Une cyberattaque chez un sous-traitant reste juridiquement votre responsabilité
Hébergeur cloud, CRM, service client externalisé, logiciel de paie… La plupart des entreprises utilisent ces types de services et confient ainsi à des sous-traitants une grande partie de leurs données. Le problème ? Si une cyberattaque survient chez un sous-traitant ou prestataire, ce sont toutes vos données qui peuvent se retrouver exposées. C’est le scénario d’un cas pratique publié par la CNIL le 27 mai 2026 : un pirate s’introduit chez un prestataire cloud et copie les données de tous ses clients. Si ce cas est fictif, il est inspiré d’incidents bien réels auxquels il faut se préparer.
Même quand la faille ou fuite de données provient d’un tiers, votre entreprise reste responsable de ses données. C’est elle qui doit notifier la violation à la CNIL sous 72 heures, et informer les personnes concernées si le risque est élevé.
L’exemple d’Almerys : sous-traitant victime de 2 cyberattaques en 2 ans
Almerys, opérateur de tiers payant pour de nombreuses mutuelles, a ainsi confirmé le 24 mai 2026 avoir subi une cyberattaque. C’est la deuxième fois en deux ans que ce prestataire expose les données de millions d’assurés. La fuite est estimée à 44 millions de lignes de données, dont 15 millions de numéros de sécurité sociale. Notons que ni les coordonnées bancaires, ni les mots de passe n’ont été divulgués. La première attaque survenue en février 2024 avait concerné la violation de données de 33 millions de personnes.
Les mutuelles clientes d’Almerys ont dû prévenir leurs adhérents et gérer une crise qu’elles n’avaient pas provoquée. Le RGPD est clair : déléguer le traitement de ses données ne délègue pas la responsabilité.
Les bons réflexes pour ne pas dépendre de la sécurité des autres
Pour prévenir les risques de cybersécurité et protéger vos données, il y a quelques bons réflexes à adopter.
- Auditer ses prestataires et ne faire appel qu’à des prestataires conformes au RGPD.
- Cartographier la chaîne de sous-traitance : vos prestataires directs, et leurs propres sous-traitants.
- Encadrer les sous-traitant avec un contrat de sous-traitance (DPA), qui répartit clairement les responsabilités.
- Préparer une procédure de gestion de crise des violations de données : qui alerte, qui décide, qui notifie, sous quel délai. Elle doit permettre de réagir vite, même quand l’incident vient de l’extérieur.
Le DPA, pièce centrale du contrat de sous-traitance
Dès qu’un prestataire traite vos données, le RGPD impose un DPA (Data Processing Agreement). Il encadre notamment la mission du prestataire, ses obligations de sécurité, son aide en cas de fuite et pour les droits des personnes, ainsi que l’hébergement des données et les garanties hors Union européenne.
Un DPA bien rédigé et une procédure de crise testée en amont ne suppriment pas le risque de cyberattaque. Mais ils permettent de limiter les conséquences et de savoir comment réagir.
Chez Albacombee, nous vous accompagnons dans la gestion de vos risques de cybersécurité et la mise en conformité avec le RGPD.
