RGPD et site piraté : ce qui change concrètement pour une TPE

Ce qui change vraiment le lundi matin

Vous aviez déjà des obligations. L'incident les rend visibles. La nouveauté, c'est la possible violation et l'horloge des 72 heures. Le reste — base légale, mentions — n'a pas besoin d'être réécrit à 3 h du matin.

Le rôle de responsable de traitement ne se délègue pas à l'agence « parce qu'ils font le WordPress ». Le contrat dit qui patche ; il ne vous retire pas la notification. Voir responsabilité prestataire.

La confidentialité de ce site décrit nos traitements. La vôtre décrit les vôtres. Ne les mélangez pas dans un copier-coller de crise.

Le registre, même imparfait

Si vous n'en avez pas, n'en inventez pas un roman rétroactif. Créez une fiche honnête : quelles données, pour quoi, où (CMS, ESP, compta), combien de temps. Puis une ligne d'incident. C'est le registre après incident.

Un tableur de dix lignes bat un PDF de cabinet jamais ouvert. La CNIL, dans les faits, cherche si vous savez ce que vous tenez — pas si la mise en page est chère.

Les traitements oubliés (un chat, un pixel, un old CRM) sortent souvent pendant l'incident. Inventoriez-les, y compris ceux ajoutés par l'attaquant : ce sont des destinataires non choisis.

• Catégories de données et finalités.
• Où ça vit (y compris sauvegardes).
• Fiche incident datée.

Sous-traitants : qui tenait quoi

Hébergeur, agence, ESP, paiement, analytics. Qui a les accès, qui patche, où sont les backups. L'incident révèle les trous. Le débat de faute attend le site propre ; la liste, elle, se dresse tout de suite. Hébergeur RGPD et contrat de maintenance.

Un sous-traitant doit vous assister sur la violation qui le concerne. « On n'est pas responsables de votre plugin » peut être vrai techniquement et insuffisant s'ils ont les logs. Demandez les logs, pas une plaidoirie.

Les clauses DPA introuvables se notent. On les remet à plat à froid, pas en menaçant le support OVH un dimanche.

Mesures « appropriées » après coup

Le RGPD ne dicte pas un plugin. Il demande des mesures adaptées au risque. Après un hack : mots de passe distincts, 2FA admin, plus de 777, plus de PHP dans les uploads, sauvegardes hors serveur, clés révoquées. Ce sont des gestes de remédiation, pas un label.

Documentez-les dans le constat et le registre : date, quoi. C'est ce qui montre que vous avez réagi. Voir 2FA, sauvegardes, permissions.

Une mesure promise et non faite ( « on va hasher » alors que le clair est encore en base) se voit à la prochaine lecture. Traitez le stockage des secrets comme une dette distincte, après la porte fermée.

Droits des personnes pendant l'incendie

Les demandes d'accès, de suppression, d'opposition continuent. Un incident n'est pas une excuse pour les ignorer trois mois. Il peut justifier un délai si les systèmes sont figés — dites-le, datez.

Ne restaurez pas une sauvegarde sale pour « répondre à un accès » : vous recolleriez l'infection. Répondez à partir d'un export maîtrisé ou expliquez la limite.

Si vous informez d'une fuite, les personnes écriront. Tenez le canal annoncé dans l'email d'information.

Ce qu'on documente, concrètement

Découverte, mesures urgentes, constat, décision de notifier ou non (motivée), information des personnes, prestataires prévenus, dates de rotation des secrets. Dix lignes valent un oubli.

Les logs conservés sont une mesure autant qu'une preuve. Les détruire « pour RGPD » est un malentendu : le RGPD n'exige pas d'effacer les preuves d'incident le soir même.

Pièces assurance et pièces CNIL se recoupent. Un seul dossier factuel, plusieurs destinataires.

Ce qu'on ne paie pas en urgence

Un « pack mise en conformité 48 h » pendant que la backdoor vit. Un DPO externalisé qui n'a pas lu les logs. Une refonte complète de la politique de confidentialité pour occuper le gérant. D'abord le site et le constat.

Un audit juridique long a sa place après, si le dossier le justifie (santé, mineurs, gros volume). Ce n'est pas le premier devis obligatoire pour une vitrine de 200 emails.

Méfiez-vous de qui vend la peur de l'amende comme seul argument. Les amendes existent ; le premier risque TPE est souvent l'absence de constat et la réinfection.

Recoller site propre et conformité

Un WordPress propre avec une table encore en clair, des sessions non invalidées, un pixel inconnu : le RGPD n'est pas « fini ». Enchaînez les articles techniques de ce lot comme une checklist, pas comme une bibliothèque.

Renégociez la maintenance à froid : délais de patch, accès, backups. L'incident a montré les trous.

Déclarer le site pour le chantier fichiers. Les questions RGPD ci-dessus restent les vôtres, avec un constat en main plutôt qu'avec une angoisse.

• Constats avant les phrases.
• Registre + fiche incident.
• Mesures datées, pas promises.