Le 19 octobre 2026, le Clusif a mis en ligne un livret consacré au dépôt de plainte après un incident de cybersécurité. Ce document court est la première production de son groupe de travail sur le sujet, et des fiches pratiques doivent suivre d’ici la fin de l’année. L’association met aussi en avant son guide sur la cybersécurité des systèmes industriels, comme l’a relevé L’Informaticien. Le premier document pose une question que je rencontre souvent en gestion de crise : comment mener le dépôt de plainte après une cyberattaque sans retarder la notification à la CNIL, ou l’inverse.
Ce que contient le livret du Clusif
Le livret avance plusieurs raisons de porter plainte. La plainte déclenche une enquête pénale, souvent la seule voie quand la victime est seule à connaître l’incident. Elle permet d’être reconnu comme victime, de se constituer partie civile et d’obtenir une indemnisation. Elle montre aux partenaires que l’organisme a réagi. Elle conditionne enfin l’indemnisation par l’assureur : depuis la loi LOPMI, l’assurance ne couvre les pertes liées à une cyberattaque que si une plainte est déposée dans les 72 heures suivant la connaissance de l’attaque.
Le document donne des conseils pratiques. Identifier à l’avance le commissariat ou la brigade compétente, qui pourra orienter vers des services spécialisés. Faire déposer la plainte par le représentant légal ou par une personne munie d’un pouvoir. Se présenter en personne, une pré-plainte en ligne ne suffisant pas, ou saisir directement le procureur de la République. Apporter journaux, captures d’écran, rapports d’analyse et coordonnées des prestataires. Déposer vite avec les premiers éléments pour obtenir un récépissé, puis compléter. Le livret rappelle aussi que les agents publics sont tenus de signaler les délits dont ils ont connaissance, au titre de l’article 40 du code de procédure pénale, ce qui concerne directement les collectivités et les établissements publics.
Plainte après une cyberattaque et notification CNIL : deux démarches
Le livret ne traite pas de la CNIL, et pour cause : les deux démarches n’ont ni le même objet ni le même destinataire. La plainte vise à poursuivre l’auteur. La notification prévue à l’article 33 du RGPD informe l’autorité de contrôle qu’une violation de données personnelles s’est produite, chez un responsable de traitement qui reste tenu d’en évaluer les conséquences pour les personnes. L’une ne remplace pas l’autre.
Les délais se superposent. L’article 33 impose de notifier la CNIL dans les 72 heures après avoir pris connaissance de la violation, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. Le code des assurances fixe aussi 72 heures pour la plainte. Les deux compteurs démarrent à peu près au même moment, quand les équipes sont absorbées par la remise en service. Sans procédure écrite, l’un des deux est oublié.
Ce que l’organisme doit prévoir avant l’incident
Une procédure unique, deux circuits
La procédure de gestion des violations devrait comporter une étape « dépôt de plainte » à côté de l’étape « notification CNIL », avec pour chacune un responsable nommé et un suppléant. Le DPO pilote la qualification de la violation et la notification ; la direction ou le service juridique se charge de la plainte et de l’assureur. Les deux doivent partager le même journal de crise.
Les pouvoirs et les contacts prêts
Un modèle de pouvoir de représentation signé à l’avance, l’adresse du service de police ou de gendarmerie compétent, les coordonnées de l’assureur et le numéro de contrat : ces éléments tiennent sur une page et font gagner des heures.
Des preuves qui servent deux fois
Les journaux d’accès, la chronologie et la liste des données touchées nourrissent la plainte autant que la notification. Les conserver intacts, horodatés et copiés hors du système compromis est la première consigne à donner à la DSI ou au prestataire d’intervention.
La cohérence des déclarations
Le récépissé de plainte peut être mentionné dans la notification à la CNIL. À l’inverse, les éléments transmis aux enquêteurs ne doivent pas contredire la description de la violation faite à l’autorité. Une notification complémentaire, que l’article 33.4 autorise, permet d’actualiser les informations au fil de l’enquête.
Les autres déclarations
Selon les cas, d’autres signalements s’ajoutent : déclaration d’incident à l’ANSSI pour les entités régulées, déclaration des incidents graves de sécurité des systèmes d’information pour les établissements de santé, information des personnes au titre de l’article 34 si le risque est élevé. Une matrice qui indique, pour chaque type d’incident, qui doit être prévenu et dans quel délai évite les oublis.
Le cas des systèmes industriels
Le guide OT du Clusif couvre la gouvernance, l’inventaire et la cartographie, l’analyse de risque, l’architecture, la sécurisation des flux, la sous-traitance et le maintien en condition de sécurité. Il concerne les industriels, mais aussi les établissements équipés de gestion technique du bâtiment ou d’automates. Lorsqu’un incident touche ces systèmes sans affecter de données personnelles, il n’y a pas de notification à la CNIL ; la plainte, elle, reste pertinente. La frontière se vérifie au cas par cas, car un automate relié au réseau bureautique peut ouvrir la voie à une violation de données.
DPO FRANCE, réseau national de DPO indépendants, aide les organismes à rédiger une procédure de gestion des violations qui intègre la plainte, l’assureur et les autorités. DPO SUITE, le logiciel de conformité du réseau, calcule les échéances de notification, conserve la chronologie de l’incident et archive les pièces justificatives, récépissé de plainte compris.
