Fuite de données clients : constater, documenter, décider d'informer
Un site piraté n'implique pas automatiquement une fuite. Inversement, l'absence de rançon n'implique pas qu'aucune donnée n'ait été lue. Il faut un constat, pas une impression.
1. Figez les preuves avant de « tout réinstaller »
Journaux, copie du site, exports de comptes créés, horodatage. Réinstaller pour se rassurer détruit souvent ce qui permet de savoir si des données ont été extraites. Cette copie se stocke hors du serveur concerné.
2. Ce qui constitue une fuite, concrètement
Accès avéré à une base de clients, export téléchargé, table copiée, formulaire qui exfiltrait les saisies, skimmer de paiement. Un simple défacement de page d'accueil, sans accès base, n'est généralement pas une violation de données personnelles — encore faut-il pouvoir l'établir.
3. Ce que le constat doit contenir
Périmètre (quelles tables, quels fichiers), fenêtre de temps, volume approximatif, nature des données (identité, email, commande, paiement), et si l'accès était en lecture seule ou avec exfiltration visible. C'est ce document, pas un email alarmiste, qui sert ensuite.
4. CNIL et personnes concernées
Si une violation présentant un risque est confirmée, la notification à la CNIL doit partir dans les 72 heures. L'information des personnes dépend du risque. Ces démarches incombent au responsable de traitement — vous. Nous fournissons le constat technique, pas la déclaration.
5. Après l'incident
Mots de passe des comptes clients à forcer si la table a été lue, surveillance des reventes d'emails, revue des accès prestataires. Le nettoyage du site et le volet données sont deux sujets : les traiter dans le même dossier évite les angles morts.