PaieExpress : rançongiciel chez un sous-traitant de paie, notification tardive et 500 responsables muets

Trois horloges différentes, souvent confondues à l'examen.

1. PaieExpress (sous-traitant). Obligation de notifier chaque responsable de traitement sans délai après avoir pris connaissance de la violation (art. 33-2). Ce délai n'est pas de 72 heures : il est plus court dans son esprit, car il doit laisser aux responsables le temps d'agir. Neuf jours est un manquement caractérisé, doublé d'un manquement à l'art. 28-3-f (assistance du responsable). Le sous-traitant doit fournir les éléments nécessaires à la notification : nature, volumes, catégories, chronologie, mesures. En principe, PaieExpress ne notifie pas la CNIL à la place de ses clients : il n'est pas responsable du traitement. Il peut le faire sur mandat exprès, la responsabilité restant celle des clients.

2. Chaque client (responsable de traitement). Notification à la CNIL dans les 72 heures après avoir pris connaissance de la violation, sauf absence de risque pour les droits et libertés (art. 33-1). Le point de départ est propre à chaque client : le jeudi 14 h pour celui qui a détecté, le samedi suivant pour ceux qui ont appris l'incident par PaieExpress. Pour le premier, une notification au onzième jour est hors délai et devra être justifiée ; l'absence de notification, elle, est un manquement autonome relevant de l'art. 83-4. La notification peut être fractionnée : notifier dans les 72 h avec les éléments disponibles, puis compléter. C'est la bonne pratique, et la seule manière de tenir le délai.

3. Le contenu (art. 33-3). Nature de la violation, catégories et volume approximatif de personnes et d'enregistrements, coordonnées du DPO, conséquences probables, mesures prises ou envisagées. Ici : IBAN, NIR et bulletins = risque élevé d'usurpation d'identité et de fraude, donc pas de dispense.

4. Documentation (art. 33-5). Toute violation doit être documentée, y compris celles qui ne sont pas notifiées. Le client qui « n'a rien documenté » commet un manquement distinct, et se prive de sa principale preuve de conformité en cas de contrôle.

Le déclencheur est le « risque élevé » (art. 34). Bulletins de paie, IBAN, NIR et coordonnées, déjà exploités dans une campagne de phishing : le risque est élevé et concret. La communication aux personnes concernées est donc obligatoire, sauf exception d'art. 34-3 (mesures de protection rendant le risque improbable - ce n'est pas le cas -, information aggravant le risque - non - ou injonction d'une autorité).

Qui informe ? Le responsable de traitement, c'est-à-dire l'employeur client, pas PaieExpress. Les salariés sont les personnes concernées des 500 clients. Un message venant de PaieExpress serait moins crédible et brouillerait la responsabilité. PaieExpress peut préparer un modèle et diffuser pour le compte de ses clients sur mandat, mais la décision et la responsabilité restent aux employeurs.

Comment ? Termes clairs et simples, en français, décrivant : la nature de l'incident, les données concernées, les conséquences probables, les mesures prises, le point de contact. Y ajouter des consignes opérationnelles : surveillance des mouvements bancaires, changement de mots de passe, méfiance envers les courriels citant un bulletin, contact du service paie.

Ce qu'il ne faut pas faire. Attendre l'achèvement de l'analyse forensique sous prétexte de « ne pas inquiéter » : le retard est en soi un manquement, et l'expérience montre que les salariés apprennent l'incident par la fraude. À l'inverse, communiquer un message rassurant non étayé (« aucune donnée n'a fuité ») alors que l'exfiltration est avérée aggraverait l'exposition, notamment au titre de la loyauté (art. 5-1-a).

Articulation avec la CNIL. La notification à la CNIL et l'information des personnes ne s'excluent pas ; la CNIL peut d'ailleurs demander la communication aux personnes si le responsable ne l'a pas faite. Prévoir un dispositif d'assistance (ligne dédiée, FAQ) et conserver la preuve de l'envoi.

Exposition de PaieExpress.

• Réglementaire directe : un sous-traitant est soumis aux art. 28, 32 et 33-2 et peut être sanctionné directement par la CNIL (art. 83-4 : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial). L'absence de MFA sur un accès RDP d'administration, l'absence de chiffrement et des sauvegardes accessibles depuis le réseau compromis sont des manquements caractérisés à l'art. 32, pas des circonstances atténuantes.
• Contractuelle : 500 clients, clauses de sécurité, pénalités, résiliations, contentieux indemnitaire pour le préjudice subi (perturbations de paie, fraude bancaire).
• Réputationnelle et commerciale : perte de l'agrément de fait du marché, appels d'offres fermés.

Ce que le second client doit constituer dès maintenant.

1. La chronologie : date et heure de découverte, date de réception de l'alerte PaieExpress (le samedi), décisions prises et par qui.
2. La preuve de sa notification CNIL : horodatage, contenu envoyé, compléments ultérieurs.
3. L'analyse de risque : pourquoi il notifie, ou pourquoi il ne notifie pas ; quelles données de ses salariés étaient hébergées chez PaieExpress.
4. Les échanges avec le sous-traitant : demandes d'information, réponses obtenues, délais.
5. Le registre des incidents (art. 33-5) et la trace des mesures correctives (blocage des comptes, surveillance des IBAN, information des salariés).
6. Les éléments contractuels : DPA, clauses de notification, audit.

Point d'attention sur le NIR. Le numéro de sécurité sociale est une donnée dont l'usage est encadré (décret n° 2019-341) ; son exfiltration massive accroît le risque de fraude et d'usurpation et doit être mentionnée explicitement dans l'analyse de risque et dans l'information aux personnes. Enfin, l'absence de MFA chez le sous-traitant doit figurer dans le plan d'action du client, qui reste comptable du choix et du contrôle de son sous-traitant (art. 28-1).