Violation de données au restaurant : les 72 premières heures

Dans cet article

1. Où se trouvent réellement les données de vos clients
2. L'horloge des 72 heures, fenêtre par fenêtre
3. Ce que couvre vraiment une cyberassurance — et ce qu'elle ne couvre pas
4. Ce que les assureurs vérifient avant même de vous proposer un devis
5. Conclusion : l'horloge tourne de toute façon, la question est de savoir si vous le saviez déjà

Une violation de données dans votre restaurant n'est pas un problème informatique — c'est une horloge juridique qui se met en marche dès l'instant où vous en avez connaissance. Dès que vous savez, ou auriez raisonnablement dû savoir, que des données de vos clients ont été volées, effacées ou exposées à des personnes non autorisées, le RGPD vous accorde 72 heures pour en informer l'autorité de contrôle. Pas 72 heures pour tout résoudre — 72 heures pour le signaler.

Cela commence rarement par une alarme qui sonne. C'est plus souvent un client qui appelle parce que sa carte a été débitée deux fois, votre plateforme de réservation qui vous envoie un mail au sujet d'une « activité inhabituelle », ou un membre de votre équipe qui découvre un écran de caisse rempli de caractères étranges un mardi matin. À ce moment-là, la question n'est plus « à quel point est-ce grave techniquement », mais « que dois-je faire, maintenant, aujourd'hui » — et la plupart des restaurateurs n'ont pas la réponse, parce que personne ne l'a jamais écrite noir sur blanc.

Le risque est bien réel, et il ne concerne pas que les grandes chaînes. Les systèmes de caisse et les terminaux de point de vente comptent parmi les équipements les plus ciblés au monde dans l'hôtellerie-restauration et le commerce, précisément parce qu'ils traitent des données de carte bancaire et restent souvent en service sans mise à jour pendant des années. Un petit restaurant n'a pas de service informatique pour amortir le choc — c'est exactement pour cela qu'une cyberassurance, et un plan écrit pour les premières 72 heures, comptent davantage ici que dans une entreprise dotée de sa propre équipe de sécurité.

Ce guide parcourt exactement cela : où se trouvent réellement les données de vos clients, ce qu'il faut faire dans chacune des quatre fenêtres de l'horloge des 72 heures, ce qu'une cyberassurance couvre généralement — et ce qu'elle ne couvre pas —, et, à l'aide d'un simulateur basé sur vos propres chiffres, ce qu'une violation pourrait réellement coûter à votre établissement.

Où se trouvent réellement les données de vos clients

Une violation de données est tout incident au cours duquel des données personnelles de clients sont perdues, modifiées ou rendues accessibles à une personne non habilitée, de manière accidentelle ou illicite — c'est donc bien plus large que « se faire pirater ». Un ordinateur portable oublié dans une voiture, une confirmation de réservation envoyée à la mauvaise adresse, ou une sauvegarde de caisse laissée accessible au public par erreur comptent tout autant qu'une attaque ciblée.

La plupart des restaurateurs sous-estiment le nombre de systèmes qu'ils font réellement tourner. Faites le compte : le système de caisse qui conserve les données de carte de chaque transaction, le système de réservation et de gestion clients avec le nom, le numéro de téléphone et parfois les allergies de chaque client, le programme de fidélité avec les adresses e-mail et l'historique des commandes, le wifi clients avec un portail de connexion qui demande souvent une adresse e-mail, l'intégration avec les plateformes de livraison qui transmet des adresses, et le registre des bons cadeaux avec des codes qui valent littéralement de l'argent. Six systèmes, six endroits où une fuite peut démarrer — et dans la plupart des établissements, personne ne les a jamais listés côte à côte.

Notre guide sur les données clients et le RGPD explique comment collecter et utiliser ces données en toute légalité ; notre guide sur la cybersécurité du restaurant détaille les neuf étapes qui préviennent une attaque. Ce guide-ci traite du moment d'après : le mal est déjà fait — et maintenant ?

L'horloge des 72 heures, fenêtre par fenêtre

L'article 33 du RGPD vous impose de notifier une violation de données à l'autorité de protection des données dans les 72 heures suivant sa découverte, sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés de vos clients. Cette horloge ne démarre pas quand vous comprenez tout — elle démarre dès l'instant où vous avez raisonnablement connaissance qu'un incident s'est produit. Voici à quoi ressemblent concrètement ces 72 heures.

Heure 0 à 1 : découvrir et contenir

Déconnectez l'appareil touché du réseau — débranchez le câble ou coupez le wifi — mais n'éteignez rien et n'effacez rien. Chaque trace que vous effacez maintenant est une trace que votre prestataire informatique ou votre assureur ne pourra plus utiliser ensuite pour comprendre ce qui s'est réellement passé.

Changez immédiatement les mots de passe de tous les comptes administrateurs ayant accès à la caisse, au système de réservation et à votre messagerie. Notez l'heure exacte de la découverte — c'est le point de départ de vos 72 heures, et vous en aurez besoin dans chaque formulaire qui suivra.

Heure 1 à 24 : évaluer et documenter

Appelez votre prestataire informatique, ou un service spécialisé si vous n'en avez pas — et appelez votre assureur en même temps si vous avez une police : la plupart des polices cyber disposent d'une cellule d'urgence que vous pouvez solliciter dès le premier jour, et attendre vous coûte souvent exactement la couverture dont vous avez besoin.

Notez par écrit quelles données ont pu être touchées : uniquement des noms et des adresses e-mail, ou aussi des données de carte et des informations sur les allergies ? Combien de clients figurent dans ce fichier ? Ces deux questions — quoi et combien — conditionnent presque tout ce qui va se passer dans les 48 heures suivantes, notez-les donc dès que vous les connaissez, même si la réponse reste incomplète.

Heure 24 à 72 : notifier l'autorité

Évaluez avec votre assureur, votre prestataire informatique ou un conseiller juridique si la violation est « susceptible d'engendrer un risque » pour vos clients. Si la réponse est oui, la notification à l'autorité de protection des données est obligatoire — pas optionnelle, et pas quelque chose que l'on repousse jusqu'à être certain.

Déposez la notification avant l'expiration des 72 heures, avec ce que vous savez à ce moment-là : la nature de la violation, une estimation du nombre de clients concernés, les conséquences probables et les mesures déjà prises. Une information incomplète peut être complétée plus tard — l'absence de notification dans les 72 heures ne le peut pas, et une notification tardive doit être explicitement justifiée.

Après 72 heures : informer les clients et se rétablir

N'informez directement vos clients que si le risque pour eux est élevé — des données de carte ou des mots de passe volés, par exemple. En cas de risque plus faible, la notification à l'autorité suffit. Rédigez ce message en langage clair : ce qui s'est passé, ce que vous faites pour y remédier, et ce que le client peut faire lui-même (faire bloquer sa carte, changer son mot de passe).

Ne restaurez qu'à partir d'une sauvegarde saine, une fois certain que la faille est réellement colmatée — sinon vous restaurez exactement le même problème. Et communiquez à votre assureur l'ampleur définitive de l'incident : c'est ce chiffre-là, et non votre première estimation, qui détermine le montant finalement versé.

Ce que couvre vraiment une cyberassurance — et ce qu'elle ne couvre pas

La plupart des restaurateurs pensent que leur assurance existante couvre déjà cela. Ce n'est presque jamais le cas : une police classique incendie, pertes d'exploitation ou responsabilité civile exclut généralement les violations de données et les incidents cyber, précisément parce qu'il s'agit d'un risque distinct avec son propre tarif. Notre guide des assurances pour restaurants dresse le panorama complet de ce dont un établissement moyen a besoin ; la section ci-dessous porte spécifiquement sur la police cyber.

Une police cyber couvre généralement les frais de résolution du problème et d'information de vos clients. Elle couvre rarement le coût de la confiance perdue, ou un risque que vous n'avez pas déclaré à la souscription.

Entrez vos propres chiffres et découvrez immédiatement où vous vous situez à peu près. Le simulateur se base sur le nombre de clients dans vos fichiers, votre chiffre d'affaires par jour de service, et deux questions que les assureurs posent eux-mêmes en premier.

Comparez ce montant au prix d'une police, et à ce que coûterait la correction des deux signaux d'alerte ci-dessus dès aujourd'hui — c'est généralement cette seconde option qui est de loin la plus économique. Pour vérifier votre couverture générale, consultez notre guide des assurances pour restaurants.

Ce que les assureurs vérifient avant même de vous proposer un devis

Ce n'est pas un projet d'un mois. Trois étapes d'une demi-heure chacune vous font passer de « aucune idée » à un dossier qu'un assureur prend au sérieux :

Aujourd'hui — la correction gratuite :

• Activer la MFA sur la caisse, la messagerie et le système de réservation — souvent le seul critère qui décide si l'on vous propose un devis
• Demander à votre fournisseur de caisse si les données de carte sont tokenisées ou conservées en local
• Enregistrer le numéro d'urgence de votre prestataire informatique ou de votre assureur dans votre téléphone, pas dans un tiroir

Cette semaine — vérifier votre couverture :

• Demander explicitement à votre courtier si le risque cyber est inclus ou nécessite une police distincte
• Demander deux à trois devis et comparer les garanties, pas seulement la prime
• Noter sur une seule page qui vous appelez en premier en cas de doute

Ce mois-ci — finaliser le dossier :

• Mettre en place des sauvegardes chiffrées et testées des données clients et de réservation
• Lire les exclusions de votre police avant d'en avoir besoin
• Afficher le plan d'urgence à côté de votre consigne incendie — même sérieux, même emplacement

Conclusion : l'horloge tourne de toute façon, la question est de savoir si vous le saviez déjà

On ne prévient jamais une violation de données à cent pour cent — même de grandes entreprises dotées de leurs propres équipes informatiques en sont victimes. Ce que vous maîtrisez, en revanche, c'est de savoir si les premières 72 heures seront le chaos ou une checklist. Une équipe qui sait quel appareil déconnecter en premier, un assureur que vous avez déjà en ligne dès la première heure, et une notification déposée à temps : voilà la différence entre un incident désagréable et une seconde crise venant s'ajouter à la première.

Et les établissements qui gèrent bien cela ne le font que rarement pour la seule prime d'assurance. Ils le font parce que la confiance d'un client — savoir que ses données sont en sécurité chez vous — fait tout autant partie de votre marque que votre cuisine. Chez HappyChef, nous construisons le système de réservation avec cette idée en tête : vos données restent chez un seul partenaire, et non dispersées sur cinq systèmes que personne n'a jamais audités. Découvrez ce que cela coûte et faites dès aujourd'hui le premier pas, gratuit : activez la MFA.