Le 20 septembre, les clients d'Oceania Hotels ont reçu une notification. Leurs données de réservation avaient été exposées à la suite d'une faille chez le prestataire qui héberge le moteur de réservation en ligne. La vulnérabilité a depuis été corrigée, la CNIL a été notifiée et une plainte déposée. Ce qui a été exposé Noms, prénoms, adresses e-mail, numéros de téléphone. Numéros de réservation, identifiants d'établissement, dates de séjour, tarifs et conditions tarifaires. Les réservations concernées portent sur des séjours entre août 2026 et juillet 2027. Aucune donnée bancaire. Pas de données bancaires, mais un vrai risque C'est souvent là que l'analyse s'arrête, et c'est une erreur. Un fichier qui croise l'identité d'un client, son hôtel, ses dates d'arrivée et son numéro de réservation permet de fabriquer un message frauduleux très crédible, du genre « merci de confirmer votre réservation en réglant l'acompte ». L'hôtelier l'a bien compris et a prévenu ses clients contre les demandes de paiement ou de confirmation reçues par WhatsApp, SMS ou e-mail. La fenêtre de risque court jusqu'à l'été prochain. Article 28 RGPD : la responsabilité ne se délègue pas Le schéma juridique est simple, même s'il reste mal compris. Le prestataire technique est sous-traitant, l'hôtelier reste responsable de traitement. C'est donc à lui de notifier la CNIL dans les 72 heures, d'informer les personnes concernées quand le risque est élevé, et de démontrer qu'il avait choisi un sous-traitant présentant des garanties suffisantes, comme l'exige l'article 28 du RGPD. La faille était ailleurs. La responsabilité, non. Les contrats SaaS métiers, angle mort de la conformité La question utile se pose avant l'incident. Que prévoyait le contrat en matière de sécurité, de délai d'alerte, de droit d'audit ? Qui suivait ces engagements ? Dans beaucoup d'entreprises, les outils SaaS métiers sont choisis par les équipes commerciales ou opérationnelles sur des critères de performance, sans passer par le DPO ni par une revue sécurité. Le jour où une violation touche les données personnelles des clients, on découvre le contrat. Trop tard pour le renégocier.
