Fuite du fichier client de votre commerce : qui prévenir, dans quel délai, et avec quelles preuves ?
Une base clients exposée déclenche des délais courts et cumulés : 72 heures vers la CNIL, information des personnes, plainte pour la garantie cyber.
- La notification à la CNIL est due sans délai injustifié et au plus tard 72 heures après la prise de connaissance de la violation (article 33 du RGPD) ; si le risque pour les personnes est improbable, la notification n'est pas requise, mais la documentation interne reste obligatoire (article 33, §5).
- L'information individuelle des clients n'est obligatoire qu'en cas de risque élevé pour leurs droits et libertés (article 34 du RGPD), avec trois dispenses possibles : données rendues incompréhensibles (chiffrement), mesures ultérieures écartant le risque élevé, ou effort disproportionné justifiant une communication publique.
- Un manquement aux articles 32 à 34 du RGPD expose à une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, §4) ; le défaut de mesures de sécurité est en outre pénalement réprimé par l'article 226-17 du code pénal (5 ans d'emprisonnement et 300 000 euros d'amende pour une personne physique).
- Côté assurance, le sinistre doit être déclaré dans le délai prévu au contrat, qui ne peut être inférieur à cinq jours ouvrés (article L.113-2 du code des assurances) ; et pour les garanties visant les atteintes à un système de traitement automatisé de données, l'article L.12-10-1 du même code subordonne l'indemnisation au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte.
Toute anomalie n'est pas une « fuite » : commencez par qualifier l'incident
Le RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci (article 4, point 12). La notion est donc beaucoup plus large que le piratage médiatisé : un cahier de fidélité oublié sur le comptoir puis disparu, un export tableur envoyé au mauvais destinataire, un ordinateur de caisse volé dans l'arrière-boutique relèvent de la même définition.
Cette qualification est la première étape, parce qu'elle conditionne tout le reste : les délais, les destinataires, et la recevabilité de votre déclaration à l'assureur. Trois familles d'atteintes coexistent, et elles peuvent se cumuler dans un même incident.
| Type d'atteinte | Situation typique en commerce | Premier réflexe |
|---|---|---|
| Confidentialité (divulgation ou accès non autorisé) | Base fidélité exfiltrée, e-mail groupé envoyé sans copie cachée, accès d'un ancien salarié non révoqué | Couper l'accès, conserver les journaux de connexion |
| Intégrité (altération) | Fichier clients modifié par un logiciel malveillant, coordonnées bancaires falsifiées | Comparer avec la dernière sauvegarde saine |
| Disponibilité (perte ou destruction) | Serveur de caisse chiffré par un rançongiciel, sauvegarde unique effacée | Isoler la machine sans la réinstaller |
La perte d'accès à vos propres données est une violation à part entière. Beaucoup de commerçants ne notifient pas un rançongiciel parce que « rien n'est sorti » : c'est une erreur de raisonnement fréquente.
Les 72 heures : d'où part le compteur et vers qui il vous engage
L'article 33 du RGPD impose au responsable du traitement de notifier la violation à l'autorité de contrôle — la CNIL en France, via son téléservice dédié — sans délai injustifié et, si possible, au plus tard 72 heures après en avoir pris connaissance. Le point de départ n'est ni la date de l'attaque, ni celle du rapport d'expertise : c'est le moment où vous disposez d'un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles. Il s'agit d'heures calendaires : un incident confirmé un vendredi soir n'ouvre pas un délai courant jusqu'au mardi.
Deux tempéraments utiles. D'abord, si vous ne disposez pas de toutes les informations, l'article 33, §4 autorise expressément une notification par phases. Ensuite, si le délai est dépassé, la notification reste due : elle doit alors être accompagnée des motifs du retard. Enfin, la notification n'est pas exigée lorsque la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes — mais cette appréciation doit être écrite et motivée.
| Démarche | Destinataire | Délai | Fondement |
|---|---|---|---|
| Notifier la violation | CNIL | Sans délai injustifié, 72 h maximum après la prise de connaissance | Art. 33, §1 RGPD |
| Compléter la notification | CNIL | Par phases, sans nouveau délai injustifié | Art. 33, §4 RGPD |
| Informer les personnes concernées | Clients | Dans les meilleurs délais, si risque élevé | Art. 34 RGPD |
| Remonter l'incident vers le donneur d'ordre | Responsable du traitement | Sans délai injustifié (obligation du sous-traitant) | Art. 33, §2 RGPD |
| Déposer plainte | Services de police ou de gendarmerie | 72 h après la connaissance de l'atteinte, condition d'indemnisation | Art. L.12-10-1 code des assurances |
| Déclarer le sinistre | Assureur ou courtier | Délai du contrat, jamais inférieur à 5 jours ouvrés | Art. L.113-2 code des assurances |
Deux compteurs de 72 heures coexistent donc, avec des fondements et des destinataires différents : ne confondez pas la notification RGPD et la plainte pénale exigée pour les garanties cyber.
Informer vos clients : obligation légale, dispense, ou simple bonne pratique ?
L'information individuelle des personnes concernées n'est pas systématique. Elle est due, dans les meilleurs délais, lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34, §1 du RGPD). Le contenu est encadré par l'article 34, §2 : nature de la violation en termes clairs et simples, coordonnées du point de contact, conséquences probables, mesures prises ou proposées, y compris pour atténuer les effets négatifs.
Trois dispenses sont prévues à l'article 34, §3 :
- les données étaient protégées par des mesures rendant leur exploitation incompréhensible pour un tiers non autorisé — typiquement un chiffrement à l'état de l'art dont la clé n'a pas été compromise ;
- des mesures ultérieures garantissent que le risque élevé n'est plus susceptible de se matérialiser ;
- l'information individuelle exigerait des efforts disproportionnés : une communication publique ou une mesure équivalente est alors substituée.
Ces dispenses ne dispensent pas de la notification à la CNIL, qui suit sa propre logique. Et l'article 34, §4 permet à l'autorité d'exiger l'information des personnes si elle estime le risque élevé, y compris après un premier arbitrage négatif de votre part.
Informer alors que la loi ne l'exige pas relève d'un choix de bonne pratique commerciale : c'est souvent défendable pour un commerce de proximité dont la relation client est locale, à condition de rester factuel, de ne pas minimiser et de donner un canal de contact réellement joignable.
Documenter l'incident : le registre des violations, votre première ligne de défense
L'article 33, §5 du RGPD impose de documenter toute violation, y compris celles que vous décidez de ne pas notifier : les faits, leurs effets et les mesures correctives prises. Cette documentation doit permettre à l'autorité de vérifier votre conformité. Le texte ne fixe pas de durée de conservation : conservez ces éléments aussi longtemps que vous devez pouvoir démontrer la régularité de vos décisions.
Un registre exploitable contient, pour chaque événement :
- l'horodatage précis de la découverte, le canal d'alerte et l'identité du déclarant ;
- le périmètre : catégories de données touchées, volume estimé de personnes et d'enregistrements ;
- les systèmes et prestataires impliqués, avec les échanges écrits correspondants ;
- les mesures conservatoires et leur heure d'exécution ;
- l'analyse de risque et, en cas de non-notification, sa motivation signée.
Trois réflexes techniques conditionnent la valeur probante du dossier : geler et exporter les journaux avant toute intervention, ne pas réinstaller précipitamment la machine compromise (la remise en service détruit les traces), et horodater chaque décision. Ce même dossier sert deux fois : il fonde votre position devant la CNIL et il constitue la preuve du fait générateur et de la chronologie que votre assureur vous demandera.
Un incident bien documenté et mal géré se défend mieux qu'un incident bien géré mais non documenté. En pratique, l'absence de traces est le principal point de faiblesse des commerces indépendants.
Ce que l'assurance couvre — et ce qu'elle exige de vous
Une multirisque professionnelle classique est construite autour des dommages aux biens et de la responsabilité civile d'exploitation. Les conséquences d'une violation de données — expertise technique, gestion de crise, frais de notification, réclamations de clients — relèvent le plus souvent d'une extension ou d'un contrat dédié à la garantie cyber, et non du socle. Aucune généralité ne remplace la lecture de vos conditions particulières.
| Poste de coût | Traitement assurantiel fréquent | Ce que l'assureur attend de vous |
|---|---|---|
| Expertise technique et confinement | Souvent au titre d'une garantie cyber, parfois avec prestataire imposé | Appeler la cellule d'assistance avant d'engager un prestataire |
| Frais de notification et hotline clients | Poste dédié dans certaines extensions | Justificatifs et volumétrie documentée |
| Frais juridiques (procédure CNIL, conseil) | Variable selon la rédaction du contrat | Déclaration préalable, accord sur le choix du conseil |
| Réclamations de clients (art. 82 RGPD) | Relève de la responsabilité civile, sous réserve du périmètre souscrit | Ne reconnaître aucune responsabilité sans l'assureur |
| Perte d'exploitation après cyber | Rarement acquise sans extension spécifique | Comptabilité permettant de chiffrer la marge perdue |
| Amende administrative | Assurabilité discutée en droit français, exclusion contractuelle fréquente | Ne pas bâtir votre budget de crise sur ce poste |
Vos obligations, elles, sont précises. Le sinistre doit être déclaré dès que vous en avez connaissance et au plus tard dans le délai fixé au contrat, ce délai ne pouvant être inférieur à cinq jours ouvrés (article L.113-2 du code des assurances). La déchéance pour déclaration tardive ne peut vous être opposée que si elle est prévue par une clause et si l'assureur établit que le retard lui a causé un préjudice. Une fausse déclaration intentionnelle lors de la souscription entraîne la nullité (article L.113-8) ; une inexactitude non intentionnelle conduit à la réduction proportionnelle de l'indemnité (article L.113-9) — un point sensible quand le questionnaire portait sur vos sauvegardes ou votre authentification.
Enfin, pour les garanties visant les pertes et dommages causés par une atteinte à un système de traitement automatisé de données au sens des articles 323-1 à 323-3-1 du code pénal, l'article L.12-10-1 du code des assurances subordonne le versement de l'indemnité au dépôt d'une plainte au plus tard 72 heures après la connaissance de l'atteinte. C'est une condition légale d'indemnisation, distincte des exigences documentaires que votre assureur peut par ailleurs poser au contrat.
Cas pratique chiffré : 4 200 clients d'un magasin de prêt-à-porter
Un magasin de prêt-à-porter exploite deux boutiques et un programme de fidélité hébergé chez un prestataire e-commerce. La base contient 4 200 clients : nom, adresse postale, e-mail, téléphone, historique d'achats. Aucune donnée bancaire n'est stockée en clair. Les montants ci-dessous sont une illustration : ils ne constituent ni un barème, ni une projection de marché.
| Moment | Événement |
|---|---|
| Lundi 9 h 10 | Une cliente signale un e-mail frauduleux reprenant son dernier achat en boutique |
| Lundi 11 h 40 | Le prestataire confirme un accès non autorisé et un export de la base : prise de connaissance |
| Lundi 14 h 00 | Appel à l'assistance de l'assureur, mots de passe réinitialisés, journaux exportés et gelés |
| Lundi 17 h 30 | Dépôt de plainte au commissariat, dans le délai de 72 h de l'article L.12-10-1 |
| Mardi 16 h 00 | Notification à la CNIL, complétée jeudi par le périmètre définitif (art. 33, §4) |
| Mercredi | Information des 4 200 clients : risque élevé d'hameçonnage ciblé retenu |
| Vendredi | Déclaration de sinistre écrite, registre des violations transmis |
| Dépense engagée | Montant | Issue dans cet exemple |
|---|---|---|
| Expertise technique et remédiation | 6 800 € | Retenue |
| Conseil juridique et rédaction des notifications | 3 500 € | Retenue |
| Envoi aux clients et permanence téléphonique | 2 400 € | Retenue |
| Marge perdue (site indisponible 4 jours) | 5 000 € | Retenue |
| Mise en place d'une authentification renforcée | 1 900 € | Écartée : amélioration du système |
| Total engagé | 19 600 € | Franchise contractuelle : 2 500 € |
Avec une extension cyber hypothétique dont les conditions particulières prévoient un plafond de 100 000 € et une franchise de 2 500 €, l'indemnité s'établirait à 15 200 €, laissant 4 400 € à la charge du commerçant. Un dépôt de plainte le mercredi au lieu du lundi aurait, à lui seul, fait tomber la condition légale d'indemnisation.
Ce qu'il faut préparer avant, et comment faire évoluer votre contrat
La qualité de la réponse se décide avant l'incident. Une fiche réflexe d'une page, affichée en réserve, suffit souvent :
- les contacts opérationnels : téléservice de la CNIL, assistance de l'assureur ou courtier, prestataire technique, commissariat le plus proche ;
- l'inventaire de vos traitements et de leurs hébergements, cohérent avec le registre de l'article 30 du RGPD ;
- vos contrats de sous-traitance conformes à l'article 28, avec un délai chiffré de remontée d'incident, et non un vague « dans les meilleurs délais » ;
- des sauvegardes testées, dont au moins une déconnectée, et une journalisation activée et conservée ;
- un modèle de courrier client relu à froid, hors urgence.
Côté contrat, deux points de droit sont souvent mal compris. Vous devez déclarer les circonstances nouvelles aggravant le risque, par exemple l'ouverture d'une boutique en ligne ou la reprise d'un fichier client (article L.113-2 du code des assurances). Et si vous souhaitez changer d'assureur, le régime applicable à un contrat professionnel est celui de l'article L.113-12 : résiliation à l'échéance annuelle, avec un préavis de deux mois, sauf survenance d'un des cas de l'article L.113-16 — changement de profession, cessation définitive d'activité, notamment — lorsque le changement a une incidence directe sur le risque. La résiliation dite infra-annuelle et le délai de rétractation de quatorze jours du code de la consommation visent les particuliers et ne s'appliquent pas ici.
Attendre l'échéance n'est donc pas la seule voie : un avenant en cours d'année reste, en pratique, le moyen le plus rapide d'ajouter une garantie manquante à un contrat existant.
Questions fréquentes
À partir de la prise de connaissance, c'est-à-dire du moment où vous disposez d'un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles — pas de la date de l'intrusion, souvent antérieure de plusieurs semaines. Le délai est calendaire : les week-ends et jours fériés sont inclus. Si vous le dépassez, notifiez tout de même : l'article 33, §1 du RGPD prévoit que la notification tardive soit accompagnée des motifs du retard. Et si des éléments manquent, notifiez ce que vous savez, puis complétez par phases (article 33, §4).
Non. La notification incombe au responsable du traitement, c'est-à-dire à vous, dès lors que le fichier client est le vôtre. Le prestataire agit comme sous-traitant : l'article 33, §2 du RGPD lui impose de vous informer sans délai injustifié, et l'article 28 l'oblige à vous assister. En pratique, exigez dans le contrat un délai de remontée exprimé en heures, la mise à disposition des journaux techniques et un point de contact nominatif joignable. Un prestataire qui vous alerte cinq jours après consomme l'intégralité de votre marge de manœuvre.
Possiblement, mais pas automatiquement. L'article 34, §3, a) du RGPD prévoit une dispense d'information individuelle lorsque des mesures de protection appropriées rendent les données incompréhensibles pour toute personne non autorisée. Cela suppose un chiffrement à l'état de l'art, une clé non compromise par l'incident, et une analyse écrite qui l'établit. Attention : cette dispense ne vaut que pour l'information des personnes. La notification à la CNIL reste due dès que la violation est susceptible d'engendrer un risque.
Le socle d'une multirisque professionnelle est construit sur les dommages aux biens et la responsabilité civile d'exploitation : ces postes n'y figurent généralement pas sans extension cyber ou contrat dédié. Vérifiez vos conditions particulières et posez trois questions précises : quel plafond pour les frais de gestion de crise, quelle franchise, et existe-t-il une assistance joignable en dehors des heures ouvrées ? Vérifiez également si l'assureur impose un prestataire d'expertise, car engager le vôtre sans accord préalable peut compromettre la prise en charge.
Non, pas dans un cadre professionnel. La résiliation obéit à l'article L.113-12 du code des assurances : à l'échéance annuelle, avec un préavis de deux mois. S'y ajoutent les cas de l'article L.113-16, notamment le changement de profession ou la cessation définitive d'activité, lorsque le changement a une incidence directe sur le risque assuré. Ni la résiliation infra-annuelle, ni le droit de rétractation de quatorze jours du code de la consommation ne s'appliquent aux contrats souscrits pour les besoins de l'activité. La voie la plus rapide reste donc l'avenant en cours d'année.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections, devis immédiat — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies.
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.