choisirsonagence· 2 min de lecture
Sécurité des données : que vérifier chez un prestataire web qui manipule vos informations
D'après France 24, les victimes du piratage du Fisc commencent à être contactées et un audit a été demandé. Cet épisode rappelle qu'aucune organisation n'est à l'abri, et qu'une entreprise doit vérifier sérieusement les pratiques de sécurité de tout prestataire qui manipule ses données.
France 24 rapporte qu'à la suite du piratage ayant touché le Fisc, les victimes commencent à être contactées et qu'un audit a été demandé. Quand une administration de cette taille est concernée, le message pour les entreprises est clair : la question n'est pas de savoir si un incident peut arriver, mais comment on s'y prépare et comment on y répond.
Or, pour la plupart des PME, une grande partie des données transite par des prestataires : agence web qui gère le site et ses formulaires, agence marketing qui manipule les fichiers clients, outil de newsletter, hébergeur. Chacun de ces maillons peut devenir le point d'entrée d'une fuite. Choisir un prestataire, c'est donc aussi choisir un niveau de sécurité.
Première vérification : l'hébergement. Demandez où sont physiquement stockées vos données, chez quel hébergeur, et dans quel cadre juridique. Un prestataire sérieux sait répondre précisément à ces questions et peut documenter les mesures de sécurité de son hébergeur. Une réponse vague à ce stade est déjà un signal d'alerte.
Deuxième vérification : la conformité au RGPD. Dès qu'un prestataire traite des données personnelles pour votre compte, il agit comme sous-traitant au sens du règlement, ce qui impose un contrat encadrant ce traitement. Vérifiez l'existence de ces clauses, la limitation des accès aux seules personnes nécessaires et la politique de suppression des données en fin de contrat.
Troisième vérification : la réaction en cas d'incident. L'affaire relayée par France 24 le montre : ce qui se joue après une attaque, c'est la capacité à détecter, informer les victimes et corriger. Demandez à votre prestataire quelle est sa procédure en cas de violation de données, dans quels délais il s'engage à vous prévenir, et qui prend en charge la notification à la CNIL lorsqu'elle est requise.
Quatrième vérification : les pratiques du quotidien. Mises à jour régulières du site et de ses extensions, sauvegardes testées, authentification renforcée sur les accès d'administration, mots de passe non partagés par e-mail : ces gestes simples font souvent la différence. N'hésitez pas à poser des questions concrètes lors de la sélection du prestataire.
Enfin, formalisez tout cela par écrit. Les engagements de sécurité doivent figurer au contrat, pas seulement dans le discours commercial : périmètre des accès, obligations de notification, réversibilité et restitution des données. En cas d'incident, ce sont ces clauses, et non les promesses orales, qui protégeront votre entreprise.
Questions fréquentes
Mon agence web est-elle responsable de mes données clients ?
Si elle traite des données personnelles pour votre compte, elle est sous-traitante au sens du RGPD : un contrat doit encadrer ce traitement, mais vous restez responsable de traitement vis-à-vis de vos clients.
Que doit faire un prestataire en cas de violation de données ?
Vous alerter rapidement, documenter l'incident et vous aider à respecter vos obligations, dont la notification à la CNIL sous 72 heures lorsqu'elle est requise.
Quelles questions poser avant de signer avec un prestataire web ?
Où sont hébergées les données, qui y a accès, quelle est la procédure en cas d'incident, et quelles garanties de restitution et de suppression sont prévues en fin de contrat.