Site piraté : notifier la CNIL en 72 heures

Une violation de données personnelles, c'est un incident de sécurité qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Un skimmer qui copie les cartes de vos clients, un pirate qui accède à la base des commandes ou un compte administrateur volé en sont des exemples typiques.

Le délai de 72 heures court à partir du moment où vous avez une certitude raisonnable qu'une violation a eu lieu, pas à partir du jour où le pirate est entré.

Si vous n'avez pas tout à 72 heures, vous envoyez une notification initiale avec ce que vous savez, puis une notification complémentaire à la fin des investigations. Si vous notifiez après 72 heures, vous devez expliquer le retard : notifier tard reste obligatoire.

La notification se fait en ligne, par le téléservice de la CNIL, et elle est réservée au responsable de traitement, c'est-à-dire vous, le marchand.

Quand la violation présente un risque élevé pour les personnes (vol de numéros de carte, de mots de passe, de données sensibles), vous devez les informer sans délai, en termes clairs : ce qui s'est passé, les conséquences probables, ce que vous avez fait, et ce qu'ils doivent faire (surveiller leurs relevés, faire opposition, changer de mot de passe).

Toutes les violations doivent être documentées dans un registre interne, y compris celles que vous ne notifiez pas : nature, personnes et données concernées, conséquences, mesures prises et, le cas échéant, raisons de l'absence de notification. La CNIL peut le demander lors d'un contrôle.

Votre agence, votre infogéreur ou votre hébergeur agit en principe comme sous-traitant : il doit vous alerter dans les meilleurs délais. Vous pouvez l'autoriser à notifier la CNIL pour vous, mais vous restez responsable de la notification.

Une entreprise ne peut pas utiliser la plainte en ligne réservée aux particuliers : il faut se rendre au commissariat ou à la gendarmerie, ou écrire au procureur de la République. Conservez les journaux et une copie du site avant toute réinstallation : ce sont des preuves.

Si vous avez une assurance cyber, le dépôt de plainte dans les 72 heures après avoir pris connaissance de l'attaque conditionne l'indemnisation (voir notre guide sur l'assurance cyber).

La CNIL sanctionne les défauts de sécurité, en particulier sur les données de paiement. En 2020, un site de vente en ligne de chaussures a été condamné à 250 000 euros d'amende (délibération SAN-2020-003), notamment pour des mots de passe trop faibles et des numéros de carte conservés en clair. En janvier 2026, Free Mobile et Free ont été sanctionnés à hauteur de 42 millions d'euros au total pour une sécurité insuffisante après une fuite massive.