Quand la fuite vient de l'hébergeur de mon logiciel comptable, qui notifie la CNIL ?

Sur les données de ses clients, le cabinet est sous-traitant. Il ne notifie pas la CNIL : il prévient son client dans les meilleurs délais, au titre de l'article 33.2 du RGPD. C'est le client, responsable de traitement, qui notifie la CNIL au titre de l'article 33.1. L'information remonte la chaîne, elle ne saute pas de maillon.

Un cabinet dispose-t-il de 72 heures pour réagir à une violation de données ?

Non. Le délai de 72 heures est celui du responsable de traitement envers l'autorité de contrôle, et l'article 33.1 le formule comme « dans les meilleurs délais et, si possible, 72 heures au plus tard ». Le sous-traitant, lui, prévient « dans les meilleurs délais », sans délai chiffré. Le compteur du client démarre au moment où le cabinet l'informe : chaque heure prise par le cabinet est une heure perdue par son client.

Fuite de données chez un prestataire : qui prévient la CNIL ?

Q: Un cabinet notifie-t-il parfois la CNIL lui-même ?

Oui. Sur ses propres données, salariés du cabinet, échanges internes, facturation, le cabinet est responsable de traitement et notifie lui-même la CNIL. Une fuite réelle relève souvent des deux régimes en même temps.

Q: Quel est le montant maximal d'une sanction RGPD ?

Deux paliers. L'article 83.4 plafonne à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé des deux, pour les obligations du responsable de traitement et du sous-traitant. L'article 83.5 plafonne à 20 millions d'euros ou 4 %, pour les principes du traitement, les droits des personnes et les transferts hors Union.

Les données de 3,5 millions d’entreprises ne passent pas par l’État

Elles passent par leur cabinet d’expertise comptable. Le Conseil national de l’Ordre l’écrit lui-même : la profession compte plus de 22 000 experts-comptables, « partenaires de plus de 7 entreprises sur 10, soit environ 3,5 millions de structures », et emploie plus de 186 000 salariés.

La division tient en une ligne : environ 160 dossiers derrière chaque signature. C’est ce qui fait du cabinet un point de concentration, et c’est pour cela qu’un incident chez un prestataire ne touche pas un client, mais tous ses clients en même temps.

Trois questions, une seule réponse :

Qui détient ce qui a de la valeur, là où l’administration n’en voit qu’une part ?
Qui redistribue vers cinq ou six prestataires, choisis sans grille de lecture ?
Qui n’est nommé dans aucun plan de souveraineté, ni comme cible, ni comme rempart ?

La chaîne de notification : quatre maillons, l’information remonte

Sur les données de ses clients, le cabinet est sous-traitant au sens du RGPD. Il ne saute pas de maillon, et il n’appelle pas la CNIL.

Le sous-traitant ultérieur (par exemple l’hébergeur qui sauvegarde) prévient l’éditeur du logiciel.
L’éditeur prévient le cabinet.
Le cabinet prévient son client, dans les meilleurs délais. RGPD, article 33.2
Le client, seul responsable de traitement, notifie la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard. RGPD, article 33.1

Les deux points qu’on oublie systématiquement.

Le compteur de 72 heures du client démarre quand le cabinet l’informe, pas au moment de la fuite. Chaque heure prise par le cabinet est une heure perdue par son client : c’est ce qui rend le délai du cabinet opposable. On écrit « dans les meilleurs délais et si possible sous 72 heures », jamais « dispose de 72 heures ».

Le cas inverse existe. Sur ses propres données, salariés du cabinet, échanges internes, facturation, le cabinet est responsable de traitement et notifie lui-même la CNIL. Une fuite réelle relève souvent des deux régimes à la fois.

Le régulateur, lui, a déjà changé de rythme

Le tableau ci-dessous est le relevé exhaustif des décisions de sanction publiées par la CNIL, recomptées une à une dans le tableau officiel : 395 décisions de 2011 à 2026. Vingt-deux en 2022, quarante-deux en 2023, quatre-vingt-sept en 2024.

Sanctions prononcées par la CNIL, par année de décision
Année	Décisions
2011	8
2012	15
2013	13
2014	18
2015	9
2016	13
2017	14
2018	12
2019	10
2020	15
2021	18
2022	22
2023	42
2024	87
2025	83
2026	16

Source : cnil.fr, sanctions prononcées. Relevé du 27 août 2026. L’année 2026 est partielle, la dernière décision listée datant du 2 avril : elle ne se compare pas encore.

Les deux paliers de l’article 83

Palier 1 · article 83.4

10 M€ ou 2 %

du chiffre d’affaires annuel mondial total, le montant le plus élevé des deux. Obligations du responsable de traitement et du sous-traitant.

Palier 2 · article 83.5

20 M€ ou 4 %

du chiffre d’affaires annuel mondial total, le montant le plus élevé des deux. Principes du traitement, droits des personnes, transferts hors Union.

Le 8 décembre 2023, cette chaîne a joué en vrai

Un rançongiciel frappe l’hébergeur d’un éditeur de logiciels comptables. Aucun des cabinets concernés n’était visé : le maillon touché était celui dont personne ne connaissait le nom.

Quatre mois plus tard, l’Ordre des experts-comptables Paris Île-de-France négociait encore des délais de déclaration pour les cabinets concernés. Ce n’est pas la panne qui dure, c’est sa conséquence.

On ne se fait pas attaquer. On se fait traverser.

L’attaquant ne veut pas votre cabinet. Il veut vos clients, et vous êtes le chemin le plus court vers eux tous à la fois.

Sources de ce cas

Communiqués de l’éditeur des 11 et 14 décembre 2023 : « COAXIS a été confronté à un incident majeur ce vendredi 8 décembre ».
Courrier de l’Ordre des experts-comptables Paris Île-de-France du 15 avril 2024, sur les retards de déclaration qui en découlent.
Le Francilien, magazine de l’Ordre Paris Île-de-France, avance 1 200 cabinets paralysés et 350 000 entreprises impactées. L’éditeur, lui, n’a jamais publié de volume : ces deux nombres se citent au magazine, pas à l’éditeur.

Ce qui ne suffit plus, ce qui tient

Ce qui ne suffit plus

Un prestataire sérieux, choisi de confiance
Une clause de confidentialité au contrat
Personne n’a rien eu jusqu’ici

Ce qui tient

Savoir où sont les données, et chez qui
Une équipe qui reconnaît le geste à risque
De quoi montrer ce qui a été fait, et quand

Une sanction n’arrive pas par surprise. Elle arrive au terme d’un contrôle, et le contrôle regarde ce que vous pouvez montrer, pas ce que vous aviez l’intention de faire.

Une fuite chez votre prestataire :
qui prévient la CNIL ?