Article 34 RGPD : informer après une violation

Après une violation, les personnes peuvent avoir besoin d’agir : reconnaître une tentative d’escroquerie, protéger un compte ou demander de l’aide. L’article 34 du RGPD impose de les informer dans les meilleurs délais lorsque la violation est susceptible d’engendrer un risque élevé. Il ne prévoit pas une fenêtre générale de quinze jours pour préparer la communication.

Apprécier le risque élevé pour les personnes

L’Art. 34(1) du RGPD vise un risque élevé pour les droits et libertés d’une personne physique. La nature des données compte, mais ne dispense pas d’examiner le contexte, les conséquences possibles et les protections réellement appliquées.

Une information médicale révélée à un tiers, des accès utilisables pour détourner un compte ou la perte de données nécessaires à une prise en charge peuvent produire des risques différents. Le nombre de personnes ne constitue pas un seuil automatique. Une seule personne peut subir un risque élevé.

La notification à l’autorité au titre de l’article 33 et la communication aux personnes ont des déclencheurs distincts. Un dépôt auprès de la CNIL ne constitue pas une autorisation préalable à demander avant toute alerte aux personnes.

Agir dans les meilleurs délais

Le texte ne fixe ni 72 heures pour cette communication, ni quinze jours comme délai normal. Organisez l’information selon l’urgence et la capacité des personnes à se protéger. L’enquête peut se poursuivre après un premier message factuel, complété lorsque cela devient nécessaire.

Exemple hypothétique : une divulgation permet une fraude ciblée immédiate. L’organisme dispose déjà d’éléments fiables sur les données concernées et les précautions utiles. Attendre une validation esthétique ou une date de communiqué de presse n’est pas une justification pour retarder l’information.

L’Art. 34(4) permet à l’autorité de contrôle d’exiger la communication ou de reconnaître qu’une condition du paragraphe 3 est remplie. Le responsable doit conduire sa propre analyse et documenter sa décision ; il ne doit pas attendre systématiquement une injonction.

Préparer un message clair et utile

L’Art. 34(2) exige une description en termes clairs et simples de la nature de la violation, accompagnée au moins des informations de l’Art. 33(3)(b) à (d) : contact, conséquences probables et mesures prises ou proposées, y compris pour atténuer les effets.

Cette organisation est une recommandation rédactionnelle. Adaptez les conseils à l’incident : une remise à zéro de mot de passe ne résout pas l’exposition d’une adresse postale. Ne demandez pas aux personnes de transmettre de nouveaux justificatifs sensibles pour simplement lire l’alerte.

Le guide d’accompagnement après une violation aide à organiser les réponses après l’envoi. Préparez les équipes qui recevront les demandes ; un point de contact silencieux affaiblit l’utilité du message.

Un message renseigné et les décisions qui le justifient

Voici un dossier entièrement fictif, destiné à montrer la différence entre un message rassurant et une information exploitable. La société de location Atelier Lierre découvre, le 8 octobre, qu’un dossier de justificatifs est accessible sans authentification. Il contient les coordonnées, les copies de pièces d’identité et les contrats de dix-huit clients. L’enquête établit que ces pièces étaient accessibles en clair depuis le 6 octobre. L’accès est fermé le 8 octobre à 10 h 40. Les traces disponibles ne permettent pas de déterminer toutes les consultations ni les copies réalisées.

Le responsable ne conclut pas seulement « document sensible donc alerte ». Sa note examine la combinaison d’éléments : identité directement reconnaissable, documents utilisables dans une tentative d’usurpation, contrats permettant de rendre une sollicitation frauduleuse crédible, accès ouvert à des tiers et copies non exclues. Il retient un risque élevé pour les dix-huit personnes et décide de les informer le jour même. Ce délai appartient au scénario ; il ne devient pas un délai légal autorisant à attendre la fin de journée.

Le chiffrement des disques du serveur ne permet pas d’invoquer l’Art. 34(3)(a) : dans le cas posé, le dossier était affiché en clair par le lien. La fermeture à 10 h 40 ne démontre pas non plus que personne ne dispose d’une copie. Elle ne suffit donc pas à justifier l’exception du paragraphe 3(b). Enfin, Lierre possède des coordonnées individuelles utilisables : elle ne remplace pas l’envoi direct par un communiqué général au seul motif qu’il serait plus commode.

Proposition de communication pour ce dossier

Le texte suivant est rempli pour ces faits hypothétiques. L’adresse en .example sert uniquement d’illustration et doit être remplacée par un contact réel surveillé avant tout envoi.

Objet : information importante concernant vos justificatifs transmis à Atelier Lierre

Nous avons découvert le 8 octobre qu’un dossier contenant vos coordonnées, une copie de votre pièce d’identité et votre contrat de location pouvait être consulté sur Internet sans connexion à un compte. Cette situation existait depuis le 6 octobre. Nous avons fermé cet accès le 8 octobre à 10 h 40.

Les éléments dont nous disposons ne permettent pas de savoir si vos documents ont été consultés ou copiés par d’autres personnes. Ces informations pourraient être utilisées pour rendre crédible une tentative d’escroquerie ou pour tenter d’usurper votre identité.

Nous avons retiré le partage public et engagé une vérification des accès et des autres dossiers. Nous poursuivons l’enquête sur les consultations. La fermeture du lien ne nous permet pas de garantir la suppression de copies qui auraient déjà été réalisées.

Soyez particulièrement vigilant face à un message ou à un appel évoquant votre location et demandant un paiement, un code de connexion ou de nouveaux justificatifs. Ne vous fiez pas uniquement à la connaissance de votre contrat. En cas de doute, contactez-nous par les coordonnées figurant sur votre contrat initial, sans utiliser celles proposées dans le message suspect.

Vous pouvez poser vos questions à notre point de contact protection des données : protection@atelier-lierre.example. Nous vous tiendrons informé des nouveaux éléments qui modifieraient les risques ou les mesures à prendre. Nous ne vous demandons aucun paiement ni envoi de justificatif pour recevoir cette information.

Cette communication indique la nature de l’événement, les données touchées, les conséquences plausibles, les mesures et le contact exigés par l’Art. 34(2). Elle n’affirme ni une fraude certaine ni une absence de conséquence. Les conseils portent sur l’usage possible des pièces, sans demander un changement de mot de passe alors qu’aucun identifiant de connexion ne figure dans le dossier concerné.

Elle ne prétend pas davantage que la CNIL a approuvé la réponse ou que le problème est entièrement résolu. Si un renseignement supplémentaire devient fiable, le complément explique ce qui change : nouvelle catégorie de documents, période corrigée ou précaution supplémentaire. Il ne remplace pas silencieusement la première version conservée dans le dossier de l’incident.

Une liste de remise avec des suites précises

Dans le scénario, seize courriels sont remis et deux reviennent en erreur. Ce résultat ne signifie pas que seize personnes ont nécessairement lu le message. L’équipe suit les échecs et utilise les autres coordonnées fiables déjà détenues pour joindre les deux personnes restantes. Elle conserve la date, le canal et l’issue de chaque démarche, sans diffuser la liste des victimes.

Le service client reçoit le même état des faits que celui utilisé dans l’alerte. Il sait distinguer une question générale, qui n’exige pas une nouvelle pièce d’identité, d’une demande portant sur le contenu précis d’un dossier, pour laquelle une vérification proportionnée peut être nécessaire. Il doit pouvoir signaler immédiatement une nouvelle tentative de fraude rapportée par un client.

La direction reste responsable de la décision. Le DPO conseille sur le risque et la formulation ; l’équipe technique confirme les faits ; le service chargé des envois vérifie les destinataires. Cette répartition évite qu’un brouillon circule sans qu’aucune personne ne soit chargée de son envoi effectif.

Vérifier les trois exceptions de l’article 34(3)

Mesures antérieures appropriées, Art. 34(3)(a). Elles doivent avoir été appliquées aux données touchées, notamment pour les rendre incompréhensibles aux personnes non autorisées. Le chiffrement est un exemple, pas un label automatique de dispense. Vérifiez son fonctionnement réel, les accès et les clés. L’article ne prescrit pas une liste universelle d’algorithmes ou de longueurs de clé.

Mesures ultérieures, Art. 34(3)(b). Elles doivent garantir que le risque élevé n’est plus susceptible de se matérialiser. La seule fermeture d’un accès ne suffit pas à effacer une copie déjà divulguée. Consignez ce que les preuves permettent réellement de conclure.

Efforts disproportionnés, Art. 34(3)(c). Une communication publique ou une mesure similaire doit alors informer les personnes de manière tout aussi efficace. Il ne s’agit pas d’une dispense de toute information. Une page discrète difficile à trouver peut manquer cet objectif.

Les lignes directrices 9/2022 du CEPD, section III développent la communication aux personnes. Examinez aussi les effets d’indisponibilité : rendre les données incompréhensibles à un tiers ne garantit pas qu’une perte d’accès soit sans conséquence.

Envoyer sans créer une seconde violation

Choisissez des canaux adaptés, contrôlez les destinataires et évitez de révéler les adresses de tous les contacts dans un message collectif. Préférez des liens identifiables et un parcours qui ne ressemble pas à une tentative de collecte d’identifiants.

La procédure d’envoi sécurisé d’une alerte de violation permet de vérifier le message, les listes et les erreurs de remise. Un courriel en échec doit être traité selon les moyens disponibles ; le seul lancement de la campagne ne prouve pas que l’information a effectivement atteint son public.

Conservez la décision de risque, le message envoyé, les canaux, les dates et les difficultés. Réévaluez l’information si le périmètre change. Utilisez le retour d’expérience après incident pour corriger les défauts constatés sans effacer la chronologie initiale.

Ce qu’il faut retenir

• L’information est due en cas de risque élevé, dans les meilleurs délais.
• Il n’existe pas de délai normal de quinze jours pour attendre avant d’informer.
• Chaque exception exige une vérification concrète ; les efforts disproportionnés appellent une information équivalente.
• Le message doit permettre aux personnes de comprendre la situation et d’agir utilement.

FAQ

Faut-il attendre la réponse de la CNIL ?

Pas systématiquement. Lorsque les conditions de l’Art. 34 sont réunies, l’obligation existe indépendamment d’une injonction. Coordonnez les démarches sans retarder une alerte nécessaire.

Le chiffrement dispense-t-il toujours d’informer ?

Non. Il faut examiner son efficacité pour les données affectées et les circonstances de la violation. Un accès en clair déjà obtenu ou des clés compromises changent l’analyse.

Peut-on simplement publier une page sur le site ?

La substitution prévue par l’Art. 34(3)(c) suppose des efforts disproportionnés pour la communication individuelle et une information publique ou similaire tout aussi efficace. Une publication peu visible ne suffit pas par principe.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.