Données clients volées et site piraté : qui est responsable légalement et contractuellement ?

Au lieu de chercher un coupable dans l'immédiat, appliquez d'urgence ces trois étapes : 1) Si le délai de 72 heures n'est pas écoulé, envoyez une notification préliminaire à l'autorité régionale de protection des données. 2) Faites faire un instantané (snapshot) complet du serveur pour figer les preuves, ne réinstallez surtout pas à zéro tout de suite. 3) Prenez contact avec un avocat spécialisé en droit du numérique.

Dans les contrats types des agences, on trouve presque toujours une clause indiquant qu'elles « ne peuvent être tenues responsables des failles de sécurité issues d'extensions tierces ». Pour un montant aussi bas que 350 EUR par mois, il est très peu probable qu'elles aient garanti une veille complète des vulnérabilités et des intrusions. Les frais de procédure risquent fort de dépasser l'indemnisation que vous pourriez récupérer.

On a vécu la même chose il y a deux ans. On a déboursé 4 800 EUR pour l'expertise forensique et 3 200 EUR d'avocat spécialisé. L'autorité de contrôle ne nous a pas mis d'amende, juste un avertissement, parce qu'on a tout déclaré dans les temps et géré ça de façon transparente. La procédure contre l'agence a duré 14 mois et s'est finie sur un accord partiel.

Il faut bien distinguer deux plans : sur le plan externe (vis-à-vis des autorités et des particuliers lésés), vous êtes le seul responsable. Sur le plan interne, c'est votre contrat avec l'agence qui s'applique. Si vous n'avez pas signé d'AVV (Auftragsverarbeitungsvertrag) avec l'agence, vous risquez en plus une sanction de l'autorité pour traitement de données sans contrat conforme.

Quand ça nous est arrivé, l'agence nous a sorti « c'est une attaque par force brute sur le serveur, notre code est clean ». On a fait auditer le tout par un expert indépendant : résultat, la double authentification n'était pas imposée sur le panneau admin et une faille connue sur un formulaire n'avait pas été patchée depuis 6 mois. Une fois le rapport sur la table, la RC pro de l'agence a couvert la moitié des dégâts.

Votre contrat précise-t-il une fréquence de mise à jour ? Du style « déploiement des correctifs critiques sous 48 heures » ? Et d'ailleurs, les mots de passe et données clients en base étaient-ils chiffrés (hachés/salés) ou stockés en texte brut ?

le triangle classique : l'agence accuse l'hébergeur, l'hébergeur accuse le créteur du plugin et le créateur du plugin est introuvable. bref au final c'est toujours le propriétaire du nom de domaine qui trinque. appelez direct votre avocat à votre place.

PS : c'est demandé plus bas, j'ai répondu dans le deuxième message.

Je suis d'accord. Essayer de faire cela seul est la voie la plus coûteuse.

Si la double authentification est activée un mot de passe volé seul ne suffit pas. Bien sûr cela change si votre situation est différente.

Je suis intéressé.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

C'est mon avis je ne l'écris pas comme une vérité absolue.

en regardant le processus le tableau change. franchement n'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

si vous écrivez le rsultat ici, cela aidera aussi d'autres personnes.

je ne savais pas ça.

C'est vrai en théorie, mais ça ne marche pas ainsi en pratique. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger. franchement j'espère que cela vous sera utile.

La discussion part dans tous les sens, je recentre. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

J'espère que cela vous sera utile.

Trois avis différents sont sortis, ils se complètent tous. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Bien sûr, cela change si votre situation est différente.

Merci d'avoir écrit cela, c'est exactement ça. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Je le note au cas où.

Je suis d'accord. genre n'hésitez pas à demander celui qui ne demande pas paie toujours plus cher.

Je suis intéressé.