Assurance commerce et cyber-risques

Un commerce qui conserve un fichier de fidélité, une base d’emails ou un historique d’achats détient des données personnelles. En cas de fuite, ce n’est pas seulement un problème technique : c’est une obligation légale qui s’enclenche, avec des délais précis et des sanctions possibles. Une garantie cyber-assurance dédiée existe justement pour accompagner le commerçant sur ce terrain, distinct de la simple panne d’un appareil.

À retenir

– Une garantie cyber-risques dédiée couvre la gestion d’une fuite de données clients, ce qui est différent d’une panne du système de caisse.

– Toute violation de données présentant un risque pour les personnes doit en principe être notifiée à la CNIL sous 72 heures.

– Les personnes concernées doivent être informées seulement si le risque est élevé pour elles.

– Un manquement à ces obligations expose à des sanctions de la CNIL pouvant atteindre plusieurs millions d’euros.

– La garantie peut prendre en charge les frais de notification aux clients et la responsabilité civile après une fuite de données.

Qu’est-ce qu’une garantie cyber-assurance dédiée ?

Une garantie cyber-risques est un contrat d’assurance spécifique. Son objet est de couvrir les conséquences d’une atteinte aux systèmes d’information ou aux données d’une entreprise. Elle ne couvre pas les dommages matériels classiques, déjà pris en charge par la multirisque professionnelle. Pour un commerce, elle s’articule généralement autour de plusieurs volets : l’assistance en cas d’incident (gestion de crise, expertise technique), la prise en charge de certains frais liés à une violation de données, et une couverture de responsabilité civile spécifique.

Cette garantie ne doit pas être confondue avec la couverture d’une panne ou d’un piratage visant directement le matériel d’encaissement. Ce risque, plus opérationnel, fait l’objet d’un traitement à part. Un autre article du site est consacré spécifiquement à la caisse et aux logiciels de vente. Ici, l’angle retenu est celui de la donnée client elle-même, et des obligations qui en découlent pour le commerçant.

Ce que couvre en pratique une garantie cyber dédiée

En résumé, une garantie cyber-risques bien construite pour un commerce répond à trois besoins concrets :

• L’accompagnement immédiat après l’incident : identifier l’origine de la fuite, mesurer son ampleur, et être conseillé sur les démarches à effectuer sans délai.
• La prise en charge de frais spécifiques : notification aux autorités et aux clients, communication de crise, parfois surveillance des données exposées sur une période donnée.
• La couverture des réclamations : gestion des demandes d’indemnisation formulées par des clients ou des tiers dont les données ont été compromises.

Ces trois volets ne sont pas systématiquement inclus dans un même contrat. Leur étendue, leurs plafonds et leurs exclusions varient fortement d’un assureur à l’autre. Cela justifie une lecture attentive des conditions générales avant de considérer un commerce comme protégé.

La fuite de données clients, un risque propre au commerce

Une violation de données personnelles est un incident de sécurité, accidentel ou illicite. Il entraîne la destruction, la perte, l’altération ou la divulgation non autorisée de données personnelles, ou un accès non autorisé à ces données.

Pour un commerce, cela peut concerner un fichier de fidélité piraté, une base d’adresses email exposée par erreur, un historique d’achats accessible sans protection, ou des coordonnées bancaires enregistrées dans un système mal sécurisé. Ce risque existe indépendamment de tout dysfonctionnement de la caisse : un simple export de fichier mal partagé, ou un prestataire tiers compromis, peut suffire à déclencher les obligations décrites ci-dessous.

L’obligation de notification à la CNIL

Dès qu’une violation de données présente un risque pour les droits et libertés des personnes concernées, le responsable de traitement doit la notifier à la Commission nationale de l’informatique et des libertés. Selon la CNIL, cette notification doit être transmise « dans les meilleurs délais » après la découverte de l’incident. Elle doit en principe intervenir dans un délai de 72 heures, lorsque cela est possible.

Si l’enquête interne n’est pas terminée dans ce délai, une notification en deux temps est admise. Une première déclaration est transmise avec les informations disponibles, en expliquant les raisons du retard. Une notification complémentaire suit une fois les éléments réunis. La notification doit préciser la nature de la violation, le nombre approximatif de personnes et de données concernées, les conséquences probables de l’incident, et les mesures déjà prises ou envisagées pour y remédier. Cette démarche s’effectue via le service en ligne dédié de la CNIL, notifications.cnil.fr.

Pour un commerce, par exemple, un fichier de fidélité exporté par erreur vers une adresse non sécurisée doit être traité comme un incident potentiel dès sa découverte. Son ampleur reste parfois incertaine dans les premières heures. La CNIL accepte alors une notification initiale incomplète, à compléter ensuite.

Informer les clients concernés

L’information des personnes concernées par la fuite n’est pas systématique. Elle n’est obligatoire que lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. C’est le cas, par exemple, si des données bancaires ou des mots de passe ont été exposés.

Cette communication a un coût concret pour un commerce : envoi de courriers ou d’emails individualisés, mise en place d’une page d’information, parfois recours à un prestataire spécialisé en gestion de crise. C’est précisément ce type de frais qu’une garantie cyber dédiée peut prendre en charge, dans les limites et conditions prévues au contrat. Il convient de vérifier ce point précisément dans les conditions générales avant de considérer cette couverture comme acquise.

La responsabilité civile après une fuite de données

Une fuite de données peut donner lieu à des réclamations de la part des clients concernés, qui estiment avoir subi un préjudice du fait de la divulgation de leurs informations personnelles. C’est là qu’intervient la responsabilité civile spécifique à la garantie cyber, distincte de la responsabilité civile professionnelle du commerçant qui couvre plutôt les dommages corporels ou matériels causés à des tiers dans le cadre de l’activité.

En pratique, les contrats cyber excluent souvent ce volet de la RC classique et le traitent séparément, avec des plafonds et des franchises propres. Avant de considérer qu’un commerce est couvert « par défaut » en cas de réclamation liée à une fuite de données, il est donc utile de vérifier si le contrat prévoit une garantie cyber spécifique. Se fier uniquement aux garanties indispensables d’une assurance commerce ne suffit généralement pas.

Les sanctions en cas de manquement au RGPD

Le non-respect des obligations de notification ou de sécurité des données expose l’entreprise responsable du traitement à des sanctions administratives prononcées par la CNIL, sur le fondement de l’article 83 du RGPD. Ce texte prévoit deux plafonds distincts selon la nature du manquement. Le premier plafond, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, vise notamment les manquements aux obligations de notification. Le second, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, vise les manquements les plus graves, comme le non-respect des principes fondamentaux de traitement des données (Règlement (UE) 2016/679, texte consolidé).

Une sanction administrative est une mesure prise par une autorité de contrôle, comme la CNIL, indépendamment de toute action en justice engagée par un client ou un tiers. Ces plafonds légaux concernent en priorité les grandes entreprises. Dans les faits, la CNIL module ses sanctions selon la taille de la structure, la gravité du manquement et les mesures correctives prises. Il reste que l’absence totale de notification, ou une notification manifestement tardive et non justifiée, constitue un facteur aggravant systématiquement relevé par l’autorité. Ces sanctions s’ajoutent, sans s’y substituer, aux conséquences propres de l’assurance : franchise applicable, plafonds de garantie, ou exclusions prévues au contrat cyber.

Questions fréquentes

Une garantie cyber-assurance est-elle obligatoire pour un commerce ?

Non, il n’existe pas d’obligation légale générale d’assurance cyber pour les commerces. En revanche, les obligations de sécurité et de notification prévues par le RGPD s’appliquent indépendamment de toute souscription d’assurance, dès lors que le commerce traite des données personnelles.

Que se passe-t-il si je ne notifie pas une fuite de données à la CNIL ?

Un défaut de notification, ou une notification tardive sans justification, peut être sanctionné par la CNIL sur le fondement de l’article 83 du RGPD. Les plafonds peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon la gravité du manquement (Règlement (UE) 2016/679).

La garantie cyber couvre-t-elle aussi le piratage de la caisse ?

Pas nécessairement de la même manière : le piratage ou la panne d’un système de caisse relève d’un risque plus opérationnel, traité séparément dans un autre article du site. La garantie cyber décrite ici se concentre sur la gestion d’une fuite de données clients et les obligations qui en découlent, ce qui peut correspondre à un volet distinct du même contrat ou à une garantie complémentaire.

En résumé

Une garantie cyber-assurance dédiée répond à un risque spécifique : la fuite de données clients. Elle s’accompagne d’obligations de notification à la CNIL, d’information des personnes concernées dans certains cas, et couvre les réclamations en responsabilité civile qui peuvent en découler. Ce risque est distinct d’une panne de caisse ou d’un piratage du système d’encaissement, traités ailleurs sur le site. Avant de considérer un commerce comme couvert, il est recommandé de vérifier précisément, dans les conditions générales du contrat, l’étendue de la garantie cyber, ses plafonds et ses exclusions. Cette vérification peut passer par une mise en perspective : comparer les contrats d’assurance commerce disponibles sur le marché.