Violation de données chez un prestataire : qui documente, qui notifie et quand ?

Quand un prestataire signale un incident, la boutique doit savoir qui rassemble les faits, qui évalue le risque pour les personnes et qui décide des notifications. Attendre un rapport définitif sans organiser ce relais peut laisser les responsabilités et les délais dans le flou.

La méthode proposée prépare ce circuit. Elle ne décrit pas un incident observé. Dans un scénario fictif, un service logistique informe son client e-commerce qu’un accès non autorisé pourrait concerner des données de livraison. Ce signal déclenche une investigation rapide ; il ne permet pas encore de connaître toutes les données, conséquences ou mesures nécessaires.

Qualifier le rôle pour le traitement concerné

Un prestataire commercial n’est pas automatiquement un sous-traitant au sens du RGPD. Identifier, pour le traitement touché, qui détermine les finalités et les moyens essentiels, et qui traite les données pour le compte de l’autre. La CNIL demande une qualification fondée sur les faits, pas sur le seul intitulé du contrat.

Le même organisme peut avoir un rôle différent pour un autre traitement. Distinguer un sous-traitant agissant sur instructions, un responsable distinct poursuivant ses propres finalités et, lorsque les conditions sont réunies, des responsables conjoints qui déterminent ensemble les finalités et les moyens. Dans ce dernier cas, examiner aussi leur répartition d’obligations au titre de l’article 26.

Le circuit décrit ensuite suppose que le service logistique agit comme sous-traitant pour les données de livraison traitées pour le compte de la boutique, elle-même responsable de ce traitement. Si les faits ne confirment pas cette hypothèse, faire qualifier les obligations de chaque acteur avant de transposer le circuit. L’investigation et les mesures urgentes ne doivent pas attendre la fin de cette discussion.

Séparer l’alerte et la connaissance de la violation

Une suspicion demande une action, mais le point de départ juridique ne doit pas être reconstitué de mémoire. Les lignes directrices 9/2022 du CEPD retiennent un degré de certitude raisonnable qu’un incident a compromis des données personnelles. Elles admettent une brève investigation initiale, en exigeant qu’elle commence rapidement.

Conserver donc la source et l’heure de l’alerte, les vérifications menées et les éléments qui permettent de conclure à la connaissance. La disponibilité d’un rapport complet, la date d’un comité ou l’arrivée d’un avocat ne sont pas présentées ici comme des conditions générales pour commencer à agir.

La CNIL rappelle les règles de connaissance et d’investigation. Ne pas prolonger artificiellement l’incertitude pour déplacer une échéance. Si le moment reste discuté, conserver les faits et le raisonnement avec la personne habilitée à les qualifier.

Distinguer les responsabilités du prestataire et de la boutique

Le sous-traitant doit informer le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation des données qu’il traite pour son compte. Il ne dispose pas d’un délai général de 72 heures pour attendre avant de l’avertir. Les lignes directrices précisent qu’il n’a pas à attendre d’évaluer lui-même la probabilité du risque pour effectuer ce relais.

Le responsable du traitement conserve ses obligations : analyser la situation, documenter la violation et décider des communications nécessaires. Le recours à un prestataire qui prépare une notification en son nom ne supprime pas cette responsabilité. Sources : règles CNIL, article 33 du RGPD.

Le contrôle du contrat de sous-traitance prépare les coordonnées, l’assistance et le relais. Dans l’incident, vérifier que ces engagements sont exploitables : contact joignable, suppléant, format des informations et responsabilité de chaque complément.

Évaluer le risque pour les personnes, pas seulement la panne

Une restauration technique ne suffit pas à conclure que l’incident est sans conséquence. Examiner confidentialité, intégrité et disponibilité, les données touchées, les personnes, les usages possibles et les mesures effectives. Un fichier peu volumineux peut rester sensible ; le nombre d’enregistrements ne décide pas seul.

L’article 33 prévoit la notification à l’autorité compétente, sauf lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Lorsque les conditions de l’article 34 sont réunies, le responsable informe les personnes concernées du risque élevé dans les meilleurs délais, sans délai injustifié, sous réserve des exceptions du paragraphe 3. Cette communication n’a pas un délai général de 72 heures : l’échéance de notification à l’autorité ne doit pas lui être appliquée mécaniquement.

Les exceptions de l’article 34 demandent une analyse : protection appropriée rendant les données incompréhensibles aux personnes non autorisées, mesures ultérieures empêchant la matérialisation du risque élevé, ou efforts disproportionnés conduisant à une information publique aussi efficace. Ni un nom de technologie ni une difficulté d’envoi ne suffit à les établir. Ces communications restent distinctes de la documentation interne de toute violation.

Ne pas transformer la présence d’un chiffrement, d’une sauvegarde ou d’une déclaration du fournisseur en exemption automatique. Il faut examiner leur effet sur les données et sur les risques dans cette situation. Aucun de ces critères n’est appliqué à un incident réel dans ce dossier.

Organiser la notification sans attendre toutes les réponses

La règle est d’agir dans les meilleurs délais et, si possible, au plus tard 72 heures après connaissance pour la notification à l’autorité. Si ce délai est dépassé, le retard doit être motivé. Ce n’est ni une invitation à attendre systématiquement 72 heures ni une promesse qu’une notification sera recevable dans toute situation.

La procédure CNIL prévoit une notification initiale puis des compléments lorsque toutes les informations ne peuvent pas être fournies ensemble. Préparer les faits établis, les inconnues, leurs propriétaires et la prochaine date de mise à jour plutôt que compléter les cases avec des suppositions.

L’autorité compétente doit être qualifiée, notamment pour un traitement transfrontalier. Cet article ne désigne pas automatiquement la CNIL pour tout acteur européen et n’effectue aucun dépôt.

Maintenir un dossier d’incident révisable

Dans le scénario proposé, le registre relie la chronologie, les catégories de données, les effets connus, l’analyse du risque, les mesures prises et les décisions de communication. Chaque information porte sa source et son statut : établie, hypothèse ou encore à confirmer. Les corrections ne doivent pas effacer les versions antérieures utiles.

La mise en situation publiée par la CNIL sur le sous-traitant au centre de la crise est une illustration pédagogique. Elle ne prouve pas qu’un fournisseur identifiable de la boutique a été attaqué. Le présent scénario suit la même séparation entre exemple et observation.

Limiter l’accès aux pièces, qui peuvent contenir des données personnelles ou des éléments de sécurité. Le dossier de gestion n’a pas vocation à devenir un export public de données compromises. Une communication aux personnes doit expliquer utilement la nature, les conséquences et les mesures requises, avec les fonctions compétentes.

Éprouver le circuit avant l’incident

Une recette fictive peut vérifier la réception d’une alerte hors horaires, l’absence du contact habituel, une information incomplète et l’arrivée d’un complément qui change le risque. Pour chaque cas, relever qui reçoit, qui décide, quelle pièce manque et quelle action est attendue. Aucun de ces essais n’a été exécuté ici.

Le choix de la stack commerce concerne la continuité des services ; cette recette ajoute la chaîne de décision sur les données. Elle est utile lorsque l’équipe peut retrouver ses responsabilités et ses preuves sans attendre la fin d’une enquête technique.

Sources consultées le 23 octobre 2026. Qualification, risque, autorité et communications restent propres aux faits ; aucune violation ni notification réelle n’a été traitée pour cet article.