Données réelles capturées en pentest : le réflexe RGPD anti-CNIL
Capturer des données réelles pendant un test peut déclencher une notification de violation CNIL. Le guide des bons réflexes et de la couverture adaptée.
- Pendant un pentest, l'exploitation d'une faille peut donner accès à des données personnelles réelles que vous n'aviez pas l'intention de récupérer.
- Cette captation accidentelle peut constituer une violation de données au sens du RGPD et déclencher l'obligation de notification à la CNIL sous 72 heures.
- Le pentester agit le plus souvent comme sous-traitant : ses obligations doivent être cadrées par un contrat conforme à l'article 28 du RGPD.
- La garantie atteinte à la confidentialité et un volet cyber couvrent les frais de gestion d'incident, de notification et de défense.
Le moment où la faille révèle de vraies données
Tout pentester connaît cet instant. Vous exploitez une injection SQL pour démontrer une vulnérabilité, et au lieu d'une base de test bien sage, l'écran déroule des milliers de lignes : noms, e-mails, numéros de téléphone, parfois des données de santé ou bancaires. La preuve de concept que vous vouliez fonctionne trop bien : vous tenez entre les mains des données personnelles réelles de clients finaux.
Ce scénario n'est pas une faute en soi : démontrer l'exploitabilité fait partie du métier. Le problème commence à l'instant suivant, dans ce que vous faites de ces données. Les copier dans votre rapport, les rapatrier sur votre poste, les conserver pour la démonstration : chacun de ces gestes transforme une découverte technique en traitement de données à caractère personnel dont vous devenez responsable.
Le RGPD ne s'intéresse pas à votre intention de bien faire. Il regarde un fait : des données personnelles ont quitté l'environnement maîtrisé du responsable de traitement pour atterrir, même temporairement, sur le matériel d'un tiers. C'est la définition même d'un incident à surveiller.
Ce qui rend la situation particulièrement piégeuse pour le pentester, c'est qu'elle survient au pire moment : celui de la réussite. Vous venez de prouver une vulnérabilité critique, le client va vous féliciter, et c'est exactement là que vous accumulez sans y penser une copie de données sensibles dans vos captures d'écran, vos exports et vos notes de mission. L'euphorie technique masque la création silencieuse d'un risque juridique. Savoir s'arrêter au bon moment, juste après la preuve et avant l'aspiration massive, fait partie des réflexes qui séparent le professionnel aguerri du débutant talentueux.
Violation de données : ce que dit vraiment le RGPD
Le RGPD définit la violation de données comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel, ou l'accès non autorisé à de telles données ».
L'accès non autorisé est le mot qui vous concerne. Même si votre client vous a mandaté pour tester, l'accès aux données des clients finaux n'était généralement pas dans le contrat. Trois questions déterminent si l'incident bascule en violation notifiable :
- Les données ont-elles réellement été consultées ou copiées, ou seulement rendues théoriquement accessibles ?
- S'agit-il de données sensibles (santé, données bancaires, opinions) qui élèvent le niveau de risque ?
- L'incident présente-t-il un risque pour les droits et libertés des personnes concernées ?
Si la réponse fait pencher vers le risque, le responsable de traitement — votre client — dispose de 72 heures pour notifier la CNIL. Et en tant que sous-traitant, vous avez l'obligation de l'alerter sans délai pour qu'il puisse tenir ce délai. Le silence n'est pas une option : c'est un manquement supplémentaire.
Le pentester, sous-traitant au sens de l'article 28
Juridiquement, le pentester qui traite des données pour le compte de son client est un sous-traitant au sens du RGPD. Cela impose un contrat conforme à l'article 28, qui encadre notamment :
- L'objet et la durée du traitement, limités au strict nécessaire de l'audit.
- L'obligation de confidentialité et de sécurité des données manipulées.
- Le sort des données en fin de mission : suppression certifiée de tout ce qui a été capturé.
- L'assistance au responsable de traitement en cas de violation, dont la notification rapide.
Le bon réflexe : convenir en amont, dans le mandat, que la démonstration d'exfiltration se fera sur un échantillon minimal, anonymisé ou tronqué, et jamais sur l'intégralité d'une base. On prouve la faille sans rapatrier la base entière.
Beaucoup de pentesters négligent ce volet contractuel, persuadés que « ce sont les données du client, pas les miennes ». C'est une erreur : dès que vous les manipulez, vous endossez des obligations propres et une responsabilité qui peut être engagée indépendamment de celle du client.
Le protocole en cas d'exfiltration accidentelle
Si vous capturez des données réelles que vous n'auriez pas dû, la précipitation aggrave tout. Voici la marche à suivre, dans l'ordre :
- Arrêter l'extraction immédiatement. Ne poursuivez pas pour « voir l'ampleur », vous ne feriez qu'alourdir le volume concerné.
- Documenter précisément ce qui a été consulté ou copié, quand, et sur quel support, sans dupliquer davantage les données.
- Alerter sans délai le client (responsable de traitement) afin qu'il puisse apprécier le risque et, si nécessaire, notifier la CNIL dans les 72 heures.
- Isoler puis supprimer les données de votre environnement selon un procédé vérifiable, et fournir une attestation de destruction.
- Conserver la traçabilité de toutes ces étapes : c'est votre preuve de diligence en cas de mise en cause.
Ce protocole limite la casse mais ne supprime pas les coûts : analyse forensique, conseil juridique spécialisé, accompagnement de la notification, voire gestion de la communication. Ces frais, qui se chiffrent vite en milliers d'euros, relèvent d'une assurance cyber et de la garantie atteinte à la confidentialité.
Pourquoi les clients sensibles exigent des plafonds élevés
Le risque « données réelles » explique en grande partie une exigence que tout pentester rencontre tôt ou tard : les clients les plus exposés réclament des plafonds de garantie élevés, souvent de l'ordre du million d'euros. Banques, e-commerçants, éditeurs SaaS manipulant des données de santé : tous savent qu'une violation impliquant leurs clients finaux peut coûter très cher, entre sanctions, indemnisations et perte de confiance.
Pour eux, l'attestation d'assurance de leur prestataire n'est pas une formalité : c'est une garantie que, si quelque chose tourne mal pendant l'audit, ils ne se retrouveront pas seuls face au préjudice. Les qualifications comme le PASSI de l'ANSSI imposent d'ailleurs une couverture responsabilité civile professionnelle adaptée.
Concrètement, un freelance qui veut accéder aux missions les mieux rémunérées doit pouvoir présenter :
- Une attestation RC Pro à jour mentionnant explicitement les tests d'intrusion.
- Un plafond cohérent avec la sensibilité des données traitées.
- Une garantie atteinte à la confidentialité clairement libellée.
Sans ces éléments, le pentester se ferme l'accès aux comptes les plus lucratifs. L'assurance n'est donc pas qu'un filet de sécurité : c'est une condition commerciale d'entrée sur les marchés à forte valeur.
La couverture qui correspond à ce risque précis
Le risque « données réelles » du pentester se situe à la frontière de deux garanties complémentaires. Bien comprendre leur articulation évite les angles morts.
| Garantie | Ce qu'elle prend en charge |
|---|---|
| RC Pro – atteinte à la confidentialité | La responsabilité engagée envers le client pour la divulgation involontaire de ses données |
| Volet cyber – gestion d'incident | Les frais de forensique, de notification, d'assistance CNIL et de communication |
| Protection juridique | Votre défense si un tiers ou la CNIL met en cause votre responsabilité de sous-traitant |
Le critère décisif au moment de souscrire : vérifier que le contrat couvre explicitement l'atteinte involontaire à la confidentialité et les frais de gestion de violation de données, et qu'il ne les exclut pas sous prétexte que l'accès aux données est inhérent à votre métier. Pour cadrer l'ensemble des garanties autour de votre activité d'audit, partez de la page assurance pentester freelance et déclarez précisément le périmètre de vos missions, y compris le red team et l'ingénierie sociale.
Questions fréquentes
Pas systématiquement, mais c'est un incident à traiter comme tel. Dès que des données personnelles réelles sont consultées ou copiées hors de l'environnement maîtrisé, il faut évaluer le risque pour les personnes. Si ce risque existe, le responsable de traitement doit notifier la CNIL sous 72 heures.
Oui. Lorsque vous traitez des données pour le compte d'un client, vous êtes sous-traitant au sens de l'article 28 du RGPD. Vous devez garantir la confidentialité, supprimer les données en fin de mission et alerter sans délai le client en cas de violation, sous votre propre responsabilité.
En convenant à l'avance, dans le mandat, que la preuve d'exfiltration portera sur un échantillon minimal, tronqué ou anonymisé, jamais sur une base complète. On prouve l'exploitabilité de la faille sans rapatrier ni conserver l'intégralité des données réelles.
Les coûts de gestion d'incident : analyse forensique, conseil juridique spécialisé, accompagnement de la notification à la CNIL, gestion de la communication et défense en cas de mise en cause. Ces frais se chiffrent vite en milliers d'euros et grèvent lourdement un freelance non couvert.
Les deux se complètent. La RC Pro avec garantie atteinte à la confidentialité couvre votre responsabilité envers le client, tandis que le volet cyber prend en charge les frais de gestion de la violation. Vérifiez que votre contrat inclut explicitement ces deux dimensions pour le pentester.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Pentester freelance — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Pentester freelance →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.