Le back office et la cybersécurité forment un couple mal traité : c’est là que transitent les données les plus sensibles de l’entreprise, coordonnées bancaires, dossiers clients, fiches de paie, pièces d’identité, et c’est aussi la fonction que l’on documente le moins. Cet article fait le point sur les menaces réelles, sur ce que le RGPD impose quand on confie ces traitements à un tiers, et sur les questions à poser avant de signer.
Pourquoi le back office concentre le risque
Le back office traite ce que le front office collecte. Un service client reçoit une réclamation ; c’est le back office qui ouvre le dossier, rassemble les pièces justificatives, met à jour la base et archive. À chaque étape, la donnée est copiée, transmise, stockée.
Trois caractéristiques rendent cette fonction attractive pour un attaquant : les données y sont regroupées plutôt que dispersées, les accès y sont souvent plus larges que nécessaire par commodité, et les traitements y sont répétitifs, donc peu surveillés.
Les chiffres publics confirment que le sujet n’est pas théorique. En 2025, la CNIL a reçu 6 167 notifications de violations de données, soit une hausse de 9,5 % sur un an, et un incident déclaré sur deux relevait d’un piratage informatique (CNIL, rapport annuel 2025, publié le 18 mai 2026). De son côté, l’ANSSI a traité 3 586 événements de sécurité sur la même année, en baisse de 18 %, mais avec une nette progression des exfiltrations de données (ANSSI, Panorama de la cybermenace 2025, publié le 11 mars 2026).
Le point que peu de prestataires mentionnent : les violations impliquent souvent des sous-traitants
Nous préférons le dire nous-mêmes plutôt que le laisser découvrir. Dans son rapport annuel 2025, la présidente de la CNIL tire trois enseignements des violations notifiées : « personne n’est épargné ; les violations sont de plus en plus massives ; elles impliquent souvent des prestataires ».
La CNIL sanctionne aussi les prestataires informatiques, et pas seulement les organismes qui leur confient les données. En décembre 2025, elle a prononcé une amende de 1 700 000 euros contre NEXPUBLICA France, éditeur d’un logiciel de gestion utilisé par des organismes publics, pour des mesures de sécurité insuffisantes. Elle indique consacrer, en 2026, la moitié de ses contrôles et de ses actions répressives à la sécurité des données, après une année 2025 où les manquements en cybersécurité représentaient déjà un tiers des contrôles et près de 30 % des sanctions.
Autrement dit : choisir un prestataire pour son back office est devenu une décision de sécurité autant qu’une décision d’organisation. C’est précisément la raison d’être de cet article.
Les menaces qui pèsent réellement sur les données du back office
Les attaques externes
- L’hameçonnage. Un message imitant un fournisseur ou un dirigeant amène un collaborateur à livrer ses identifiants ou à modifier un RIB. C’est le vecteur le plus fréquent parce qu’il ne demande aucune compétence technique.
- Les rançongiciels. Les fichiers sont chiffrés, souvent après exfiltration préalable, ce qui ajoute la menace de publication au blocage.
- L’exploitation d’équipements de bordure non mis à jour. L’ANSSI signale que ces équipements restent une cible privilégiée en raison du nombre de vulnérabilités qui les affectent.
Les causes internes
Elles ne relèvent pas de la malveillance mais de l’organisation : droits d’accès jamais révisés après un changement de poste, comptes partagés, export de données vers un tableur personnel pour aller plus vite, envoi d’un document au mauvais destinataire. La CNIL rappelle que les violations proviennent aussi d’un simple envoi à un mauvais destinataire ou d’une perte de matériel.
Classer ses données avant de décider quoi protéger
C’est l’étape la plus rentable et la plus souvent sautée. On ne protège pas de la même manière un catalogue produit et un dossier de sinistre. Sans classification, on applique le même niveau à tout, ce qui revient à ne rien protéger sérieusement.
La démarche tient en quatre temps.
- Identifier les types de données réellement traités par le back office, en partant des dossiers et non des intentions.
- Qualifier ce qui relève des données personnelles au sens du RGPD, et parmi elles ce qui est sensible au sens de l’article 9.
- Hiérarchiser selon la criticité pour l’entreprise et l’impact pour la personne concernée en cas de fuite.
- Étiqueter avec trois niveaux qui suffisent dans la quasi-totalité des cas : public, interne, confidentiel.
Cette classification devient ensuite la règle qui détermine les accès, le chiffrement, la durée de conservation et ce qui peut être confié.
Les mesures qui comptent vraiment
| Mesure |
Ce qu’elle empêche |
Signe qu’elle est mal appliquée |
| Accès limités au strict nécessaire |
Qu’un incident sur un compte expose toute la base |
Personne ne sait dire qui a accès à quoi |
| Authentification à plusieurs facteurs |
Qu’un mot de passe volé suffise |
Elle n’est active que pour les administrateurs |
| Chiffrement au stockage et en transit |
Que des données volées soient lisibles |
Les clés sont stockées à côté des données |
| Journalisation des accès |
Qu’on ignore l’ampleur d’un incident |
Les journaux existent mais personne ne les lit |
| Sauvegardes testées et plan de reprise |
Qu’un chiffrement malveillant soit définitif |
La restauration n’a jamais été essayée |
| Cloisonnement réseau |
Qu’une compromission se propage |
Tous les postes voient tous les serveurs |
| Sensibilisation régulière des équipes |
Que l’hameçonnage fonctionne |
Une session à l’embauche, puis plus rien |
La colonne de droite est celle qui compte. Ces mesures figurent dans presque tous les contrats. Ce qui distingue les organisations, c’est leur application réelle.
Ce que le RGPD impose quand on confie son back office
Confier un traitement à un prestataire ne transfère pas la responsabilité. L’entreprise reste responsable de traitement, le prestataire devient sous-traitant, et chacun a des obligations propres.
Le contrat de sous-traitance
Il n’est pas facultatif. Il doit préciser l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations du sous-traitant : agir sur instruction documentée, garantir la confidentialité, assister le responsable de traitement, supprimer ou restituer les données en fin de contrat, se soumettre aux audits.
L’obligation de sécurité
L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Adaptées, donc proportionnées : le même niveau pour un fichier de prospects et pour des données de santé serait aussi inadapté dans un sens que dans l’autre.
La notification en cas de violation
Une violation de données doit être notifiée à la CNIL dans les 72 heures dès lors qu’elle présente un risque pour les personnes concernées. Le sous-traitant, lui, doit alerter le responsable de traitement dans les meilleurs délais. Dans les faits, ce délai de 72 heures se joue dans les premières heures : si la chaîne d’alerte n’est pas écrite à l’avance, elle ne tient pas.
Transferts hors Union européenne : ce qu’il faut savoir avant de confier son back office à un prestataire offshore
C’est la question que se pose tout dirigeant français devant un prestataire situé dans l’océan Indien, et elle mérite une réponse directe plutôt qu’un silence.
Le principe : transférer des données personnelles hors de l’Union européenne est possible, à condition d’assurer un niveau de protection approprié. Trois cas se présentent.
- Le pays bénéficie d’une décision d’adéquation de la Commission européenne. Le transfert se fait alors sans formalité supplémentaire. La liste est courte et comprend notamment la Suisse, le Royaume-Uni, le Japon, le Canada, la Nouvelle-Zélande, l’Uruguay, Israël, et depuis janvier 2026 le Brésil.
- Le pays n’en bénéficie pas. Le transfert doit alors être encadré par des garanties appropriées, le plus souvent les clauses contractuelles types adoptées par la Commission européenne, accompagnées d’une analyse d’impact des transferts.
- Aucune des deux options n’est mobilisable. Restent les dérogations de l’article 49, qui ne valent que pour des situations particulières et ne peuvent pas fonder un transfert régulier et massif.
Ni Maurice ni Madagascar ne figurent parmi les pays reconnus adéquats par la Commission européenne. Un transfert vers ces pays relève donc du deuxième cas et doit être encadré contractuellement. C’est une obligation, pas une option, et un prestataire qui n’en parle pas de lui-même devrait éveiller votre attention.
Un élément de contexte mérite toutefois d’être connu, parce qu’il est rarement mentionné : Maurice est partie à la Convention 108 du Conseil de l’Europe sur la protection des données depuis le 1er octobre 2016, et a été le sixième État à ratifier la Convention 108+ modernisée, le 4 septembre 2020 (Conseil de l’Europe). Cela ne vaut pas décision d’adéquation et ne dispense d’aucune formalité. Cela signifie simplement que le pays s’est doté d’un cadre légal aligné sur les principes européens, ce qui facilite la mise en conformité contractuelle.
Pour le détail des mécanismes et de leur mise en œuvre, nous y consacrons un article entier : RGPD et externalisation offshore, vos données sont-elles protégées ? Le volet qualité et conformité du traitement lui-même est traité dans traitement des données externalisé.
Les sept questions à poser à un prestataire avant de signer
1. Où sont physiquement hébergées mes données, et sous quel régime juridique ?
2. Quel mécanisme encadre le transfert hors Union européenne, et pouvez-vous me montrer le document ?
3. Qui, nommément, a accès à mes données, et comment cette liste est-elle révisée ?
4. Quelle est la procédure exacte en cas de violation, et sous quel délai serai-je alerté ?
5. Les sauvegardes sont-elles testées, à quelle fréquence, et quel est le délai de reprise annoncé ?
6. Faites-vous appel à des sous-traitants ultérieurs, et lesquels ?
7. Que se passe-t-il si je pars : sous quel format et dans quel délai mes données me sont-elles restituées, et quand sont-elles effacées ?
Un prestataire sérieux répond aux sept sans préparation. Un prestataire qui demande à revenir vers vous sur la deuxième ou la sixième mérite un examen plus attentif.
Notre chaîne d’alerte
Puisque nous posons ces questions, voici nos réponses sur le point le plus sensible. Chez ProContact, la chaîne d’alerte est courte et nominative. Le superviseur responsable du compte signale immédiatement l’événement et mobilise les personnes chargées de le qualifier. Il informe ensuite le donneur d’ordre, dont il reste l’interlocuteur privilégié. Si la situation exige une action urgente, le client est alerté sans attendre la fin de l’analyse complète. Il s’agit de notre pratique opérationnelle ; le délai contractuel applicable reste celui défini avec chaque client.
Nos principes, et ce qu’un démarrage nous a appris
Les détails techniques restent confidentiels, mais les principes peuvent être présentés.
- Gestion des accès : accès nominatifs, limités selon chaque mission.
- Cloisonnement : environnements séparés selon les clients et les activités.
- Journalisation : connexions et opérations sensibles tracées.
- Sauvegardes : sauvegardes régulières, avec restaurations testées.
- Postes de travail : postes administrés et protégés, accès externes encadrés.
Sur un démarrage avec un client dans le secteur de l’assurance, portant sur des dossiers clients et des documents administratifs confidentiels, les accès en place étaient trop larges et les procédures insuffisamment formalisées. Ramener chaque accès à ce que la mission exige réellement, puis écrire les procédures, a constitué l’essentiel du travail.
L’enseignement tient en une phrase : la sécurité dépend surtout des procédures appliquées.
Ce que vous risquez si le sujet est mal traité
- Fuite de données : perte de confiance des clients, coût de gestion de crise, obligation d’informer les personnes concernées.
- Non-conformité : la sécurité des données est une obligation légale, et la CNIL consacre en 2026 la moitié de ses contrôles à ce sujet.
- Perte de visibilité : sans journalisation ni reporting, vous ne savez pas ce qui se passe chez votre prestataire.
- Interruption d’activité : un back office bloqué arrête la facturation, donc l’encaissement.
- Coût de remédiation : reconstruction des données, audit, renforcement en urgence, souvent plus cher que la prévention.
Externaliser peut renforcer la sécurité, à une condition
Confier son back-office métier à un prestataire structuré donne accès à des moyens qu’une PME finance rarement seule : cloisonnement réseau, journalisation centralisée, plan de reprise testé, équipes sensibilisées régulièrement. À l’inverse, confier ses données à un prestataire qui n’a pas ces moyens revient à ajouter un maillon faible.
La condition est donc simple : ce qui protège vos données n’est pas le fait d’externaliser ou non, c’est le niveau réel de l’organisation à qui vous les confiez, et votre capacité à le vérifier. Nos engagements sur ce point sont détaillés sur notre page sécurité et conformité, et notre dispositif de continuité sur la page continuité d’activité, PCA et PRA.
Back office et cybersécurité : questions fréquentes
Qu’est-ce que la cybersécurité du back office ?
La cybersécurité du back office désigne l’ensemble des mesures techniques, organisationnelles et contractuelles qui protègent les données traitées par les fonctions support d’une entreprise : dossiers clients, données bancaires, éléments de paie, pièces justificatives. Elle couvre la gestion des accès, le chiffrement, la journalisation, la sauvegarde et la conformité au RGPD.
Quelles données du back office sont les plus exposées ?
Les données bancaires, les dossiers clients complets, les données de ressources humaines et les pièces d’identité. Elles sont regroupées, exploitables immédiatement et souvent accessibles à un nombre de personnes supérieur au strict nécessaire.
Combien de violations de données sont notifiées chaque année en France ?
La CNIL a reçu 6 167 notifications de violations de données en 2025, soit une hausse de 9,5 % par rapport à 2024. Un incident déclaré sur deux relevait d’un piratage informatique. Source : rapport annuel 2025 de la CNIL, publié le 18 mai 2026.
Qui est responsable en cas de fuite chez un prestataire ?
L’entreprise reste responsable de traitement et doit notifier la violation à la CNIL. Le prestataire, lui, a ses propres obligations de sécurité au titre de l’article 32 du RGPD, qui s’impose au responsable de traitement comme au sous-traitant, et il peut être sanctionné directement. En décembre 2025, la CNIL a ainsi prononcé une amende de 1 700 000 euros contre NEXPUBLICA France pour des mesures de sécurité insuffisantes.
Quel délai pour notifier une violation de données ?
72 heures après en avoir pris connaissance, dès lors que la violation présente un risque pour les personnes concernées. Le sous-traitant doit alerter le responsable de traitement dans les meilleurs délais, ce qui suppose une chaîne d’alerte définie à l’avance.
Peut-on confier son back office à un prestataire hors Union européenne ?
Oui, à condition d’encadrer le transfert. Si le pays ne bénéficie pas d’une décision d’adéquation de la Commission européenne, le transfert doit reposer sur des garanties appropriées, généralement les clauses contractuelles types, accompagnées d’une analyse d’impact des transferts.
Maurice et Madagascar bénéficient-ils d’une décision d’adéquation ?
Non. Ni Maurice ni Madagascar ne figurent parmi les pays reconnus comme offrant un niveau de protection adéquat par la Commission européenne. Un transfert vers ces pays doit donc être encadré contractuellement. Maurice est en revanche partie à la Convention 108 du Conseil de l’Europe depuis 2016 et a ratifié la Convention 108+ en 2020, ce qui traduit un cadre légal aligné sur les principes européens sans valoir adéquation.
Qu’est-ce qu’un contrat de sous-traitance au sens du RGPD ?
C’est le contrat obligatoire entre le responsable de traitement et son prestataire. Il précise l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées, ainsi que les obligations du sous-traitant en matière de confidentialité, d’assistance, d’audit et de restitution ou suppression des données.
Comment classer ses données avant de les confier ?
En quatre étapes : identifier les types de données réellement traités, qualifier celles qui relèvent du RGPD et celles qui sont sensibles, hiérarchiser selon la criticité et l’impact d’une fuite, puis étiqueter avec trois niveaux, public, interne et confidentiel. Cette classification détermine ensuite les accès et le niveau de protection.
L’authentification à plusieurs facteurs est-elle suffisante ?
Non, elle est nécessaire mais non suffisante. Elle protège contre l’usage d’un mot de passe volé, pas contre des droits d’accès trop larges, une absence de journalisation ou une sauvegarde jamais testée. Elle fait partie d’un ensemble.
Que doit contenir une procédure d’incident ?
Qui alerte qui, sous quel délai, par quel canal, qui décide de la notification à la CNIL, qui informe les personnes concernées, et qui pilote la reprise. Une procédure qui tient sur une page et que tout le monde connaît vaut mieux qu’un document de trente pages jamais ouvert.
Que deviennent mes données si je change de prestataire ?
Le contrat doit prévoir leur restitution dans un format exploitable, le délai de cette restitution et l’effacement des copies détenues par le prestataire. Ce point se vérifie avant la signature, pas au moment du départ.
Comment vérifier concrètement le niveau de sécurité d’un prestataire ?
En posant sept questions : localisation de l’hébergement, mécanisme d’encadrement des transferts hors Union européenne, liste nominative des accès et modalité de révision, procédure et délai d’alerte en cas de violation, fréquence des tests de sauvegarde et délai de reprise, recours à des sous-traitants ultérieurs, conditions de réversibilité. Un prestataire sérieux répond aux sept sans préparation.
Faire auditer la sécurité de votre back-office
Pour aller plus loin
