Fuite de données : décider et agir selon le RGPD

Un courriel transmis au mauvais destinataire, un fichier exposé sur Internet ou un dossier détruit peuvent déclencher les obligations du RGPD. La réponse commence par les faits : quelles données ont été touchées, qui peut subir un dommage et quelles protections restent efficaces ?

Fuite et violation de données : une différence utile

L’Art. 4(12) définit la violation de données personnelles par une atteinte à la sécurité entraînant notamment destruction, perte, altération, divulgation ou accès non autorisés. Le terme courant « fuite » évoque surtout la confidentialité ; la notion juridique couvre aussi l’intégrité et la disponibilité. Une suppression accidentelle peut donc constituer une violation sans divulgation. Art. 4(12).

Ne classez pas automatiquement l’indisponibilité comme moins grave : ses conséquences dépendent du service et des personnes concernées.

Les premières actions à coordonner

Contenez l’incident, préservez les éléments utiles et identifiez un responsable du suivi. Notez la date de détection, les vérifications réalisées et le moment où l’organisme a eu connaissance de la violation. Une mesure urgente peut être nécessaire avant de disposer de tous les chiffres.

La CNIL situe la prise de connaissance au moment où le responsable possède un degré raisonnable de certitude qu’un incident a touché des données personnelles. Une première investigation peut être nécessaire, mais elle doit être menée rapidement. CNIL, règles relatives aux violations.

Préparez une liste des données, personnes, systèmes, destinataires et protections concernés. Séparez ce qui est confirmé, estimé et encore inconnu. La démarche de décision dans l’incertitude permet de poursuivre l’analyse sans attendre un rapport technique définitif.

Trois obligations distinctes

Ces obligations résultent des Art. 33 et 34. Le délai de 72 heures ne permet pas d’attendre volontairement lorsqu’une notification plus rapide est possible. Une notification tardive reste due lorsqu’elle est requise et doit expliquer le retard.

Pour documenter les faits et les décisions, utilisez le modèle de registre des violations. La tenue du dossier reste nécessaire même lorsque la notification n’est pas requise.

Comment apprécier le risque pour les personnes ?

Examinez la nature des informations, leur volume, la possibilité d’identifier les personnes, leurs caractéristiques et les conséquences possibles. Ajoutez la réalité de l’accès, la durée d’exposition et l’efficacité des protections.

Exemple hypothétique. Une pièce jointe chiffrée est adressée par erreur à un tiers. Il faut vérifier l’algorithme et la gestion de la clé, si le secret a aussi été transmis et si une version lisible existe ailleurs. La seule présence du mot « chiffré » ne permet pas de conclure.

Des données de santé ou d’autres catégories sensibles peuvent aggraver les conséquences. Elles ne déclenchent toutefois pas mécaniquement, dans tout incident, une information des personnes : le seuil de risque élevé et les conditions de l’Art. 34 restent à examiner. Une indisponibilité importante peut d’ailleurs subsister malgré la protection de la confidentialité.

Documentez les motifs de la décision et les éléments qui conduiraient à la revoir. Une preuve nouvelle d’exfiltration ou une population plus vulnérable peut modifier l’appréciation initiale.

Cas pratique : un espace client révèle les commandes d’autrui

Le scénario suivant est fictif. Une PME française reçoit lundi à 9 h 10 la capture d’un client montrant une commande qui ne lui appartient pas. Dès réception à 9 h 10, le support vérifie l’authenticité de cette commande et l’accès indu ainsi démontré. À 9 h 40, l’équipe reproduit le défaut avec des comptes autorisés : changer l’identifiant de commande dans l’adresse donne accès au nom, à l’adresse postale, au téléphone et au détail d’achat d’un autre client. Aucun mot de passe ni moyen de paiement n’apparaît dans la vue concernée.

La violation est connue dès 9 h 10 dans ce cas ; la reproduction technique à 9 h 40 ne reporte pas ce point de départ. Ainsi, il n’est pas nécessaire de savoir combien de personnes ont effectivement consulté les commandes pour commencer à décider. L’accès à cette fonction est suspendu et le défaut corrigé. Les traces utiles sont préservées avec un accès limité. L’entreprise examine aussi les autres fonctions qui utilisent le même mécanisme d’autorisation.

Le rapprochement des journaux et des commandes établit ensuite que 84 dossiers concernant 79 personnes étaient accessibles pendant la période étudiée. Ce sont deux nombres différents : une personne pouvait avoir plusieurs commandes. Les traces disponibles ne permettent pas de déterminer tous les accès passés. La conclusion correcte est « accès antérieurs partiellement inconnus », et non « aucun accès malveillant ».

Dans l’hypothèse retenue, l’entreprise est établie uniquement en France et le traitement est local : elle notifie la CNIL. Une activité transfrontière demande aussi de vérifier l’autorité compétente ; la langue du site ne suffit pas à la déterminer (Art. 55 et 56). Les 72 heures suivant lundi 9 h 10 aboutissent à jeudi 9 h 10, mais cette borne ne justifie pas d’attendre jeudi si la notification peut être faite auparavant.

L’équipe examine séparément le risque élevé qui déclencherait l’information des personnes. Le nombre de dossiers ne décide pas seul de ce seuil. Elle vérifie notamment la nature des achats, les circonstances de l’accès, la possibilité d’un ciblage frauduleux et les caractéristiques connues des personnes. Elle consigne sa conclusion initiale et ses motifs, sans invoquer la réparation technique comme garantie suffisante.

Supposons qu’elle découvre ensuite qu’une partie des descriptions de commande révèle une situation médicale et que ces données ont été téléchargées par un tiers non autorisé. Cette information change l’analyse : dans cette variante, l’entreprise retient un risque élevé et informe les personnes concernées dans les meilleurs délais, sans exception applicable démontrée. Elle complète aussi sa notification. La première décision reste dans l’historique, accompagnée de la nouvelle preuve et de la date de réévaluation.

Une fiche de décision utilisable pendant l’incident

Le document de crise doit permettre à un autre intervenant de comprendre ce qui est établi et ce qui reste ouvert. Pour le cas précédent, une première fiche pourrait être remplie ainsi :

• Incident : contrôle d’accès insuffisant sur la consultation des commandes ; confidentialité atteinte.
• Périmètre : 84 commandes et 79 personnes selon le rapprochement daté ; recherche des autres vues encore en cours.
• Mesures accomplies : consultation suspendue, traces préservées, correctif appliqué ; vérification de son efficacité à consigner séparément.
• Décision : notification CNIL requise ; analyse spécifique de l’information des personnes documentée puis révisée lorsque les nouvelles données sont connues.
• Actions ouvertes : vérifier les téléchargements, joindre les personnes concernées par la variante à risque élevé et contrôler les accès aux autres fonctions.
• Suivi : une personne responsable de chaque action, une échéance adaptée à l’urgence et le prochain point de décision.

Une fiche de ce type est une proposition d’organisation, pas un formulaire réglementaire unique. Le DPO, lorsqu’il est désigné, apporte son conseil ; les équipes techniques fournissent les faits et le responsable du traitement assume ses obligations. Une absence ou une réunion de validation ne doit pas laisser une notification obligatoire sans décision.

Après l’urgence, distinguez trois clôtures : exposition arrêtée, communications réalisées et corrections durables vérifiées. Le dossier peut rester ouvert sur le troisième point alors que les deux premiers sont accomplis. Conservez les pièces nécessaires pour démontrer les décisions, avec une durée justifiée et des accès limités ; ne gardez pas indéfiniment toutes les données exposées au seul motif qu’un incident a existé.

Que transmettre à la CNIL ?

La notification décrit la nature de la violation et, si possible, les catégories et nombres approximatifs de personnes et d’enregistrements. Elle comporte le contact du DPO ou d’un autre interlocuteur, les conséquences probables et les mesures prises ou proposées. L’Art. 33(4) autorise les informations échelonnées lorsque tout ne peut pas être fourni simultanément, sans autre retard indu. Art. 33(3)-(4).

Le guide sur les compléments et corrections d’une notification explique comment conserver une chronologie cohérente.

Informer utilement les personnes

L’Art. 34(2) demande des termes clairs et simples, la nature de la violation et les informations pertinentes de l’Art. 33(3)(b)-(d). Donnez des actions adaptées : réinitialiser un accès compromis, repérer un message frauduleux ou contacter un interlocuteur. Évitez les conseils sans lien avec les données concernées.

L’Art. 34(3) prévoit des exceptions : protections rendant les données incompréhensibles aux personnes non autorisées ; mesures ultérieures garantissant que le risque élevé ne se matérialisera plus ; ou efforts disproportionnés, avec dans ce dernier cas une communication publique ou similaire tout aussi efficace. Art. 34(2)-(3).

Préparez aussi l’accompagnement des personnes après la violation, notamment les réponses aux demandes et les mises à jour utiles.

Si l’incident survient chez un prestataire

Le sous-traitant informe le responsable sans délai injustifié après avoir pris connaissance de la violation, selon l’Art. 33(2). Il l’aide également dans les conditions de l’Art. 28(3)(f). Il ne dispose pas d’un délai légal général de 72 heures pour attendre avant d’alerter son client. Art. 28(3)(f) et 33(2).

Prévoyez les contacts, le contenu de la première alerte et les modalités de complément. La chaîne d’alerte du sous-traitant au client doit permettre au responsable de prendre ses propres décisions.

Ce qu’il faut retenir

• Une violation peut atteindre confidentialité, intégrité ou disponibilité.
• Documentez toutes les violations et justifiez les décisions de notification.
• Les 72 heures partent de la prise de connaissance, sans autoriser un retard inutile.
• Les données sensibles et le chiffrement appellent une analyse concrète, sans automatisme.

FAQ

Un fichier restauré ne constitue-t-il plus une violation ?

La restauration peut réduire les conséquences d’une perte ou d’une indisponibilité. Elle n’efface pas nécessairement la violation survenue ni la nécessité de l’analyser et de la documenter.

Le sous-traitant peut-il notifier pour son client ?

Une assistance ou une transmission pour son compte peut être organisée. Le responsable conserve cependant ses obligations et doit maîtriser l’analyse et les informations fournies.

Quel plafond pour le défaut de notification ?

Les obligations des Art. 33 et 34 relèvent de l’Art. 83(4)(a) : jusqu’à 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires mondial total précédent, le montant le plus élevé. D’autres manquements peuvent relever d’autres plafonds selon leur qualification. Art. 83(4)-(5).

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.