On pense souvent que le piratage d’un site WordPress est uniquement un problème technique à résoudre dans l’urgence. C’est vrai dans l’immédiat. Mais une fois le site nettoyé, une question reste souvent sans réponse : êtes-vous responsable, sur le plan légal, des données qui ont pu être exposées pendant le piratage ?
Un piratage de site web est aussi un événement RGPD
Dès qu’un site collecte des données personnelles — un formulaire de contact, un compte client, une newsletter, un module de commentaires — il entre dans le champ d’application du RGPD. Si ce site est piratable et que des données personnelles ont pu être consultées, copiées ou modifiées par un tiers non autorisé, il s’agit juridiquement d’une violation de données à caractère personnel, au sens de l’article 4 du RGPD. Peu importe que le pirate ait effectivement exploité ces données ou non : l’accès non autorisé suffit à caractériser la violation.
Ce que dit la loi sur la responsabilité du propriétaire du site
Le propriétaire d’un site — qu’il s’agisse d’une entreprise, d’une association ou d’un indépendant — est considéré comme le responsable de traitement des données collectées sur son site. À ce titre, l’article 32 du RGPD lui impose de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Concrètement, cela inclut :
- Maintenir WordPress, le thème et les extensions à jour
- Utiliser des mots de passe forts et uniques pour chaque accès (admin, FTP, base de données)
- Mettre en place une sauvegarde régulière et externalisée
- Chiffrer les connexions (HTTPS) et limiter les tentatives de connexion
Un site jamais mis à jour, avec un mot de passe faible ou réutilisé, n’est pas seulement vulnérable techniquement : en cas de piratage, il expose son propriétaire à un manquement caractérisé à ses obligations RGPD.
Que risque-t-on concrètement ?
La CNIL a déjà sanctionné des entreprises pour défaut de sécurisation de leur site, y compris des structures de petite taille. Les sanctions vont de la mise en demeure publique — dommageable pour la réputation — à l’amende administrative, dont le montant peut atteindre plusieurs dizaines de milliers d’euros pour les cas les plus sérieux, sans compter le risque de recours civil de la part des personnes dont les données ont été exposées.
Le critère déterminant n’est pas la taille de l’entreprise, mais la proportionnalité entre le risque encouru par les données traitées et les mesures de sécurité effectivement mises en place. Un site e-commerce qui stocke des données de paiement sans jamais avoir mis à jour ses extensions depuis deux ans est, de ce point de vue, en situation de risque élevé.
Que faire en cas de piratage avec exposition de données personnelles ?
Si vous constatez un piratage et que des données personnelles ont pu être exposées, la procédure RGPD prévoit un délai de 72 heures pour notifier la violation à la CNIL, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Si le risque est élevé (données bancaires, mots de passe, données de santé), les personnes concernées doivent également en être informées directement.
Avant toute notification, il faut pouvoir documenter précisément ce qui s’est passé : quelles données ont été exposées, depuis quand, comment l’intrusion a eu lieu. C’est exactement le rôle d’un diagnostic technique sérieux post-piratage — il ne sert pas seulement à nettoyer le site, il produit la documentation nécessaire pour répondre à ses obligations légales.
La meilleure protection reste la prévention
Sur le plan juridique comme technique, la meilleure position est la même : ne pas attendre le piratage pour s’intéresser à la sécurité de son site. Des mises à jour régulières, une sauvegarde automatique externalisée et une surveillance active constituent à la fois une protection technique et un argument de conformité solide si la question venait à se poser un jour.
Si vous gérez un site qui collecte des données personnelles et que vous n’êtes pas certain de sa conformité technique, un audit de sécurité permet de faire le point avant qu’un incident ne vous y oblige.
