNPD sous 72 h
Après un piratage, l’urgence technique occupe tout l’espace : remettre le site en ligne, supprimer le code, rassurer Google. Une autre horloge tourne pourtant en parallèle. Si des données personnelles sont touchées, le RGPD vous laisse 72 heures pour notifier la Commission nationale pour la protection des données (CNPD).
Beaucoup de PME découvrent cette obligation trop tard. Elles pensent qu’un site vitrine ne contient rien de sensible. En réalité, formulaires, comptes clients, commandes et inscriptions à la newsletter sont autant de données personnelles.
Ce guide vous aide à qualifier l’incident, à respecter les délais et à documenter vos décisions. Il ne remplace pas l’avis de votre délégué à la protection des données ou de votre conseil juridique. Il vous donne les bons réflexes pour ne pas aggraver la situation.
Avant tout, vérifiez l’état de sécurité apparent de votre site. Notre outil ci-dessous en réalise une première analyse gratuite.
1. Quand un piratage devient une violation de données
1.1 La définition retenue par le RGPD
Selon l’article 4 du RGPD, appliqué par la CNPD, il y a violation dès que des données personnelles perdent leur disponibilité, leur intégrité ou leur confidentialité. La cause peut être accidentelle ou malveillante. Une fuite n’est donc pas le seul cas visé.
Un site chiffré par un rançongiciel, sans sauvegarde exploitable, subit une perte de disponibilité. Une base clients modifiée par un attaquant subit une atteinte à l’intégrité. Une base copiée vers l’extérieur subit une atteinte à la confidentialité.
1.2 Les données que contient réellement un site WordPress
Faites l’inventaire avant de conclure que rien n’est exposé. Un site WordPress d’entreprise stocke souvent plus d’informations qu’on ne le pense :
- les messages des formulaires de contact, parfois conservés en base par l’extension ;
- les comptes clients, adresses et historiques de commandes d’une boutique WooCommerce ;
- les inscrits à la newsletter ou aux livres blancs ;
- les candidatures reçues via une page carrières, avec CV joints ;
- les comptes des utilisateurs du site et leurs adresses e-mail.
Les données de carte bancaire sont en principe traitées par le prestataire de paiement. Un script injecté sur la page de commande peut néanmoins les intercepter au moment de la saisie. Google Ads cite d’ailleurs ces « skimmers » parmi les exemples de sites compromis.
2. Les obligations du RGPD en cas de violation
2.1 Notifier la CNPD dans les 72 heures
Si la violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNPD. Le délai court à partir du moment où vous en avez pris connaissance. Au-delà de 72 heures, la notification doit expliquer les raisons du retard.
La CNPD admet une notification en plusieurs temps : son formulaire prévoit une notification préliminaire, puis complémentaire quand l’enquête technique avance. Il s’envoie à l’adresse [email protected], avec la possibilité de chiffrer l’envoi grâce à la clé publique GPG de la CNPD. Ne joignez pas les données personnelles concernées par la violation. Cette souplesse évite d’attendre la fin du nettoyage pour agir.
2.2 Informer les personnes concernées
Si le risque est élevé, les personnes concernées doivent aussi être informées. Le message décrit la nature de la violation, ses conséquences probables et les mesures prises. Il peut inclure des recommandations, comme changer un mot de passe réutilisé ailleurs.
Cette information n’est pas exigée dans certains cas, par exemple si les données étaient chiffrées de façon à les rendre incompréhensibles. La CNPD peut toutefois l’imposer si elle juge l’information insuffisante.
2.3 Tenir un registre interne
Toute violation doit être documentée en interne, même celle qui ne nécessite aucune notification. Le registre consigne les faits, les effets et les mesures correctrices. Il justifie aussi une décision de ne pas notifier, en cas de contrôle.
3. Situation, qualification et action à engager
Le tableau suivant aide à orienter la décision. Chaque cas reste à apprécier selon le volume et la nature des données concernées.
| Situation constatée | Qualification probable | Action à engager |
|---|---|---|
| Défiguration de la page d’accueil, aucune donnée stockée | Incident de sécurité sans données personnelles | Nettoyer, tracer l’incident dans le registre |
| Accès administrateur obtenu, base consultable | Violation possible de confidentialité | Analyser les journaux, notifier la CNPD en cas de doute |
| Base clients exportée ou mise en vente | Violation de confidentialité, risque probable | Notifier la CNPD et évaluer l’information des clients |
| Script espion sur la page de commande | Violation à risque élevé | Notifier la CNPD, informer les clients, prévenir le prestataire de paiement |
| Site chiffré, sauvegarde récente restaurée | Perte temporaire de disponibilité | Documenter, apprécier le risque selon la durée d’indisponibilité |
| Candidatures et CV exposés | Violation de données souvent sensibles | Notifier la CNPD et informer les candidats concernés |
4. La marche à suivre dans les 72 heures
La gestion juridique et la gestion technique avancent en parallèle. Désignez dès le départ une personne chargée de coordonner les deux.
- Notez la date et l’heure de découverte : elles fixent le point de départ du délai.
- Contenez l’attaque : mise en maintenance, changement des accès, coupure des comptes suspects.
- Conservez les preuves : copie des fichiers infectés, journaux du serveur, captures d’écran.
- Identifiez les données concernées : tables de la base, formulaires, fichiers joints, nombre approximatif de personnes.
- Évaluez le risque pour les personnes : usurpation d’identité, hameçonnage ciblé, perte financière.
- Notifiez la CNPD via son formulaire ([email protected]) si un risque existe, quitte à compléter ensuite.
- Informez les personnes concernées si le risque est élevé, dans un langage clair.
- Inscrivez l’incident dans le registre, avec les justifications de chaque décision.
- Corrigez la faille et vérifiez que l’attaquant n’a plus d’accès.
En parallèle, vous pouvez déposer plainte auprès de la Police grand-ducale. Le CIRCL, CERT national pour le secteur privé, reçoit aussi les signalements d’incidents et peut vous orienter.
5. Le rôle de votre agence, de votre hébergeur et le vôtre
Au sens du RGPD, votre entreprise est en général responsable du traitement des données du site. C’est à elle de décider de la notification. Votre agence web ou votre hébergeur interviennent le plus souvent comme sous-traitants.
L’article 33 du RGPD impose au sous-traitant de prévenir le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Le contrat peut prévoir qu’il prépare la notification pour votre compte. La décision finale vous appartient toutefois.
Vérifiez dès maintenant ce que prévoient vos contrats de maintenance et d’hébergement. Un incident n’est pas le bon moment pour découvrir qu’aucune clause ne le couvre.
6. Ce que vous risquez, au-delà de l’amende
L’article 83 du RGPD prévoit, pour un manquement aux obligations de notification, une amende pouvant atteindre 10 millions d’euros. Pour une entreprise, le plafond peut aussi être fixé à 2 % du chiffre d’affaires annuel mondial. Le montant le plus élevé s’applique. Au Luxembourg, ces sanctions sont prononcées par la CNPD.
Le risque le plus concret reste commercial. Des clients informés par un tiers, ou victimes d’un hameçonnage qui reprend vos échanges, perdent confiance. Une communication rapide et honnête limite souvent les dégâts.
L’incident a aussi un coût indirect : site hors ligne, campagnes suspendues, positions dégradées. Pour la remise en état, appuyez-vous sur notre guide pour nettoyer un malware WordPress. Celui sur l’avertissement Google sur un site piraté complète la démarche.
7. Réduire l’exposition avant le prochain incident
La meilleure protection consiste à stocker moins de données sur le site. Transférez les demandes de contact vers votre CRM, puis supprimez-les de WordPress. Fixez une durée de conservation pour les candidatures et les comptes inactifs.
Protégez ensuite les accès : double authentification, comptes nominatifs, droits limités au strict nécessaire. Les autres mesures sont détaillées dans notre guide pour sécuriser votre site WordPress. Une refonte de site est parfois l’occasion de revoir ces choix.
Enfin, des sauvegardes chiffrées et testées transforment une perte de disponibilité en simple incident. Notre guide sur les sauvegardes WordPress explique comment les organiser.
8. Questions fréquentes sur la violation de données
9. Un accompagnement technique pendant la crise
Vous voulez vérifier rapidement si votre site présente encore des failles visibles ? Notre outil propose une analyse de sécurité gratuite :
Nous menons l’enquête technique qui alimente votre notification : données touchées, point d’entrée, mesures correctrices. Consultez notre service d’intervention sur site WordPress piraté, puis contactez-nous pour un diagnostic.
