Site piraté : notifier une violation de données sous 72 h ?

Si votre site a été piraté et qu'il contient des données personnelles (commandes, comptes clients, formulaires de contact, listes de newsletter), vous devez peut-être notifier une violation de données à votre autorité de protection des données dans les 72 heures après en avoir pris connaissance. Vous n'avez pas à notifier lorsque la violation n'est pas susceptible d'engendrer un risque pour les personnes concernées, mais vous devez documenter chaque violation, notifiée ou non. Lorsque le risque est élevé, vous devez aussi prévenir ces personnes. Le délai court à partir du moment où vous êtes raisonnablement certain que des données personnelles sont touchées, pas à partir de l'attaque : la première tâche est donc de déterminer vite ce que l'attaquant pouvait atteindre. Ce guide explique comment décider, quels faits rassembler dans les premières heures et où notifier dans l'UE, au Royaume-Uni et en Thaïlande. Il est écrit par des développeurs qui nettoient des sites piratés, pas par des juristes : en cas de doute, demandez le jour même l'avis de votre délégué à la protection des données ou de votre avocat.

Un site piraté est-il une violation de données ?

Pas toujours. Selon le RGPD, une violation de données personnelles est un incident de sécurité qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Le piratage d'un site sans données personnelles, comme un site vitrine sans formulaires ni comptes, est un incident de sécurité mais pas une violation de données personnelles. Le piratage d'une boutique en ligne, d'un site de réservation ou d'un espace membres en est généralement une, car l'attaquant pouvait atteindre les données clients même si vous ne pouvez pas prouver qu'il les a prises.

Le Comité européen de la protection des données (CEPD) distingue trois types de violations, et un piratage peut être les trois à la fois :

• Confidentialité : quelqu'un a vu ou copié des données qu'il n'aurait pas dû, par exemple une table clients téléchargée ou une sauvegarde de base de données laissée dans un dossier public.
• Intégrité : des données ont été modifiées, par exemple des scripts injectés dans les pages de commande ou des coordonnées bancaires modifiées sur des factures.
• Disponibilité : des données ont été perdues ou verrouillées, par exemple par un rançongiciel ou une base de données effacée sans sauvegarde exploitable.

Quand le délai de 72 heures commence-t-il ?

L'article 33 du RGPD prévoit que vous notifiez « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Les lignes directrices du CEPD sur la notification des violations précisent que vous en avez connaissance dès que vous avez un degré de certitude raisonnable qu'un incident de sécurité a compromis des données personnelles. Vous pouvez prendre un court moment pour vérifier si c'est le cas, mais cette enquête doit commencer immédiatement.

En pratique : les heures passées à vous demander si une redirection étrange est grave ne sont pas gratuites. Dès que vous voyez des signes de piratage sur un site avec des données clients, commencez à rassembler des faits. Si vous ne pouvez pas terminer en 72 heures, les autorités de Belgique, des Pays-Bas, de France, d'Allemagne et du Royaume-Uni acceptent toutes une première notification dans le délai, que vous complétez ensuite. Une notification tardive doit expliquer le retard.

Si un développeur ou un hébergeur gère le site pour vous, il est votre sous-traitant. Il doit vous informer dans les meilleurs délais dès qu'il découvre une violation. L'obligation de notifier l'autorité reste la vôtre, en tant qu'entreprise qui décide de la finalité des données.

Notifier ou non : comment décider

Situation	Notifier l'autorité ?	Informer les personnes concernées ?
Piratage d'un site sans données personnelles (pas de formulaires, de comptes ni de commandes)	Non, ce n'est pas une violation de données personnelles	Non
Pages de spam ou redirection injectées, sans accès à la base de données ni aux envois de formulaires	Généralement non, si vous pouvez démontrer que les données n'étaient pas accessibles ; documentez pourquoi	Non
L'attaquant avait un accès administrateur ou à la base de données contenant noms et adresses e-mail de clients	Généralement oui : vous ne pouvez pas exclure un risque	Dépend du risque ; souvent oui si l'hameçonnage est probable
Mots de passe, pièces d'identité, données de paiement ou données de santé exposés	Oui	Généralement oui : risque élevé
Rançongiciel ou base de données effacée, avec restauration d'une sauvegarde récente et saine	Dépend de la copie éventuelle des données et de la durée d'indisponibilité	Seulement si le risque est élevé
Données chiffrées avec une clé que l'attaquant n'a pas obtenue	Souvent oui quand même, mais le risque est plus faible	Généralement non : le RGPD exempte les données incompréhensibles pour l'attaquant

La question porte toujours sur le risque pour les personnes dont les données sont concernées, pas sur le dommage pour votre entreprise. Évaluez le type de données, le nombre de personnes, la possibilité de les identifier et ce que quelqu'un pourrait en faire : hameçonnage, usurpation d'identité, atteinte à la réputation, perte financière. En cas d'hésitation, le conseil de la CNIL est de notifier ; l'autorité peut alors vous dire si vous devez aussi informer les personnes concernées.

Que rassembler dans les premières heures

Une notification demande des faits. Voici ceux qu'un développeur peut vous aider à trouver, et qui guident aussi le nettoyage :

1. Ce qui s'est passé et quand : le premier signe que vous avez vu, le moment où vous l'avez vu et le moment où l'attaque a probablement commencé. Les journaux du serveur, les dates de modification des fichiers et les nouveaux comptes administrateurs montrent généralement le début.
2. Quels systèmes ont été atteints : uniquement les fichiers du site, ou aussi la base de données, l'espace d'administration, les comptes e-mail ou un système connecté comme le back-office de votre boutique.
3. Quelles données personnelles s'y trouvaient : clients, commandes, envois de formulaires, abonnés à la newsletter, employés, vendeurs ou membres. Listez les tables ou exports et les champs qu'ils contiennent.
4. Combien de personnes : une estimation suffit pour une première notification. Un comptage dans la base de données donne un chiffre en quelques minutes.
5. Si des données ont quitté le serveur : cherchez des téléchargements inhabituels, de grosses réponses dans les journaux d'accès, des dumps de base de données ou des exports dans des dossiers publics. Des journaux propres ne prouvent pas que rien n'a été pris.
6. Ce que vous avez fait : mots de passe réinitialisés, faille fermée, site restauré, sauvegardes vérifiées, clients prévenus.
7. Qui est votre personne de contact : l'autorité voudra quelqu'un capable de répondre aux questions complémentaires.

Conservez ces notes même si vous décidez de ne pas notifier. L'article 33, paragraphe 5 du RGPD impose de documenter toute violation : les faits, les effets et les mesures prises. Les autorités néerlandaise et française demandent toutes deux ce registre interne des violations.

Où notifier

Pays	Autorité	Comment
France	CNIL	Service de notification en ligne ; une première notification peut être complétée ensuite.
Belgique	Autorité de protection des données (APD/GBA)	Portail en ligne avec un compte entreprise ; en néerlandais, français ou allemand. Les notifications par e-mail ne sont pas traitées.
Pays-Bas	Autoriteit Persoonsgegevens	Le guichet en ligne pour les violations de données (meldloket datalekken) ; pas par téléphone, courrier ni e-mail.
Allemagne	L'autorité de protection des données de votre Land ; les opérateurs de télécommunications notifient au BfDI	Chaque Land a son propre formulaire en ligne, par exemple Berlin et le Bade-Wurtemberg.
Royaume-Uni	Information Commissioner's Office (ICO)	Notification en ligne dans les 72 heures ; vous pouvez notifier par étapes.
Thaïlande	PDPC Office	E-service de notification des violations sur le site de la PDPC, dans les 72 heures après en avoir pris connaissance si possible (PDPA, section 37(4)).

Si votre entreprise est établie dans un pays de l'UE et vos clients dans plusieurs, vous notifiez généralement à l'autorité de votre établissement principal. Certains secteurs, comme les télécoms, ont leurs propres règles supplémentaires.

Un cas réel : un portail vendeurs sur un site non maintenu

En septembre 2026, une chaîne belge de magasins de seconde main nous a recontactés après quatre ans sans nouvelles. Une cyberattaque majeure avait cassé presque tout sur leurs sites WordPress, y compris le portail où leurs vendeurs se connectent pour suivre leurs articles et leurs paiements. Réparer les sites et fermer les failles utilisées par les attaquants a demandé 2 jours de travail.

Un tel portail contient exactement le type de données dont parle cet article : noms, coordonnées et informations de paiement de ses vendeurs. C'est pourquoi les questions techniques ci-dessus (ce qui était accessible, depuis quand, et si quelque chose a quitté le serveur) comptent autant que la remise en ligne du site. La décision de notifier reste celle de l'entreprise ; notre rôle est de lui fournir les faits assez vite pour décider dans le délai.

Après la notification : fermer la faille

Notifier ne répare rien. Les mêmes étapes que pour tout site piraté s'appliquent : réinitialiser tous les mots de passe, trouver et fermer la porte d'entrée, remplacer les fichiers infectés, tout mettre à jour et vérifier que les sauvegardes sont saines. Notre guide pas à pas Site WordPress piraté ? Que faire dans la première heure couvre cette partie. Les autorités regardent aussi ce que vous avez fait pour éviter que cela se reproduise : notez donc les mesures prises, comme l'authentification à deux facteurs, la suppression des extensions inutilisées, la surveillance et une personne responsable des mises à jour. Si le site n'est plus maintenu depuis un moment, ce que coûte réellement la maintenance d'un site vous aide à décider comment le protéger à l'avenir.

Ce que coûte la recherche des faits

Option	Prix HT	Bon à savoir
Votre propre équipe ou votre hébergeur	Votre temps, ou l'offre de l'hébergeur	Correct s'ils savent lire les journaux du serveur et la base de données. Beaucoup d'hébergeurs se contentent de restaurer une sauvegarde.
Aide d'urgence WDDW	75 €/heure, sans minimum	Un développeur senior démarre le jour même : détermine ce qui était accessible, rassemble les faits pour votre notification et ferme la faille.
Aide d'urgence WDDW le week-end	112,50 €/heure	Les attaques n'attendent pas le lundi, et le délai de 72 heures non plus.
Carte d'heures WDDW	910 € pour 14 heures	Heures prépayées pour le travail de suivi : mises à jour, authentification à deux facteurs, surveillance.

Pour un site de petite entreprise classique, établir ce qui était accessible prend quelques heures, pas des jours. Une remise en état complète prend plus de temps quand le site n'a pas été maintenu pendant des années, comme dans le cas ci-dessus. Notre page tarifs liste toutes les options.

Piraté et le délai court ? Nous commençons aujourd'hui

Réservez l'aide d'urgence et un développeur senior démarre sur votre site le jour même, à 75 €/heure HT, sans minimum et sans entretien préalable. Nous signons un NDA si vous le souhaitez, déterminons ce que l'attaquant pouvait atteindre, consignons les faits pour votre notification et fermons la faille. Nous ne donnons pas de conseil juridique et ne pouvons pas décider à votre place s'il faut notifier, mais nous veillons à ce que vous ayez les faits à temps. Vous préférez d'abord parler ? Contactez-nous en français, néerlandais, allemand, anglais ou thaï.