Le samedi 3 octobre 2026, la Région Hauts-de-France a annoncé que deux de ses prestataires, Atexo et Docaposte, avaient subi une cyberattaque ayant permis un accès non autorisé à des données personnelles traitées pour son compte. Atexo gérait la plateforme des aides régionales, Docaposte celle de la carte Génération #HDF, qui verse des aides aux lycéens et aux apprentis. Une violation chez un sous-traitant de cette ampleur offre un cas d’école sur la répartition des rôles prévue par le RGPD.
Ce que l’on sait de l’attaque
Selon le communiqué de la Région, relayé notamment par Next et France 3 Hauts-de-France, les données concernées comprennent des noms, prénoms et adresses électroniques, ainsi que potentiellement des RIB et d’autres données d’identification. Les deux plateformes ont été fermées, la Région a déposé plainte et les usagers ont commencé à être informés. Elle indique aussi que son système d’information interne n’a pas été touché.
Sur un forum fréquenté par des cybercriminels, un individu a revendiqué dès le 3 octobre les données d’environ 708 000 personnes et 90 011 documents, dont plus de 36 000 RIB, plus de 37 000 contrats d’apprentissage et quelques pièces d’identité, d’après le décompte publié par FrenchBreaches. Ces chiffres n’ont pas été confirmés. Le 5 octobre, le président de Région a avancé environ 545 000 personnes concernées : au plus 515 000 sur les 745 000 inscrits de la plateforme Atexo, et près de 30 000 bénéficiaires et partenaires côté Docaposte. L’écart entre la revendication et le bilan officiel est fréquent dans ce type d’affaire ; il rappelle qu’une revendication doit être qualifiée avant d’être reprise.
Une violation chez un sous-traitant reste celle du responsable
Atexo et Docaposte agissaient pour le compte de la Région. Au sens du RGPD, la Région est responsable de traitement, les prestataires sont sous-traitants. Cette répartition fixe qui fait quoi quand l’incident survient.
L’article 33.2 impose au sous-traitant de notifier la violation au responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Le responsable, et lui seul, notifie ensuite la CNIL dans les 72 heures (article 33.1) et, si le risque est élevé pour les personnes, les informe directement (article 34). Le compteur des 72 heures démarre quand le responsable a connaissance de la violation, ce qui donne tout son poids à la rapidité de l’alerte du prestataire.
L’article 28.3 précise ce que le contrat de sous-traitance doit contenir. Le sous-traitant doit notamment mettre en œuvre les mesures de sécurité de l’article 32, aider le responsable à respecter ses obligations de notification et d’information, et mettre à sa disposition les informations nécessaires pour démontrer la conformité, audits compris. Lorsque la clause se contente de recopier le règlement, le responsable découvre le jour de l’incident qu’il ne sait pas quand il sera prévenu, par qui, ni avec quelles informations.
Ce que le responsable de traitement doit avoir prévu
Un inventaire des plateformes externalisées
Dans une collectivité, les téléservices sont souvent hébergés chez des éditeurs différents : aides, inscriptions scolaires, marchés publics, paiement en ligne, prise de rendez-vous. Chaque plateforme doit apparaître dans le registre des traitements avec son sous-traitant, ses sous-traitants ultérieurs et le lieu d’hébergement.
Une clause de notification précise
Le contrat ou le cahier des charges du marché devrait fixer un délai d’alerte chiffré, plus court que 72 heures, un interlocuteur joignable des deux côtés, et le contenu minimal du premier signalement : nature de l’incident, catégories et volume approximatif de données et de personnes, mesures prises. Une notification par étapes est admise par l’article 33.4, encore faut-il que la première arrive.
Des exigences de sécurité vérifiables
Authentification forte des administrateurs et des usagers, journalisation des accès, chiffrement des pièces justificatives : ces exigences doivent figurer au contrat et faire l’objet de preuves, par questionnaire, rapport d’audit ou certification. Le droit d’audit prévu à l’article 28 sert justement à ne pas se contenter d’une déclaration.
Une durée de conservation tenue
Un RIB ou un contrat d’apprentissage qui a servi à verser une aide n’a pas vocation à rester indéfiniment sur la plateforme de dépôt. Une purge régulière, ou un archivage hors de l’application exposée, réduit mécaniquement le volume d’une future fuite. La question vaut pour toutes les pièces justificatives collectées en ligne.
Un scénario d’information des personnes
Quand des RIB sont en cause, les personnes doivent savoir quoi surveiller : prélèvements inconnus, appels ou messages se présentant comme la Région ou la banque. Préparer à l’avance un modèle de message et un canal de diffusion évite d’improviser sous la pression.
Dans les dossiers de sous-traitance que je relis, la clause de notification est souvent la plus faible. Elle est pourtant la seule à jouer un rôle le jour où tout se décide en quelques heures.
DPO FRANCE, réseau national de DPO indépendants, aide les collectivités à auditer leurs sous-traitants et à rédiger des clauses de notification utilisables. DPO SUITE, le logiciel de conformité du réseau, centralise la liste des sous-traitants, leurs contrats, les audits menés et le registre des violations, pour retrouver l’information en quelques minutes le jour d’un incident.
