Une infection par ransomware ne se limite pas à un problème informatique : elle peut aussi devenir un sujet juridique majeur. Dès lors que des données personnelles sont touchées, le RGPD impose des obligations précises aux organisations, notamment en matière de sécurité, de documentation et, dans certains cas, de notification aux autorités et aux personnes concernées.
Un ransomware, ou rançongiciel, est un logiciel malveillant qui bloque l’accès à des fichiers ou à un système, généralement par chiffrement, avant d’exiger le paiement d’une rançon. Dans une entreprise, une collectivité, une association ou un établissement de santé, ce type d’attaque peut paralyser l’activité en quelques minutes. Mais au regard du règlement général sur la protection des données, la question centrale est la suivante : des données personnelles ont-elles été compromises ?
Le RGPD ne vise pas seulement les bases clients ou les fichiers marketing. Il protège toute information se rapportant à une personne physique identifiée ou identifiable : nom, adresse e-mail, numéro de téléphone, identifiant interne, données RH, informations de santé, données bancaires ou encore historique de connexion. Une attaque par ransomware peut donc concerner le RGPD même si les pirates n’ont pas publié les données.
Le risque est d’autant plus important que les modes d’infection restent variés. Les campagnes par e-mail demeurent fréquentes, notamment lorsqu’un message contient une pièce jointe piégée ; le fonctionnement de ce type d’attaque est illustré par les mécanismes de l’hameçonnage avec document infecté, souvent utilisé pour contourner la vigilance des utilisateurs. Pour le RGPD, l’origine technique importe moins que les conséquences sur les données.
Pas nécessairement, mais c’est une hypothèse à examiner immédiatement. Le RGPD définit une violation de données personnelles comme une violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou l’accès non autorisé à celles-ci.
Dans le cas d’un ransomware, plusieurs scénarios sont possibles. Si les fichiers sont uniquement chiffrés mais restaurés rapidement grâce à des sauvegardes fiables, sans preuve d’accès externe ni d’exfiltration, le risque peut être limité. En revanche, si les attaquants ont copié des fichiers, accédé à des comptes, supprimé des données ou menacé de publier des informations, il s’agit très probablement d’une violation de données au sens du RGPD.
Depuis plusieurs années, de nombreux groupes criminels pratiquent la double extorsion : ils chiffrent les systèmes et volent des données avant d’exiger une rançon. Cette évolution change l’analyse juridique, car l’organisation doit évaluer non seulement l’indisponibilité des données, mais aussi leur possible divulgation non autorisée. Une simple suspicion sérieuse doit déjà déclencher une analyse documentée.
Lorsqu’une violation de données personnelles présente un risque pour les droits et libertés des personnes, le responsable de traitement doit la notifier à l’autorité de contrôle compétente. En France, il s’agit de la CNIL. Le délai prévu par le RGPD est de 72 heures à partir du moment où l’organisation a connaissance de la violation.
Ce délai ne signifie pas que l’enquête technique doit être terminée en trois jours. Il impose plutôt de transmettre rapidement les premiers éléments disponibles : nature de l’incident, catégories de données concernées, nombre approximatif de personnes touchées, conséquences probables et mesures déjà prises. Si certaines informations manquent, elles peuvent être communiquées par la suite, de façon progressive.
La notification n’est pas systématique. Elle dépend du niveau de risque. Une indisponibilité temporaire de données peu sensibles, sans exfiltration ni impact sur les personnes, peut ne pas justifier de déclaration. À l’inverse, l’exposition de données de santé, de mots de passe, de documents d’identité ou d’informations financières appelle une réaction rapide. L’important est de mener une analyse de risque sérieuse, traçable et proportionnée.
Le RGPD prévoit une obligation supplémentaire lorsque la violation est susceptible d’engendrer un risque élevé pour les personnes. Dans ce cas, l’organisation doit informer directement les personnes concernées, dans des termes clairs et compréhensibles. Cette communication doit expliquer la nature de l’incident, les conséquences possibles et les mesures recommandées pour se protéger.
Cette information est particulièrement importante si les données volées peuvent servir à une fraude, à une usurpation d’identité, à du chantage ou à des attaques ciblées. Par exemple, la fuite de bulletins de paie, de coordonnées bancaires, de données médicales ou d’identifiants de connexion peut créer un risque élevé pour les personnes. Le message ne doit ni minimiser la situation ni employer un vocabulaire trop technique.
Dans certains cas, l’information individuelle n’est pas nécessaire, notamment si les données étaient rendues inexploitables par un chiffrement robuste ou si des mesures ultérieures ont supprimé le risque élevé. Mais cette exception doit être justifiée. En pratique, une organisation doit pouvoir démontrer pourquoi elle a choisi d’informer ou non les personnes concernées.
La gestion d’un ransomware doit combiner réponse technique, analyse juridique et communication maîtrisée. Le RGPD ne demande pas l’impossible, mais il exige une réaction organisée. La priorité est de limiter la propagation, préserver les preuves, restaurer les services essentiels et comprendre si des données personnelles ont été consultées, copiées, altérées ou détruites.
Cette méthode permet d’éviter deux erreurs fréquentes : déclarer trop vite sans éléments fiables, ou attendre trop longtemps au motif que l’enquête n’est pas terminée. Le RGPD valorise la réactivité documentée. Il est donc préférable de conserver une chronologie précise des faits, des décisions et des mesures prises.
Même lorsqu’une violation n’est pas notifiée à la CNIL, elle doit généralement être consignée en interne. Le RGPD impose au responsable de traitement de documenter les violations de données personnelles, leurs effets et les mesures correctrices adoptées. Ce registre permet à l’autorité de contrôle de vérifier, en cas de contrôle, que l’analyse a été menée correctement.
Ce point est essentiel. Une organisation peut décider qu’un incident ne présente pas de risque justifiant une notification, mais elle doit être capable de l’expliquer. Le registre doit donc contenir des éléments concrets : date de détection, systèmes concernés, type de ransomware, données potentiellement affectées, mesures de confinement, résultats de l’investigation et justification de la décision. Cette traçabilité est un élément clé de la conformité.
L’histoire des logiciels malveillants montre que les vagues d’infection peuvent se diffuser très vite, parfois à une échelle mondiale ; l’impact du virus ILOVEYOU reste un exemple marquant de propagation massive par ingénierie sociale. Les organisations ont donc intérêt à conserver des preuves techniques exploitables, car elles peuvent éclairer l’origine et l’ampleur de l’attaque.
Le RGPD distingue le responsable de traitement, qui détermine les finalités et les moyens du traitement, et le sous-traitant, qui traite les données pour son compte. En cas de ransomware chez un prestataire informatique, un hébergeur, un éditeur SaaS ou un centre d’appels, cette distinction devient centrale. Le sous-traitant doit alerter le responsable de traitement dans les meilleurs délais après avoir pris connaissance de la violation.
Le responsable de traitement reste généralement chargé de décider s’il faut notifier la CNIL et informer les personnes. Mais il dépend souvent des informations fournies par le prestataire : périmètre touché, durée de l’exposition, données affectées, mesures correctrices. Les contrats doivent donc prévoir des clauses précises sur la sécurité, la gestion des incidents, les délais d’alerte et la coopération en cas de crise.
Une relation floue avec les prestataires peut aggraver l’incident. Si personne ne sait qui collecte les preuves, qui contacte l’autorité ou qui communique avec les personnes concernées, le délai de 72 heures devient difficile à respecter. La conformité RGPD repose donc aussi sur une gouvernance claire avant la crise.
Le RGPD impose aux organisations de mettre en place des mesures techniques et organisationnelles appropriées au risque. En matière de ransomware, cela inclut notamment les sauvegardes testées, la gestion des droits d’accès, l’authentification renforcée, les mises à jour, la segmentation du réseau, la sensibilisation des équipes et la supervision des événements de sécurité.
Après une attaque, l’organisation doit corriger les failles identifiées. Restaurer les systèmes ne suffit pas si la cause de l’infection demeure. Une absence de correctifs, des mots de passe faibles, des droits administrateur trop larges ou des sauvegardes accessibles depuis le réseau peuvent être considérés comme des manquements à la sécurité des traitements, surtout si ces faiblesses étaient connues.
Le paiement d’une rançon n’est pas une mesure de conformité. Il ne garantit ni la récupération complète des données, ni leur non-divulgation, ni l’effacement des copies détenues par les attaquants. Du point de vue du RGPD, ce qui compte est la capacité à évaluer l’atteinte aux données, à réduire les risques pour les personnes et à démontrer les mesures prises.
En cas d’infection par ransomware, le RGPD impose une démarche rigoureuse : qualifier l’incident, déterminer s’il s’agit d’une violation de données personnelles, évaluer les risques, notifier la CNIL si nécessaire et informer les personnes en cas de risque élevé. Le délai de 72 heures oblige à agir vite, mais pas à communiquer au hasard.
La meilleure réponse reste la préparation. Un plan de gestion de crise, des sauvegardes fiables, des contrats clairs avec les prestataires et une documentation solide réduisent à la fois l’impact opérationnel et le risque juridique. Face à un ransomware, la conformité ne se joue pas seulement après l’attaque : elle se construit en amont, par une politique de cybersécurité cohérente et régulièrement testée.
