Violation de données : que faire dans les 72 premières heures (articles 33 et 34 du RGPD)

Un ordinateur portable perdu avec des dossiers, un e-mail envoyé au mauvais destinataire, une attaque par rançongiciel ou le compte compromis d’un prestataire : ce sont autant de violations de données à caractère personnel dès lors qu’elles affectent la confidentialité, l’intégrité ou la disponibilité de ces données (art. 4, point 12, du RGPD). Ce qui distingue un incident maîtrisable d’une sanction, c’est la façon dont vous réagissez dans les premières heures.

Le délai : 72 heures à partir du moment où vous en avez connaissance

L’article 33 oblige le responsable de traitement à notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. En France, l’autorité est la CNIL, qui propose un téléservice de notification ; en Espagne, l’AEPD. Si la notification n’a pas lieu dans ce délai, elle doit être accompagnée des motifs du retard.

La seule exception est le cas où la violation est peu susceptible d’engendrer un risque pour les droits et libertés des personnes. Cette conclusion doit être justifiée et consignée par écrit.

Un plan d’action heure par heure

1. Contenez l’incident. Isolez les systèmes touchés, révoquez les identifiants compromis, coupez les accès et conservez les preuves (journaux, copies des systèmes) sans les altérer.
2. Alertez en interne. Mobilisez les bonnes personnes : direction, responsable de la sécurité informatique, délégué à la protection des données s’il y en a un, conseil juridique.
3. Rassemblez les faits. Ce qui s’est passé, quand cela a été détecté, quels systèmes et catégories de données sont concernés et combien de personnes peuvent l’être (une estimation approximative suffit au départ).
4. Évaluez le risque. Appréciez la gravité des conséquences possibles pour les personnes : usurpation d’identité, préjudice financier ou de réputation, exposition de données sensibles…
5. Décidez et documentez. S’il y a un risque, notifiez l’autorité. S’il n’y en a pas, consignez le raisonnement.
6. Informez les personnes concernées lorsque c’est nécessaire (voir ci-dessous).
7. Corrigez et tirez les leçons. Supprimez la cause profonde, revoyez les mesures de l’article 32 et mettez à jour votre registre des activités et vos procédures.

Ce que doit contenir la notification à l’autorité (art. 33, par. 3)

• La nature de la violation, avec les catégories et le nombre approximatif de personnes et d’enregistrements concernés.
• Le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact.
• Les conséquences probables de la violation.
• Les mesures prises ou proposées pour y remédier et en atténuer les effets.

Si vous ne disposez pas de toutes les informations dans le délai, l’article 33, paragraphe 4, permet de les fournir de manière échelonnée, sans autre retard indu. Mieux vaut une notification initiale incomplète qu’une notification complète hors délai.

Quand informer aussi les personnes concernées (art. 34)

Lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés, vous devez les en informer dans les meilleurs délais, en termes clairs et simples, en expliquant ce qui s’est passé, quelles peuvent en être les conséquences et ce qu’elles peuvent faire pour se protéger. Ce n’est pas obligatoire si :

• les données étaient chiffrées ou protégées de manière à être incompréhensibles pour toute personne y ayant accédé ;
• vous avez pris des mesures ultérieures garantissant que le risque élevé n’est plus susceptible de se concrétiser ; ou
• cela exigerait des efforts disproportionnés, auquel cas une communication publique ou une mesure similaire est utilisée.

Si vous êtes sous-traitant

Le sous-traitant doit notifier au responsable de traitement dans les meilleurs délais toute violation dont il a connaissance (art. 33, par. 2). Vérifiez que vos contrats de l’article 28 fixent des délais et des canaux précis : les 72 heures du responsable courent à partir du moment où il en a connaissance, et chaque heure que met le prestataire à vous alerter est perdue.

Documentez toutes les violations, même mineures

L’article 33, paragraphe 5, exige de documenter toute violation : faits, effets et mesures correctives, afin que l’autorité puisse le vérifier. Un registre des incidents bien tenu est l’une des preuves de diligence les plus solides.

Préparez-vous avant que cela n’arrive

• Rédigez un protocole de réponse avec des responsables, des contacts et des modèles de notification.
• Définissez comment un incident est détecté et escaladé : chaque collaborateur doit savoir qui prévenir et dans quel délai.
• Faites des exercices simples au moins une fois par an.
• Conservez des sauvegardes isolées, un contrôle des accès et le chiffrement des ordinateurs portables.
• Gardez vos documents juridiques et de contact à jour. Un gestionnaire centralisé comme LegalCloud aide votre politique de confidentialité et vos textes à refléter toujours la procédure en vigueur.

Consultez les articles 33 et 34 sur EUR-Lex, les lignes directrices du Comité européen de la protection des données sur la notification des violations sur edpb.europa.eu et les informations pratiques de l’AEPD. Ce contenu est donné à titre d’information et ne constitue pas un conseil juridique.