Accueil › Les risques › Risque juridique

Vol de données : le risque juridique pour une TPE ou une PME

Une fuite de données ne se règle pas entre vous et votre prestataire informatique. Elle engage votre responsabilité vis-à-vis de la CNIL, des personnes concernées, et surtout de vos clients et fournisseurs — dont l'assureur peut se retourner contre vous.

Beaucoup de dirigeants de petites structures raisonnent ainsi : « je n'ai rien d'intéressant à voler ». C'est une erreur d'appréciation sur deux plans.

D'abord, vous détenez des données personnelles. Fichier clients, dossiers du personnel, coordonnées bancaires, parfois des données de santé selon votre activité. Ces données appartiennent à des personnes qui ont des droits, et leur protection est une obligation légale indépendante de votre taille.

Ensuite, vous êtes une porte d'entrée. Les attaquants s'intéressent de plus en plus aux petits fournisseurs pour atteindre leurs gros clients. Vos accès, vos échanges de courriels et votre crédibilité auprès d'un donneur d'ordre valent bien davantage que votre propre fichier client.

Avertissement

Cette page présente des mécanismes juridiques généraux à titre d'information. Elle ne constitue pas un conseil juridique. Les textes cités sont vérifiables sur Légifrance et sur le site de la CNIL. Pour votre situation, consultez un professionnel du droit.

Volet 1 · La CNIL

Vos obligations en cas de violation de données

Le RGPD ne prévoit aucun seuil d'effectif. Une entreprise de trois salariés qui détient un fichier clients est soumise aux mêmes principes qu'un grand groupe, avec une exigence proportionnée à ses moyens.

Une obligation de sécurité (article 32)

L'article 32 du RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Le texte cite explicitement, selon les besoins, la pseudonymisation et le chiffrement, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir la disponibilité des données en cas d'incident physique ou technique, et une procédure de test et d'évaluation régulière de l'efficacité des mesures.

Retenez ce point : l'absence de sauvegarde exploitable n'est pas seulement une imprudence de gestion, c'est un manquement possible à l'article 32, puisque le texte vise expressément la capacité de rétablissement.

Une obligation de notification sous 72 heures (article 33)

En cas de violation de données à caractère personnel, le responsable de traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Au-delà de 72 heures, la notification doit être motivée.

Cette obligation vaut aussi bien pour un vol de données que pour un chiffrement par rançongiciel, dès lors que des données personnelles sont concernées : la perte de disponibilité est une violation au sens du règlement, au même titre que la divulgation.

Une obligation d'information des personnes (article 34)

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci doivent en être informées dans les meilleurs délais. Concrètement : vos clients, vos salariés, éventuellement vos contacts chez vos fournisseurs.

C'est souvent le moment le plus difficile pour un dirigeant de petite entreprise, parce qu'il est public et qu'il engage la relation commerciale. C'est aussi le moment où la façon dont vous avez préparé les choses se voit.

Le registre des violations

L'article 33 impose également de documenter toute violation, y compris celles qui ne sont pas notifiées, en indiquant les faits, leurs effets et les mesures prises. Ce registre doit pouvoir être présenté à la CNIL. Beaucoup de petites structures l'ignorent : c'est un document simple à tenir, et son absence est immédiatement visible en cas de contrôle.

Volet 1 · suite

Ce que vous risquez concrètement

Les sanctions administratives

L'article 83 du RGPD prévoit, pour les manquements aux obligations de sécurité de l'article 32, des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Pour d'autres manquements, les plafonds sont doublés.

Ces plafonds sont évidemment théoriques pour une TPE. Ce qu'il faut retenir, c'est la logique : l'amende est proportionnée. L'article 83 impose de tenir compte de la nature et de la gravité du manquement, du caractère délibéré ou négligent, des mesures prises pour atténuer le dommage, du degré de coopération, et de la manière dont la CNIL a eu connaissance de la violation.

Ce qui fait la différence pour une petite structure

Entre deux entreprises également victimes, celle qui a notifié dans les délais, documenté l'incident, informé les personnes et pris des mesures correctives n'est pas dans la même situation que celle qui a tenté de dissimuler. Le comportement après l'incident pèse lourd, et il est entièrement entre vos mains.

La CNIL dispose par ailleurs, depuis la loi du 24 janvier 2022, d'une procédure de sanction simplifiée pour les affaires de faible complexité, dont le plafond est nettement plus bas — de l'ordre de quelques milliers d'euros. C'est le cadre dans lequel une petite structure a le plus de chances de se retrouver. Elle publie chaque année un bilan de son activité répressive, consultable sur son site.

Les actions des personnes concernées

Le risque ne vient pas seulement de l'autorité. L'article 82 du RGPD ouvre à toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement le droit d'obtenir réparation auprès du responsable de traitement.

Le responsable est exonéré s'il prouve que le fait générateur ne lui est nullement imputable. Autrement dit : la charge de démontrer que vous aviez fait ce qu'il fallait pèse sur vous. D'où l'importance de conserver la trace de ce que vous avez mis en place — diagnostic, factures de sauvegarde, comptes rendus de sensibilisation.

S'y ajoute la possibilité d'actions collectives : le droit français permet l'action de groupe en matière de protection des données, dont le régime a été réformé par la loi du 30 avril 2024.

Volet 2 · Le rebond

Quand votre entreprise devient l'arme utilisée contre votre client

C'est le scénario le plus sous-estimé par les petites structures, et celui dont les conséquences financières sont potentiellement les plus lourdes.

Pourquoi vous êtes une cible intéressante

Un attaquant qui vise un grand donneur d'ordre se heurte à des équipes de sécurité, à de la détection, à des budgets. Il cherche donc le chemin le moins défendu. Ce chemin, c'est très souvent un petit fournisseur qui dispose d'un accès légitime : le prestataire de maintenance, le bureau d'études, l'agence web, le cabinet comptable, le transporteur, le sous-traitant de production.

Ce que votre entreprise offre à un attaquant :

Des accès techniques : connexion à un portail fournisseur, à un extranet, à un espace d'échange de fichiers, parfois à un système de production.
Une adresse de courriel légitime, qui franchit tous les filtres parce qu'elle est connue et attendue par votre interlocuteur.
Le contexte de vos échanges : les noms, le vocabulaire, les montants habituels, le calendrier des commandes. C'est ce qui rend une fraude au virement crédible.
Les données de vos clients que vous détenez pour les besoins de votre prestation.

Ce mode opératoire — la compromission par la chaîne d'approvisionnement — est documenté depuis longtemps par les autorités de cybersécurité, et plusieurs incidents internationaux majeurs ont suivi ce schéma. Le fournisseur compromis n'était pas la cible : il était le moyen.

La conséquence commerciale, avant même le juridique

La directive européenne NIS 2 impose aux entités concernées de prendre en compte la sécurité de leur chaîne d'approvisionnement, y compris les relations avec leurs fournisseurs directs. Ces entités vont donc interroger, contractualiser et auditer leurs fournisseurs — dont vous. Concrètement, les questionnaires de sécurité vont devenir un critère de sélection dans les appels d'offres. Une TPE capable d'y répondre correctement prend un avantage commercial ; celle qui ne le peut pas sortira des listes.

Volet 2 · suite

Sur quel fondement votre client peut-il se retourner contre vous ?

Trois voies principales, qui peuvent se cumuler. Aucune ne suppose que vous ayez commis une faute intentionnelle : il suffit d'un manquement.

Voie 1

La responsabilité contractuelle

Si votre contrat, votre convention de service ou vos conditions générales comportent un engagement de sécurité, de confidentialité ou de disponibilité — et c'est de plus en plus fréquent —, son inexécution engage votre responsabilité sur le fondement de l'article 1231-1 du code civil, qui oblige le débiteur défaillant à réparer le préjudice causé.

À vérifier chez vousRelisez les clauses de sécurité et de confidentialité de vos trois plus gros contrats. Beaucoup de dirigeants découvrent à cette occasion des engagements qu'ils ne savaient pas avoir pris.

Voie 2

La responsabilité délictuelle

En l'absence de contrat, ou à l'égard d'un tiers, l'article 1240 du code civil s'applique : tout fait quelconque de l'homme qui cause à autrui un dommage oblige celui par la faute duquel il est arrivé à le réparer. Un défaut caractérisé de protection ayant permis un rebond vers un tiers peut être discuté sur ce terrain.

Ce qui sera examinéAviez-vous mis en place des mesures proportionnées à votre activité et à vos moyens ? Aviez-vous été alerté ? Aviez-vous appliqué les correctifs disponibles ? La preuve de votre diligence vous appartient largement.

Voie 3

Le recours de l'assureur de votre client

C'est le point que vous soulevez, et il est décisif. Lorsqu'un assureur indemnise son assuré, il est subrogé dans ses droits et actions contre le tiers responsable, à concurrence de l'indemnité versée. Ce mécanisme figure à l'article L. 121-12 du code des assurances.

Ce que cela change concrètementVotre client n'a plus à décider s'il vous poursuit ou non : son assureur cyber, qui a versé plusieurs centaines de milliers d'euros, a un intérêt économique direct à exercer le recours. Et il dispose de moyens juridiques sans commune mesure avec les vôtres.

Volet RGPD

Sous-traitant au sens du règlement

Si vous traitez des données personnelles pour le compte d'un client, vous êtes sous-traitant au sens du RGPD. L'article 28 impose un contrat écrit encadrant ce traitement, et l'article 32 vous impose directement des obligations de sécurité.

Point souvent ignoréLe sous-traitant peut voir sa responsabilité engagée pour son propre compte, et l'article 82 prévoit un mécanisme de responsabilité solidaire permettant à la personne lésée d'agir contre l'un ou l'autre acteur.

L'asymétrie qui doit vous alerter

Le préjudice n'est pas proportionné à votre taille. Si l'intrusion chez votre client entraîne un arrêt de production, une fuite massive ou une sanction, le montant en jeu peut dépasser plusieurs fois votre chiffre d'affaires annuel. Une TPE de dix salariés peut se retrouver face à une demande sans commune mesure avec ses capacités.

C'est précisément ce déséquilibre qui justifie deux réflexes : mettre en place les mesures élémentaires, qui coûtent quelques centaines d'euros, et faire examiner sa couverture d'assurance en responsabilité civile professionnelle au regard du risque cyber.

Se protéger

Ce qui réduit réellement le risque juridique

Aucune de ces mesures n'est coûteuse. Toutes constituent, en cas de litige, des éléments démontrant votre diligence.

Sachez quelles données vous détenez

Un registre des traitements, même simple, est une obligation du RGPD pour la plupart des organisations et constitue le point de départ de tout le reste. La CNIL met à disposition un modèle allégé destiné aux petites structures.

Traitez les mesures élémentaires, et gardez-en la trace

Sauvegarde déconnectée et testée, double authentification, mises à jour, comptes nominatifs. Conservez les factures, les captures de configuration et les dates : en cas de litige, ce sont vos preuves de diligence.

Cadrez vos accès chez vos clients

Un compte nominatif par intervenant, jamais de compte partagé, suppression immédiate au départ d'un salarié, authentification renforcée sur les portails clients. C'est ce qui empêche le rebond.

Relisez vos contrats et vos assurances

Vos engagements de sécurité, vos clauses de responsabilité et de limitation, votre garantie de responsabilité civile professionnelle au regard du risque cyber. Un entretien avec votre courtier et un regard d'avocat sur vos conditions générales sont un investissement modeste.

Préparez la notification avant d'en avoir besoin

Savoir qui déclare à la CNIL, avec quelles informations, et sous quel délai. Le formulaire de notification est en ligne sur le site de la CNIL : ouvrez-le une fois à froid, cela vous fera gagner un temps précieux le jour venu.

Faites-vous accompagner gratuitement

Un diagnostic MonAideCyber vous donne un état des lieux et quelques mesures prioritaires. C'est gratuit, sans engagement, et cela constitue une démarche documentée de mise en conformité.

Sources et vérifications

Règlement (UE) 2016/679 (RGPD) : articles 28 (sous-traitance), 32 (sécurité), 33 (notification à l'autorité), 34 (information des personnes), 82 (droit à réparation), 83 (amendes administratives).
Code civil : articles 1231-1 (responsabilité contractuelle) et 1240 (responsabilité délictuelle).
Code des assurances : article L. 121-12 (subrogation de l'assureur).
Directive (UE) 2022/2555 (NIS 2) : mesures de gestion des risques, dont la sécurité de la chaîne d'approvisionnement.
Textes consultables sur Légifrance et sur EUR-Lex. Doctrine, modèles et formulaire de notification sur cnil.fr.

Les dix mesures prioritaires Les conséquences sur l'activité Nous poser une question

Cette page présente des mécanismes juridiques généraux à titre d'information et de sensibilisation. Elle ne constitue pas un conseil juridique et ne saurait se substituer à l'analyse d'un avocat au regard de votre situation particulière. Les textes évoluent : vérifiez leur version en vigueur.