Fichiers mariés piratés : la bombe RGPD qui menace votre agence

L'organisateur de réceptions ne se voit pas comme un acteur du numérique. Et pourtant, le tableur partagé d'un mariage typique contient :

• Les noms, prénoms, adresses postales et numéros de portable de 150 à 400 invités ;
• Les allergies alimentaires et régimes particuliers (donc des données de santé, catégorie spéciale au sens de l'article 9 du RGPD) ;
• Les contraintes religieuses ou philosophiques (autre catégorie spéciale) ;
• Les RIB et coordonnées bancaires des mariés et de leurs parents pour les acomptes ;
• Les photos d'identification pour la sécurité, parfois les plans de table avec les liens familiaux (donc structure familiale, divorces, recompositions) ;
• Les noms et coordonnées des enfants mineurs.

Multipliés par 30 à 80 événements par an, cela représente un fichier d'environ 15 000 à 30 000 personnes concernées en stock chez un organisateur en activité depuis cinq ans. Vous êtes responsable de traitement au sens du RGPD, sans le savoir.

Les attaquants ont changé de cible. Depuis 2022, ils visent moins les grandes entreprises (mieux défendues) que les TPE des services, dont les agences événementielles. Trois raisons concrètes :

1. Vous communiquez avec des dizaines d'inconnus chaque semaine (prestataires, fournisseurs, demandes de devis), ce qui multiplie les vecteurs d'entrée par phishing — la fausse facture du traiteur reste l'attaque numéro un.
2. Vos données ont une valeur de chantage immédiate : la liste d'invités d'une personnalité publique, les coordonnées des familles d'un mariage médiatisé, ou simplement la peur d'embarrasser les mariés justifient pour l'attaquant une rançon élevée.
3. Votre cycle de paiement est tendu : un événement dans trois jours signifie que vous payerez la rançon plus vite qu'une entreprise classique. Les attaquants calent leurs offensives sur le vendredi après-midi avant les week-ends de mariage.

Selon l'ANSSI, les TPE des services ont représenté 41 % des signalements de rançongiciel en 2024, avec une rançon moyenne demandée de 28 400 € et un coût total de remédiation (perte d'exploitation incluse) autour de 76 000 €.

L'organisateur de réceptions est responsable de traitement. Cela impose, même pour une structure d'une personne, plusieurs obligations dont l'absence est lourdement sanctionnée :

La CNIL applique le principe de proportionnalité : pour une TPE, les amendes constatées en 2023-2025 vont de 5 000 € à 90 000 €, en moyenne 18 000 € pour un défaut de registre couplé à une fuite mineure.

La rançon n'est qu'une partie de la facture. Voici les postes systématiquement déclenchés par une violation de données chez un organisateur d'événements :

• Forensic informatique (analyse de l'attaque pour identifier les données exfiltrées) : 6 000 à 22 000 €.
• Notification CNIL et conseil juridique RGPD : 2 500 à 8 000 €.
• Lettres de notification aux personnes concernées (frais postaux et plateforme de notification certifiée) : 1,80 à 4 € par personne, soit 12 000 € pour 4 000 invités notifiés.
• Cellule de crise et communication auprès des clients en cours : 4 000 à 15 000 €.
• Reconstitution de la base à partir des sauvegardes, si elles existent et sont saines : 3 000 à 10 000 € de temps technique.
• Perte d'exploitation sur les événements perturbés ou annulés : très variable, souvent 15 000 à 50 000 € pour une agence faisant 40 événements par an.
• Indemnisations individuelles aux personnes concernées en cas d'action en justice (préjudice moral) : 200 à 1 500 € par requérant.

Une RC Pro classique ne couvre aucun de ces postes. Seule une garantie cyber dédiée prend en charge la rançon (quand sa négociation est légalement autorisée), le forensic, la notification, la communication de crise et la perte d'exploitation.

1. Activez l'authentification à deux facteurs sur la messagerie professionnelle, le drive et tous les outils SaaS (CRM, facturation, comptabilité). C'est gratuit et bloque 99 % des compromissions par phishing selon Microsoft.
2. Mettez en place une sauvegarde hors ligne hebdomadaire de la base clients, déconnectée du réseau (disque externe roulant entre deux semaines). Un rançongiciel chiffre toutes les sauvegardes en ligne.
3. Rédigez un registre des traitements simple en deux pages (un tableau Excel suffit) listant : finalité, base légale, données collectées, durée de conservation, destinataires, mesures de sécurité.
4. Faites signer une clause RGPD par chaque sous-traitant qui accède à vos données invités : traiteur, plan de table en ligne, prestataire d'envoi d'invitations. Le sous-traitant doit s'engager à ne pas utiliser les données à ses fins.
5. Purgez automatiquement les données invités six mois après l'événement, sauf demande écrite de conservation du client. La limitation de durée est la première chose vérifiée par la CNIL en cas de contrôle.

Pour le détail des risques propres à votre métier, consultez la page organisateur de réceptions.

Beaucoup d'organisateurs pensent qu'ils n'ont pas besoin de DPO (délégué à la protection des données) parce qu'ils sont une petite structure. C'est presque vrai : le DPO n'est obligatoire que pour le traitement à grande échelle de catégories particulières. Pour un organisateur classique, il ne l'est pas.

En revanche, l'absence de DPO n'exonère en rien des autres obligations. La CNIL est sans complaisance vis-à-vis des TPE qui invoquent leur taille. Délibération SAN-2023-019 : sanction de 75 000 € à un photographe événementiel pour absence de registre, durée de conservation indéterminée et défaut de sécurisation des sauvegardes en ligne.

Le critère de la CNIL n'est pas votre chiffre d'affaires, c'est le volume et la sensibilité des données traitées. Un organisateur qui collecte allergies, enfants mineurs et plans de table familiaux entre dans la catégorie sensible.