0498 70 98 60Site WordPress piraté et données clients : annoncer la violation au PFPDT
Après un piratage, l’urgence technique occupe tout l’espace : remettre le site en ligne, supprimer le code, rassurer Google. Une autre horloge tourne pourtant en parallèle. Si des données personnelles sont touchées, la loi fédérale sur la protection des données (LPD) peut vous obliger à annoncer la violation au PFPDT, dans les meilleurs délais.
Beaucoup de PME découvrent cette obligation trop tard. Elles pensent qu’un site vitrine ne contient rien de sensible. En réalité, formulaires, comptes clients, commandes et inscriptions à la newsletter sont autant de données personnelles.
Ce guide vous aide à qualifier l’incident, à respecter les délais et à documenter vos décisions. Il ne remplace pas l’avis de votre conseiller à la protection des données ou de votre conseil juridique. Il vous donne les bons réflexes pour ne pas aggraver la situation.
Avant tout, vérifiez l’état de sécurité apparent de votre site. Notre outil ci-dessous en réalise une première analyse gratuite.
1. Quand un piratage devient une violation de données
1.1 La définition retenue par la LPD
Selon l’article 5, let. h, de la LPD, il y a violation de la sécurité des données lorsque des données personnelles sont perdues, effacées, détruites, modifiées, ou divulguées à des personnes non autorisées. La cause peut être accidentelle ou illicite. Une fuite n’est donc pas le seul cas visé.
Un site chiffré par un rançongiciel, sans sauvegarde exploitable, subit une perte de disponibilité. Une base clients modifiée par un attaquant subit une atteinte à l’intégrité. Une base copiée vers l’extérieur subit une atteinte à la confidentialité.
1.2 Les données que contient réellement un site WordPress
Faites l’inventaire avant de conclure que rien n’est exposé. Un site WordPress d’entreprise stocke souvent plus d’informations qu’on ne le pense :
- les messages des formulaires de contact, parfois conservés en base par l’extension ;
- les comptes clients, adresses et historiques de commandes d’une boutique WooCommerce ;
- les inscrits à la newsletter ou aux livres blancs ;
- les candidatures reçues via une page carrières, avec CV joints ;
- les comptes des utilisateurs du site et leurs adresses e-mail.
Les données de carte bancaire sont en principe traitées par le prestataire de paiement. Un script injecté sur la page de commande peut néanmoins les intercepter au moment de la saisie. Google Ads cite d’ailleurs ces « skimmers » parmi les exemples de sites compromis.
2. Les obligations de la LPD en cas de violation
2.1 Annoncer la violation au PFPDT dans les meilleurs délais
Si la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, elle doit être annoncée au PFPDT (article 24 LPD). Contrairement au RGPD, la loi suisse ne fixe pas de délai chiffré : l’annonce doit intervenir dans les meilleurs délais, dès que l’incident est confirmé et le risque évalué.
L’annonce se fait via le formulaire en ligne DataBreach du PFPDT. Si toutes les informations ne sont pas disponibles d’emblée, vous les complétez ensuite dans les meilleurs délais (article 15 OPDo). Vous n’avez donc pas à attendre la fin du nettoyage pour agir. Attention : si votre site s’adresse aussi à des clients dans l’Union européenne, le RGPD peut s’appliquer en parallèle, avec son délai de 72 heures auprès de l’autorité européenne compétente.
2.2 Informer les personnes concernées
Les personnes concernées doivent être informées lorsque leur protection l’exige ou que le PFPDT le demande. Le message décrit, dans un langage simple, la nature de la violation, ses conséquences et les mesures prises, avec une personne de contact. Il peut inclure des recommandations, comme changer un mot de passe réutilisé ailleurs.
La LPD prévoit des exceptions, par exemple lorsque l’information est impossible ou exige des efforts disproportionnés. Une communication publique peut alors la remplacer, si elle informe les personnes de manière équivalente.
2.3 Tenir un registre interne
Toute violation doit être documentée en interne, même celle qui ne nécessite aucune annonce. La documentation consigne les faits, les effets et les mesures prises. Elle se conserve au moins deux ans (article 15 OPDo) et justifie une décision de ne pas annoncer, en cas de contrôle.
3. Situation, qualification et action à engager
Le tableau suivant aide à orienter la décision. Chaque cas reste à apprécier selon le volume et la nature des données concernées.
| Situation constatée | Qualification probable | Action à engager |
|---|---|---|
| Défiguration de la page d’accueil, aucune donnée stockée | Incident de sécurité sans données personnelles | Nettoyer, tracer l’incident dans le registre |
| Accès administrateur obtenu, base consultable | Violation possible de confidentialité | Analyser les journaux, annoncer au PFPDT en cas de doute sur le risque |
| Base clients exportée ou mise en vente | Violation de confidentialité, risque probable | Annoncer au PFPDT et évaluer l’information des clients |
| Script espion sur la page de commande | Violation à risque élevé | Annoncer au PFPDT, informer les clients, prévenir le prestataire de paiement |
| Site chiffré, sauvegarde récente restaurée | Perte temporaire de disponibilité | Documenter, apprécier le risque selon la durée d’indisponibilité |
| Candidatures et CV exposés | Violation de données souvent sensibles | Annoncer au PFPDT et informer les candidats concernés |
4. La marche à suivre dès la découverte
La gestion juridique et la gestion technique avancent en parallèle. Désignez dès le départ une personne chargée de coordonner les deux.
- Notez la date et l’heure de découverte : elles permettent de démontrer que vous avez agi dans les meilleurs délais.
- Contenez l’attaque : mise en maintenance, changement des accès, coupure des comptes suspects.
- Conservez les preuves : copie des fichiers infectés, journaux du serveur, captures d’écran.
- Identifiez les données concernées : tables de la base, formulaires, fichiers joints, nombre approximatif de personnes.
- Évaluez le risque pour les personnes : usurpation d’identité, hameçonnage ciblé, perte financière.
- Annoncez la violation au PFPDT via le formulaire DataBreach si le risque est élevé, quitte à compléter ensuite.
- Informez les personnes concernées si le risque est élevé, dans un langage clair.
- Inscrivez l’incident dans le registre, avec les justifications de chaque décision.
- Corrigez la faille et vérifiez que l’attaquant n’a plus d’accès.
En parallèle, vous pouvez déposer plainte auprès de la police cantonale. L’Office fédéral de la cybersécurité (OFCS) recueille aussi les signalements volontaires de cyberincidents. Le signalement n’y est obligatoire que pour les exploitants d’infrastructures critiques.
5. Le rôle de votre agence, de votre hébergeur et le vôtre
Au sens de la LPD, votre entreprise est en général responsable du traitement des données du site. C’est à elle de décider de l’annonce. Votre agence web ou votre hébergeur interviennent le plus souvent comme sous-traitants.
La LPD impose au sous-traitant d’annoncer au responsable du traitement, dans les meilleurs délais, tout cas de violation de la sécurité des données, quel que soit le risque (article 24, al. 3). Le contrat peut prévoir qu’il prépare l’annonce pour votre compte. La décision finale vous appartient toutefois.
Vérifiez dès maintenant ce que prévoient vos contrats de maintenance et d’hébergement. Un incident n’est pas le bon moment pour découvrir qu’aucune clause ne le couvre.
6. Ce que vous risquez, au-delà de l’amende
La LPD ne sanctionne pas pénalement le défaut d’annonce au PFPDT, qui peut en revanche ordonner des mesures. Elle punit en revanche d’une amende pouvant atteindre 250 000 francs les personnes privées qui, intentionnellement, ne respectent pas les exigences minimales de sécurité des données (article 61 LPD). Particularité suisse : l’amende vise en principe la personne physique responsable, et non l’entreprise. Si le RGPD s’applique en parallèle, ses propres amendes restent possibles.
Le risque le plus concret reste commercial. Des clients informés par un tiers, ou victimes d’un hameçonnage qui reprend vos échanges, perdent confiance. Une communication rapide et honnête limite souvent les dégâts.
L’incident a aussi un coût indirect : site hors ligne, campagnes suspendues, positions dégradées. Pour la remise en état, appuyez-vous sur notre guide pour nettoyer un malware WordPress. Celui sur l’avertissement Google sur un site piraté complète la démarche.
7. Réduire l’exposition avant le prochain incident
La meilleure protection consiste à stocker moins de données sur le site. Transférez les demandes de contact vers votre CRM, puis supprimez-les de WordPress. Fixez une durée de conservation pour les candidatures et les comptes inactifs.
Protégez ensuite les accès : double authentification, comptes nominatifs, droits limités au strict nécessaire. Les autres mesures sont détaillées dans notre guide pour sécuriser votre site WordPress. Une refonte de site est parfois l’occasion de revoir ces choix.
Enfin, des sauvegardes chiffrées et testées transforment une perte de disponibilité en simple incident. Notre guide sur les sauvegardes WordPress explique comment les organiser.
8. Questions fréquentes sur la violation de données
9. Un accompagnement technique pendant la crise
Vous voulez vérifier rapidement si votre site présente encore des failles visibles ? Notre outil propose une analyse de sécurité gratuite :
Nous menons l’enquête technique qui alimente votre notification : données touchées, point d’entrée, mesures correctrices. Consultez notre service d’intervention sur site WordPress piraté, puis contactez-nous pour un diagnostic.
