La fiche 8 du guide CNIL pour les SPST rappelle que le service doit documenter toute violation de données, la notifier à la CNIL dans les 72 heures lorsqu’elle présente un risque, et en informer les personnes si ce risque est élevé. Elle vaut pour tous les outils du service, y compris le site internet.
Un dossier traité en octobre dans un service illustre la difficulté de ces décisions lorsque le prestataire affirme d’emblée qu’aucune donnée n’est concernée. Le CERT-FR décrit, dans ses publications du mois, exactement le même enchaînement.
Ce qui change
Le site internet d’un service a été piraté entre le 12 et le 14 octobre 2026. La compromission venait d’une faille d’un autre site hébergé sur le même serveur partagé, chez l’agence web. Des fausses pages de boutique ont été publiées et un compte administrateur malveillant a été créé.
L’agence a annoncé le nettoyage du site et affirmé qu’aucune donnée n’était concernée. Le lendemain, la position retenue a été de traiter l’événement comme une violation et de déposer une notification initiale à la CNIL dans les 72 heures, sans attendre le rapport complet. Le site recevait des formulaires de contact et utilisait une boîte de messagerie du service pour les envoyer : l’affirmation de l’agence ne prouvait pas l’absence d’accès.
Le même service avait subi au début du mois un hameçonnage sur son environnement bureautique en ligne. Le CERT Santé a alerté le 21 octobre sur ce scénario combiné : un hameçonnage, puis un détournement de session. Le CERT-FR rappelle de son côté qu’un site compromis donne accès au serveur, puis aux comptes.
Ce que cela implique pour un SPST
L’article 33 du RGPD fait courir le délai de 72 heures à partir du moment où le responsable de traitement a connaissance de la violation. Plusieurs enseignements pratiques ressortent du dossier.
- L’heure de l’alerte et l’heure de connaissance de la violation se distinguent, mais cette distinction ne doit pas servir à gagner du temps.
- Une notification initiale peut être incomplète. L’article 33.4 permet de compléter les informations par la suite.
- Le service doit exiger de l’agence la conservation des preuves (journaux, fichiers modifiés, comptes créés) et un rapport d’incident écrit.
- Les accès de la boîte de messagerie utilisée par le site doivent être changés, la double authentification activée et les sessions ouvertes revues.
- Un site hébergé sur un serveur partagé hérite des failles des autres sites. Le contrat d’hébergement et le niveau d’isolement doivent être réexaminés.
Le site vitrine est souvent hors du champ des revues de sécurité, parce qu’il ne contient pas de données de santé. Il reste relié aux messageries et aux comptes du service.
Comment le traiter dans DPO SUITE
Créez l’événement dans le module des incidents de sécurité et violations de données, en renseignant séparément l’heure de l’alerte et l’heure de connaissance de la violation. La qualification de la violation guide l’appréciation du risque, et le délai de notification de 72 heures est calculé automatiquement. Reliez l’incident à l’hameçonnage antérieur grâce aux liens entre incidents.
Dans le registre des sous-traitants, ouvrez la fiche de l’agence web, complétez la localisation de l’hébergement et lancez un audit par questionnaire sur l’isolement des sites, la conservation des journaux et le délai d’information en cas d’incident. Dans le module infrastructure, inscrivez le serveur d’hébergement et la boîte de messagerie du site comme composants.
Créez enfin des actions correctives pour le changement des accès, l’activation de la double authentification et la revue du contrat d’hébergement, et rattachez le rapport d’incident de l’agence comme preuve.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 32, 33 et 34 du RGPD, texte sur cnil.fr
- CERTFR-2026-CTI-008 du 20 octobre 2026
- Actualité CERT Santé du 21 octobre 2026
- Guide CNIL SPST, fiche 8
