Imaginez qu'un ancien stagiaire puisse encore ouvrir votre logiciel de facturation, ou que le mot de passe de votre boîte de messagerie principale soit le même depuis la création de l'entreprise. Ce genre de détail paraît anodin. Pourtant, la CNIL (le gendarme français des données personnelles) vient de sanctionner dix structures publiques, des collectivités territoriales, pour des manquements de ce type. Le message dépasse largement le secteur public : les contrôles sur la sécurité des données se multiplient, et les entreprises privées sont concernées par les mêmes règles.
Les sanctions visent des organisations qui n'ont pas protégé correctement les informations dont elles ont la charge. Le point commun est simple : la loi impose à quiconque conserve des données sur des personnes (clients, salariés, usagers) de prendre des mesures de protection adaptées. Quand ces mesures manquent, l'autorité peut intervenir, même si aucune fuite n'a encore eu lieu.
Pour une petite entreprise, cela se traduit par trois types de faiblesses que les contrôleurs regardent en priorité :
Une sanction de la CNIL peut prendre la forme d'une amende, ce qui représente un coût direct pour la trésorerie. Elle peut aussi être rendue publique : votre nom apparaît alors dans une décision consultable par vos clients, vos partenaires et vos concurrents. Pour une petite structure qui vit de la confiance de ses clients, l'atteinte à la réputation pèse souvent plus lourd que l'amende elle-même.
Il y a aussi un coût moins visible : le temps. Répondre à un contrôle, reconstituer des preuves, corriger dans l'urgence ce qui aurait pu l'être calmement, tout cela mobilise des heures que vous ne passez pas à servir vos clients.
Vous n'avez pas besoin d'être informaticien pour commencer. Voici un premier tour d'horizon réalisable en une demi-journée.
Demandez à votre prestataire ou à la personne qui gère vos outils si les mots de passe sont longs, uniques pour chaque service, et si un gestionnaire de mots de passe est en place. Un mot de passe écrit sur un post-it ou envoyé par message n'est pas protégé. Si votre site ou votre logiciel le permet, activez la double vérification (un code reçu sur le téléphone en plus du mot de passe).
Faites la liste des personnes qui peuvent tout faire sur votre site, votre messagerie et vos logiciels de gestion. Posez ensuite deux questions : chacune en a-t-elle vraiment besoin, et existe-t-il des comptes d'anciens salariés ou d'anciens prestataires encore ouverts ? Un compte dormant est une porte laissée entrouverte.
Une sauvegarde ne sert que si on peut la restaurer. Demandez quand a eu lieu le dernier test de restauration, où les copies sont stockées, et combien de temps votre activité resterait à l'arrêt en cas de panne ou d'attaque. Si personne ne sait répondre, c'est déjà une information précieuse.
En cas de contrôle, être capable de montrer ce que vous avez mis en place compte autant que les mesures elles-mêmes. Notez les vérifications effectuées, les dates, les personnes concernées et les corrections apportées. Quelques pages suffisent, à condition qu'elles existent et soient à jour.
Les dix sanctions visent des collectivités, mais elles rappellent une règle qui s'applique à toute organisation : protéger les données personnelles fait partie du fonctionnement normal d'une entreprise, au même titre que la comptabilité. Vérifier vos mots de passe, vos accès et vos sauvegardes coûte peu de temps aujourd'hui, et peut vous éviter une amende, une exposition publique et des semaines de remise en ordre demain.
Pour aller plus loin, lisez l'annonce officielle : Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions.
Et votre site, il vaut quoi ?
Vitesse, accessibilité, référencement technique. Le rapport est écrit pour un dirigeant, pas pour un développeur. Gratuit, sans inscription.