Cyberattaque sous-traitant : le guide CNIL pour DPO et RSSI

Focus — Cyberattaque chez un sous-traitant : le guide de survie de la CNIL pour les DPO et RSSI

La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié, fin mai 2026, un guide pratique très attendu sur la gestion des cyberattaques impliquant un sous-traitant. Face à la multiplication des incidents de sécurité dont l'origine se trouve dans la chaîne d'approvisionnement numérique, ce document se veut un véritable mode d'emploi pour les responsables de traitement, et plus directement pour leurs Délégués à la Protection des Données (DPO) et Responsables de la Sécurité des Systèmes d'Information (RSSI).

S'appuyant sur un scénario fictif mais criant de réalisme, la CNIL clarifie les rôles, les responsabilités et surtout, la chronologie des actions à mener en cas de crise. L'enjeu principal est de transformer une situation souvent chaotique, où les informations arrivent au compte-gouttes du prestataire compromis, en un processus de gestion d'incident maîtrisé et conforme aux exigences du RGPD.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Au cœur du sujet se trouve la relation contractuelle et opérationnelle entre le 'responsable de traitement' (l'entreprise qui détermine les finalités et les moyens du traitement de données) et le 'sous-traitant' (l'entité qui traite les données pour le compte du premier). Cette distinction, définie à l'article 4 du RGPD, est fondamentale. Le responsable de traitement conserve l'entière responsabilité de la protection des données, même lorsqu'elles sont physiquement hébergées ou manipulées par un tiers.

Le recours à la sous-traitance est aujourd'hui la norme : fournisseurs de services cloud (IaaS, PaaS, SaaS), agences marketing, prestataires de paie, éditeurs de logiciels CRM... Chaque maillon de cette chaîne représente un point d'entrée potentiel pour une attaque. Les incidents récents, comme la fuite massive de données chez les opérateurs de tiers payant Viamedis et Almerys, ont dramatiquement illustré comment la compromission d'un seul acteur peut impacter des dizaines de millions de personnes et mettre en difficulté des centaines d'entreprises clientes (les responsables de traitement).

La base légale et réglementaire

Le guide de la CNIL est une lecture opérationnelle des obligations fixées par le Règlement Général sur la Protection des Données (RGPD). Plusieurs articles sont directement concernés. L'article 28 impose la mise en place d'un contrat de sous-traitance (Data Processing Agreement - DPA) qui doit, entre autres, obliger le sous-traitant à notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

C'est ensuite au responsable de traitement d'activer ses propres obligations. L'article 33 du RGPD lui impose de notifier la violation à l'autorité de contrôle compétente (la CNIL en France) dans un délai de 72 heures après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Si ce risque est 'élevé', l'article 34 exige également d'informer les personnes concernées dans les meilleurs délais. Le non-respect de ces obligations expose à des sanctions pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial.

Gestion de crise en cascade : la CNIL formalise le partage des rôles

Le principal apport du guide est de traduire ces principes juridiques en un plan d'action concret. La CNIL insiste sur un point crucial : le délai de 72 heures pour la notification à l'autorité de contrôle commence dès que le responsable de traitement a connaissance de la violation, et non à partir du moment où le sous-traitant a fourni une analyse complète. Attendre un rapport exhaustif de son prestataire est un piège qui conduit quasi systématiquement à une notification tardive et donc à un manquement.

Le guide détaille la chaîne de responsabilités : le sous-traitant a une obligation d'information envers son client ; le responsable de traitement a une obligation de notification envers la CNIL et, si nécessaire, envers les personnes concernées. Le sous-traitant ne peut et ne doit pas notifier la CNIL à la place de ses clients, sauf mandat exprès. Cette clarification est essentielle pour éviter la dilution des responsabilités et les zones grises en pleine gestion de crise.

En s'appuyant sur un cas pratique (compromission d'un compte employé chez un prestataire cloud par ingénierie sociale), la CNIL déroule la marche à suivre : activation de la cellule de crise, analyse de risques préliminaire, communication avec le sous-traitant pour obtenir les informations essentielles, et préparation des notifications. Le régulateur fournit même des modèles de messages à adresser aux personnes concernées, structurés pour répondre aux questions clés : Que s'est-il passé ? Quelles données sont concernées ? Quelles sont les conséquences possibles ? Quelles mesures ont été prises ? Que pouvez-vous faire ?

Ce que ça change opérationnellement (Plan d'action)

Pour un Compliance Officer ou un DPO, ce guide doit devenir un document de référence à décliner immédiatement en actions préventives et curatives :

1. Auditer et renforcer les contrats de sous-traitance (DPA) : Ne vous contentez pas des clauses standards. Intégrez des engagements précis sur les délais de notification du sous-traitant (ex: 'dans les 24h suivant la détection'), le format et le contenu des informations à fournir, et l'obligation de coopération totale durant l'investigation.

2. Systématiser la Due Diligence des sous-traitants : L'évaluation de la maturité sécurité de vos prestataires ne doit pas être un simple exercice documentaire à l'entrée en relation. Mettez en place un processus de suivi régulier pour les sous-traitants critiques, basé sur des questionnaires de sécurité, la vérification des certifications (ISO 27001, SOC 2) et, si pertinent, des audits.

3. Mettre à jour le Plan de Réponse à Incident (PRI) : Votre PRI doit comporter un volet spécifique aux 'incidents de la chaîne d'approvisionnement'. Utilisez le scénario de la CNIL pour organiser un exercice de simulation (tabletop exercise) avec les équipes IT, juridique, DPO et communication. Préparez des trames de notification à la CNIL et aux personnes concernées.

4. Cartographier les flux de données sous-traités : Maintenez une cartographie précise (intégrée à votre registre des traitements de l'article 30) qui identifie clairement quelles données sont traitées par quel sous-traitant. En cas de compromission d'un prestataire, cette cartographie est indispensable pour évaluer l'impact quasi instantanément.

5. Définir un protocole de communication de crise : Le guide le souligne : la communication est clé. Préparez des kits de communication pour vos propres clients (si vous êtes vous-même sous-traitant) afin de les aider à remplir leurs propres obligations. Anticipez la mise en place de canaux dédiés (FAQ en ligne, numéro vert) pour gérer les demandes des personnes concernées.

6. Former les équipes internes : Assurez-vous que les équipes DPO, RSSI, juridiques et achats sont parfaitement au fait des recommandations du guide. La robustesse de la chaîne de sous-traitance est une responsabilité partagée qui commence dès la négociation du contrat.

Sources

• 📎 CNIL — Cyberattaque : le sous-traitant au centre de la crise
• 📎 CNIL — Guide pratique : Cyberattaque, le sous-traitant au centre de la crise (PDF)