Fuite de données sur un site internet : que faire, et dans quel ordre.Repérer, contenir, évaluer, notifier, corriger.

1. Notez l'heure : le délai de 72 heures court dès que vous avez connaissance de la violation.
2. Contenez sans effacer : fermez la fuite, coupez les accès, copiez avant de nettoyer.
3. Évaluez : quelles données, combien de personnes, quel risque.
4. Notifiez la CNIL dans les 72 heures si la fuite présente un risque.
5. Prévenez les personnes si le risque est élevé.
6. Portez plainte avant de tout réinstaller.
7. Corrigez la faille, puis rouvrez.
8. Documentez et prévenez la suivante.

Dans ce guide

• Fuite, vol, violation : de quoi parle-t-on
• Les premières heures : contenir sans effacer les traces
• Évaluer : quelles données, combien de personnes, quel risque
• Notifier la CNIL sous 72 heures
• Prévenir les personnes concernées
• Porter plainte, et se faire aider
• Corriger, puis rouvrir
• Prévenir la prochaine
• Ce que nous ferions à votre place
• Questions fréquentes

Le RGPD parle de violation de données personnelles : un incident de sécurité, accidentel ou malveillant, qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés à des données personnelles. La fuite de données en est le cas le plus connu ; le vol de données, sa version malveillante. Rien de rare : en 2025, la CNIL a reçu 6 167 notifications de violations, dont environ une sur deux due à un piratage.

Sur un site internet, les signes les plus fréquents :

• un compte administrateur inconnu, ou un export de la base que personne n'a lancé ;
• des clients qui reçoivent des messages frauduleux citant leur nom ou leur commande ;
• une sauvegarde ou un export de clients resté accessible en ligne ;
• un code inconnu dans la page de paiement ou dans un formulaire ;
• un message de rançon, une alerte de l'hébergeur, des données publiées sur un forum.

Une erreur compte aussi : une liste de clients envoyée au mauvais destinataire, un ancien prestataire qui a gardé ses accès.

Ouvrir un journal de l'incident

Notez l'heure de la découverte et ce qui a été vu, puis chaque geste avec son heure, et faites des captures d'écran. Le délai de 72 heures court dès que vous avez connaissance de la violation : ce journal le montrera, à la CNIL comme à votre assureur.

Fermer la fuite

Retirez ce qui expose les données : le fichier en ligne, le formulaire ou l'extension en cause, ou tout le site, passé en maintenance. Depuis un ordinateur sain, changez les mots de passe (administrateurs, espace de l'hébergeur, FTP ou SSH, base de données, messagerie), révoquez les clés d'API et les accès des anciens prestataires.

Ne rien effacer avant d'avoir copié

Ne supprimez pas les fichiers suspects, ne restaurez pas une sauvegarde par-dessus : copiez d'abord le site (fichiers et base de données) et ses journaux, et demandez à l'hébergeur de conserver les siens. Sans cette copie, plus personne ne saura par où l'intrus est entré ni ce qu'il a emporté. Pour WordPress, voyez notre guide site WordPress piraté : que faire dans la première heure.

Prévenir les bonnes personnes

Votre hébergeur et votre prestataire web, qui ont des journaux que vous n'avez pas ; votre assureur cyber, dans le délai du contrat ; votre délégué à la protection des données si vous en avez un. Vos clients viendront après : d'abord savoir de quoi l'on parle.

Trois questions à trancher : quelles données, combien de personnes et d'enregistrements (même approximativement), quelles conséquences pour elles. Pèsent le plus lourd les mots de passe, surtout mal protégés, car beaucoup les réutilisent ailleurs ; les coordonnées bancaires et les pièces d'identité ; les données de santé et les autres données sensibles. Des coordonnées seules suffisent déjà à rendre crédibles des messages frauduleux. Comptent aussi la durée d'exposition, le chiffrement des données et qui a pu y accéder.

La CNIL distingue trois cas. Sans risque pour les personnes, vous documentez l'incident en interne. Avec un risque, vous documentez et notifiez la CNIL. Avec un risque élevé, vous prévenez aussi les personnes. En cas de doute, la CNIL conseille de notifier.

C'est le responsable du traitement qui notifie : l'entreprise qui édite le site, pas son hébergeur ni son agence web. Ceux-ci, comme sous-traitants, doivent vous alerter dans les meilleurs délais (article 33 du RGPD) ; vous pouvez leur demander de notifier en votre nom, mais la décision de notifier reste la vôtre.

La notification se fait sur le téléservice de la CNIL, dans les meilleurs délais et, si possible, 72 heures au plus tard après avoir eu connaissance de la violation, c'est-à-dire, pour la CNIL, dès que vous êtes raisonnablement certain qu'un incident a touché des données personnelles ; au-delà, avec les raisons du retard. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, un contact, les conséquences probables et les mesures prises ou envisagées.

Toutes les réponses ne sont pas là ? Une notification initiale, puis une notification complémentaire. Et même sans notifier, consignez l'incident dans votre registre des violations : les faits, leurs effets, les mesures prises et, si vous ne notifiez pas, pourquoi. La CNIL peut le contrôler.

Si le risque est élevé, par exemple des mots de passe, des coordonnées bancaires ou des données de santé exposés, prévenez les personnes dans les meilleurs délais (article 34 du RGPD), en termes clairs : ce qui s'est passé, les conséquences probables, ce que vous avez fait, qui contacter. Ajoutez des conseils : changer le mot de passe partout où il servait, se méfier des messages qui citeraient leurs informations. Ce n'est pas requis si les données étaient chiffrées selon l'état de l'art, avec une clé restée secrète, ou si des mesures prises ensuite écartent ce risque ; si prévenir chacun demanderait des efforts disproportionnés, une communication publique en tient lieu.

Dites ce que vous savez et ce que vous ignorez encore : un « aucun risque » écrit trop tôt se retourne contre vous. Pour vos clients, la CNIL et Cybermalveillance.gouv.fr ont publié en octobre 2026 un dépliant, « Violation de données personnelles, que faire en 3 étapes clés ? ».

S'introduire dans un site, y copier ou y modifier des données sont des délits du code pénal : jusqu'à trois ans de prison et 100 000 € d'amende pour l'accès frauduleux seul (article 323-1), cinq ans et 150 000 € si des données ont été supprimées ou modifiées (même article) ou copiées (article 323-3). Portez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, avec votre journal et la copie du site, avant de tout réinstaller. 17Cyber vous oriente en quelques questions ; Cybermalveillance.gouv.fr met en relation avec des professionnels. Une rançon ? Ne payez pas, et gardez le message comme preuve.

Trouvez la porte d'entrée avant de rouvrir : une extension dont la faille est connue, un mot de passe réutilisé, le compte d'un ancien prestataire, un export laissé en ligne. Puis : les comptes passés en revue, avec la double authentification ; le site et ses extensions à jour ; les mots de passe et les clés changés une seconde fois ; une restauration, s'il le faut, depuis une sauvegarde antérieure à l'intrusion et saine ; et une surveillance renforcée les semaines suivantes.

La donnée qui ne fuit pas, c'est celle que vous n'avez plus : supprimez les messages de formulaire accumulés, les exports oubliés, les comptes clients inactifs. La sécurité des données tient ensuite à quelques habitudes : un compte par personne, des mises à jour testées, des sauvegardes que l'on sait restaurer, des fichiers contrôlés, et des prestataires tenus par contrat de vous alerter. Le guide de la sécurité des données personnelles de la CNIL (édition 2024) sert de référence.

Écrivez aussi la procédure maintenant, sur une page : qui décide, qui appelle qui, où notifier. Pour le reste de la protection des données personnelles de votre site, voyez notre checklist d'audit RGPD et notre guide RGPD : c'est quoi.

Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 24 octobre 2026. Pages consultées les 23 et 24 octobre 2026. Ce guide n'est pas un avis juridique : pour un cas réel, faites-vous conseiller.

• CNIL, notifier une violation de données personnelles et les violations de données personnelles (72 heures, point de départ du délai, trois niveaux de risque, notifier en cas de doute, exceptions, sous-traitant, registre).
• Règlement général sur la protection des données, texte officiel (articles 4, 33, 34, 82 et 83), aussi publié par la CNIL.
• Légifrance, code pénal, articles 323-1 à 323-8.
• Cybermalveillance.gouv.fr, piratage d'un système informatique professionnel (25 février 2026), rançongiciel : que faire si votre organisation est victime (7 mai 2026) et violation ou fuite de données personnelles (1er octobre 2026) ; 17Cyber.
• CNIL, Cybermois 2026, rapport annuel 2025, guide de la sécurité des données personnelles et sanctions possibles.

Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.