L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Rançongiciel : quelles obligations pour l'entreprise victime ?
Une attaque par rançongiciel constitue une violation de données. Notification, information, dépôt de plainte et question du paiement.
Une attaque par rançongiciel constitue une violation de données. Notification, information, dépôt de plainte et question du paiement.
Introduction
Le rançongiciel est devenu le premier incident majeur rencontré par les entreprises de taille intermédiaire. Sa gestion mêle urgence technique, obligations réglementaires et décisions à conséquences durables.
La qualification
Le chiffrement des données par un attaquant constitue une violation de la sécurité entraînant une perte d’accès, donc une atteinte à la disponibilité.
Lorsque les attaquants ont exfiltré des données avant de chiffrer, pratique désormais courante, s’y ajoute une atteinte à la confidentialité.
Dans les deux cas, la qualification de violation de données personnelles est acquise dès lors que des données personnelles sont concernées.
Les premières heures
Isoler les systèmes touchés sans les éteindre brutalement, afin de préserver les éléments de preuve en mémoire.
Déconnecter les sauvegardes non encore atteintes.
Consigner l’heure de découverte, qui fait courir le délai de notification.
Mobiliser un prestataire de réponse à incident, la reconstruction improvisée aggravant fréquemment la situation.
Prévenir l’assureur, les contrats de cyberassurance imposant souvent une déclaration rapide et le recours à des prestataires référencés.
Les obligations réglementaires
La notification à la CNIL dans les soixante-douze heures suivant la prise de connaissance.
L’information des personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé, ce qui est fréquemment le cas en présence d’exfiltration.
L’inscription au registre interne des violations.
Selon le secteur, des obligations sectorielles peuvent s’ajouter, notamment pour les entités relevant de réglementations spécifiques de sécurité des réseaux et des systèmes d’information.
Le dépôt de plainte
Le dépôt de plainte est vivement recommandé.
Il conditionne fréquemment l’indemnisation par l’assureur.
Il permet le traitement judiciaire de l’attaque et alimente la connaissance des groupes actifs.
Il constitue un élément démontrant le sérieux de la réaction en cas de contrôle ultérieur.
La question du paiement
Le paiement n’est pas pénalement sanctionné en tant que tel en droit français.
Il est cependant déconseillé par les autorités publiques.
Il ne garantit ni la remise d’une clé fonctionnelle, ni l’absence de divulgation ultérieure des données exfiltrées, ni l’absence de nouvelle attaque.
Il peut se heurter aux réglementations relatives aux sanctions internationales lorsque le groupe attaquant y est soumis.
Les contrats d’assurance encadrent strictement la prise en charge éventuelle.
En toute hypothèse, le paiement ne fait disparaître aucune obligation : la violation reste à notifier, et les personnes restent à informer.
Après la crise
Reconstruire à partir de systèmes sains, et non restaurer sur une infrastructure encore compromise.
Analyser le vecteur d’entrée et corriger la cause : accès distant non protégé, hameçonnage, vulnérabilité non corrigée, compte de service surdimensionné.
Documenter l’ensemble : chronologie, décisions, mesures correctives.
Cette documentation sera examinée si la CNIL ouvre une procédure : la sanction dépend moins de l’attaque elle-même que de l’état des mesures préexistantes et de la qualité de la réaction.
L’anticipation
Un plan de réponse écrit, des sauvegardes déconnectées et testées, une authentification renforcée sur les accès distants réduisent considérablement l’impact.
Ces mesures sont également celles que l’autorité vérifiera. Leur absence transforme une attaque subie en manquement caractérisé.
Gérer l’incident sans aggraver la situation juridique
Les décisions prises dans les premières heures pèsent longtemps. Notre expertise RGPD et protection des données personnelles accompagne ces situations.
En résumé
- Le rançongiciel constitue une violation, au moins par atteinte à la disponibilité.
- Notification à la CNIL dans les soixante-douze heures, information des personnes en cas de risque élevé.
- Dépôt de plainte recommandé, souvent exigé par l’assureur.
- Le paiement est déconseillé et ne fait disparaître aucune obligation.
- La sanction éventuelle dépend des mesures préexistantes et de la qualité de la réaction.
Questions fréquentes
Un rançongiciel est-il une violation de données ?
Oui. Le chiffrement des données par un attaquant constitue une atteinte à leur disponibilité, et souvent à leur confidentialité en cas d'exfiltration. Les obligations de notification s'appliquent.
Faut-il notifier même sans exfiltration prouvée ?
L'atteinte à la disponibilité suffit à caractériser la violation. L'absence de preuve d'exfiltration influe sur l'appréciation du risque, non sur la qualification.
Le paiement de la rançon est-il interdit ?
Il n'est pas pénalement sanctionné en tant que tel, mais il est déconseillé par les autorités : il ne garantit ni la restitution ni la non-divulgation, et alimente l'activité criminelle. Il peut par ailleurs se heurter aux réglementations sur les sanctions internationales.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
