La Commission Nationale de l'Informatique et des Libertés (CNIL) détaille, à travers un cas fictif, les obligations et les bonnes pratiques d'un sous-traitant victime d'une cyberattaque affectant à la fois ses propres données et celles de ses clients.

Le scénario décrit une attaque par ingénierie sociale réussie contre un employé d'un sous-traitant fournissant une solution en nuage, menant à l'exfiltration de données de l'entreprise et de ses clients. Face à cet incident, le sous-traitant doit gérer une double responsabilité. En tant que responsable de traitement pour ses propres données, notamment celles de ses employés, il est tenu de notifier la violation à la CNIL dans un délai de 72 heures. Il doit également informer les personnes concernées si la violation engendre un risque élevé pour leurs droits et libertés.

En tant que sous-traitant, il doit informer ses clients, responsables de traitement, dans les plus brefs délais pour leur permettre de remplir leurs propres obligations de notification. La violation pour les clients se décompose en une atteinte à la disponibilité, due à la coupure du service, et une atteinte à la confidentialité pour les données dérobées. Le sous-traitant est encouragé à accompagner activement ses clients en leur fournissant un guide de notification, en ouvrant une ligne de communication dédiée et en proposant de réaliser les notifications en leur nom. Il peut aussi préparer un modèle de communication destiné aux personnes concernées par la violation.