Site piraté : qui est responsable ?

Un site piraté pose une question à laquelle personne ne pense avant que cela n’arrive : entre le propriétaire du site, son hébergeur et son prestataire de maintenance, qui répond de quoi ?

Le propriétaire du site reste le premier responsable

Devant la loi, c’est en principe le responsable du site, souvent l’entreprise elle‑même, qui répond des conséquences d’un piratage, notamment lorsque des données de clients sont concernées. Cela reste vrai même quand la technique a été confiée à un prestataire : la responsabilité juridique et la responsabilité technique ne se recouvrent pas forcément. Cette responsabilité existe indépendamment de la taille de l’entreprise ou du nombre de clients concernés.

Ce que le contrat peut, et doit, préciser

C’est le contrat qui répartit les rôles concrets : qui applique les mises à jour de sécurité, qui surveille les tentatives d’intrusion, qui restaure une sauvegarde en cas de problème. Sans contrat de maintenance clair, personne ne surveille rien par défaut, et un piratage peut passer inaperçu pendant longtemps. Un hébergeur, de son côté, répond en général de la sécurité de son infrastructure, pas de celle du logiciel installé dessus, qui reste sous la responsabilité de celui qui l’exploite. Un contrat silencieux sur ce partage laisse chacun supposer, à tort, que l’autre s’en occupe.

Ce que change une donnée de client compromise

Quand un piratage touche des informations de clients, comme des adresses ou des coordonnées de commande, la question dépasse le seul contrat entre le site et son prestataire. Elle engage aussi la relation avec les personnes concernées, qui doivent en général être informées si leurs données ont réellement été exposées. Ce sujet, plus large que la seule répartition contractuelle des rôles, mérite d’être traité avec un professionnel du droit dès qu’un incident touche des données personnelles.

• Vérifier dans le contrat de maintenance qui applique concrètement les mises à jour de sécurité.
• Demander comment une intrusion serait détectée, et par qui.
• Conserver des sauvegardes récentes, en dehors du serveur du site lui‑même.
• Se faire accompagner par un professionnel du droit si un piratage touche des données de clients, pour connaître précisément les démarches à effectuer.

Un site piraté révèle presque toujours, en même temps que la faille technique, une zone où personne n’avait clairement la responsabilité.

Sur les sites dont j’assure la maintenance, je précise par contrat qui surveille quoi, pour que la question de la responsabilité ne se découvre pas le jour d’un incident. C’est un point que je clarifie dans les obligations juridiques d’un site avec chaque client.

Sur le même sujet : Garantie légale de conformité : ce que vous devez au client · Les produits exclus du droit de rétractation