Après une cyberattaque, les organismes concernés doivent mener plusieurs démarches qui ne poursuivent pas le même objectif. Un livret mis en ligne le 19 octobre 2026 par le Clusif revient sur le dépôt de plainte et sur son articulation avec la notification d’une violation de données à la Commission nationale de l’informatique et des libertés. Le document constitue la première publication du groupe de travail de l’association consacré à cette question ; d’autres fiches pratiques sont annoncées d’ici la fin de l’année.
Le dépôt de plainte vise d’abord le traitement pénal de l’attaque. D’après le livret présenté par le Clusif, cette démarche peut déclencher une enquête, notamment dans les situations où la victime est la seule à disposer d’informations sur l’incident. Elle permet également à l’organisme de faire reconnaître son statut de victime, de se constituer partie civile et, le cas échéant, de demander une indemnisation.
La plainte déclenche une enquête pénale, souvent la seule voie quand la victime est seule à connaître l’incident.
Le document relie aussi la plainte aux relations avec les partenaires et les assureurs. Le fait de signaler l’attaque doit permettre de montrer que l’organisme a engagé une réponse à l’incident. Le livret rappelle par ailleurs qu’après la loi LOPMI, la couverture par l’assurance des pertes liées à une cyberattaque est conditionnée au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’attaque.
Des éléments à réunir rapidement
Le Clusif recommande de préparer cette démarche avant même la survenue d’une crise, en identifiant le commissariat ou la brigade susceptible de recevoir la plainte et d’orienter la victime vers des services spécialisés. Le dépôt doit être effectué par le représentant légal de l’organisme ou par une personne disposant d’un pouvoir. Le livret précise qu’une pré-plainte en ligne ne suffit pas et qu’il est également possible de saisir directement le procureur de la République.
- rassembler les journaux informatiques, les captures d’écran et les rapports d’analyse disponibles ;
- communiquer les coordonnées des prestataires intervenus sur l’incident ;
- déposer plainte avec les premiers éléments, puis compléter le dossier ultérieurement ;
- obtenir un récépissé afin de conserver la trace de la démarche.
La publication rappelle une obligation particulière pour les agents publics. Lorsqu’ils ont connaissance de faits susceptibles de constituer un délit, ils doivent les signaler en application de l’article 40 du code de procédure pénale. Cette règle concerne notamment les collectivités et les établissements publics confrontés à un incident de cybersécurité.
Deux démarches auprès de destinataires différents
Le dépôt de plainte et la notification à la CNIL ne se remplacent pas l’un l’autre. Le premier s’adresse à l’autorité judiciaire et tend à permettre la recherche et la poursuite de l’auteur de l’attaque. La seconde informe l’autorité chargée du contrôle de la protection des données personnelles. Le livret souligne que ces procédures ont donc des objets et des destinataires distincts : les engager en parallèle permet de ne pas confondre la réponse pénale avec les obligations qui découlent d’une violation de données.
Pour comprendre
Une cyberattaque peut relever à la fois de la procédure pénale et du droit de la protection des données. La plainte donne à la justice les éléments nécessaires pour apprécier les faits et rechercher leurs auteurs, tandis que la notification à l’autorité de contrôle permet d’examiner les conséquences de l’incident pour les personnes concernées. Ces deux mécanismes peuvent donc être mobilisés séparément, selon leur finalité propre.
