Incident fournisseur : obtenir les faits utiles

Quand un sous-traitant annonce un incident, demandez d’abord ce qui permet de protéger vos données et de décider : votre périmètre est-il atteint, quelles données sont concernées, depuis quand, avec quelles conséquences possibles et quelles mesures déjà exécutées ? Un rapport complet arrivera peut-être plus tard. Votre analyse ne peut pas dépendre de sa rédaction finale.

Le fournisseur dispose des traces techniques ; vous connaissez les traitements et les personnes. Une réponse exploitable doit permettre de rapprocher ces deux informations, en distinguant faits confirmés, estimations et inconnues. « L’incident est maîtrisé » ne répond à aucune de ces questions à lui seul.

Les obligations ne suivent pas le calendrier du rapport

L’Art. 33(2) impose au sous-traitant d’informer le responsable de traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Il ne lui accorde pas un délai général de soixante-douze heures. Le contrat doit prévoir son assistance au titre de l’Art. 28(3)(f), notamment pour permettre au responsable de remplir ses obligations de notification. Source : RGPD, Art. 28 et 33.

Pour le responsable, l’Art. 33(1) exige la notification à l’autorité compétente dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après la connaissance de la violation, sauf si celle-ci n’est pas susceptible d’engendrer un risque pour les droits et libertés. Un dépassement doit être motivé. Une enquête inachevée n’empêche pas une notification initiale complétée sans autre retard indu selon l’Art. 33(4).

Une alerte générale sur une plateforme n’établit pas nécessairement que tous ses clients ont subi une violation. Elle appelle néanmoins des vérifications immédiates. La CNIL rattache la connaissance à un degré de certitude raisonnable qu’un incident a touché des données personnelles : les premières investigations servent à établir cette situation, sans attendre une certitude absolue sur chaque conséquence. Source : CNIL, prise de connaissance.

Consignez donc l’heure de réception de chaque fait et le raisonnement qui conduit à retenir votre point de connaissance. L’heure de validation d’un communiqué par le fournisseur n’est pas automatiquement celle de votre connaissance.

Une demande initiale qui appelle des réponses utiles

Désignez un interlocuteur pour consolider les échanges techniques, juridiques et opérationnels. Cela évite que trois équipes reçoivent des versions différentes sans les rapprocher. L’interlocuteur ne se substitue pas à la direction pour les décisions : il tient le dossier, relance les questions ouvertes et distribue les informations utiles.

Le message suivant est une trame de travail. Remplacez les éléments propres à votre dossier ; les indications renseignées illustrent une demande fictive, sans envoi réel.

Objet : incident F-31 — périmètre de notre compte Atelier Nord

Merci de distinguer dans votre réponse les faits confirmés, les estimations et les points inconnus. Pour notre compte AN-17 et le service de gestion des demandes clients, précisez :

1. Les opérations et environnements concernés : base active, pièces jointes, exports, sauvegardes ou accès de support.
2. La nature de l’atteinte : accès ou divulgation non autorisés, modification, destruction, perte ou indisponibilité.
3. Les catégories de données, les références permettant notre rapprochement et les volumes, avec leur unité et leur méthode de calcul.
4. La période d’exposition, la détection, votre prise de connaissance et le confinement, avec dates, heures et fuseaux.
5. Les éléments qui soutiennent ces réponses et les limites des traces disponibles.
6. Les mesures réalisées, celles qui restent à notre charge et les accès à désactiver immédiatement.
7. L’interlocuteur opérationnel et la prochaine mise à jour, même si l’enquête reste ouverte.

Transmettez les références nominatives nécessaires par le canal sécurisé convenu, sans joindre une copie générale de la base au courriel. Signalez immédiatement toute évolution qui modifie les mesures de protection ou l’analyse du risque.

Le dernier point organise la continuité ; il n’autorise pas à retenir une information importante jusqu’au rendez-vous suivant. Un rythme convenu entre équipes est une modalité de coordination, pas un délai légal supplémentaire.

Relire la réponse comme une pièce d’enquête

Le bon réflexe consiste à reformuler chaque affirmation en trois éléments : ce qui est observé, le périmètre observé et ce que cette observation permet réellement de conclure. Une absence d’événement dans un journal peut signifier absence d’accès, mais aussi absence de journalisation, expiration des traces ou recherche sur le mauvais environnement.

Exemple entièrement fictif. Atelier Nord reçoit une réponse indiquant que son espace a été consulté par un compte de support compromis. Le fournisseur joint un inventaire de références et affirme qu’aucun téléchargement n’est enregistré. L’équipe ne reprend pas cette formule comme une garantie d’absence de fuite.

Atelier Nord connaît une information supplémentaire : certaines demandes comportent des pièces d’identité reçues par erreur. Le fournisseur avait classé les objets comme « pièces jointes clients » sans les décrire. Le responsable doit intégrer ce contexte dans son analyse ; l’étiquette technique du prestataire n’établit ni la nature juridique ni la gravité des données.

L’équipe demande les références des pièces accessibles pour effectuer le rapprochement dans son propre système. Elle ne réclame pas leur envoi dans une messagerie ordinaire. Si cet inventaire n’est pas encore disponible, elle conserve l’incertitude et examine les décisions possibles sur les informations déjà établies.

Tenir une fiche de situation plutôt qu’un fil interminable

La fiche F-31 d’Atelier Nord comporte quatre blocs. Elle renvoie aux messages et pièces conservés de façon sécurisée, sans recopier chaque fichier personnel dans le journal.

Confirmé : le fournisseur indique un accès non autorisé à AN-17 par un compte de support ; l’inventaire reçu recense 240 demandes ; l’entreprise sait que certaines pièces jointes contiennent des données particulièrement exposantes. La date et l’heure de réception de ces éléments sont conservées.

Encore inconnu : nombre de personnes distinctes, liste complète des pièces accessibles, existence de copies et activité pendant la période non couverte par les traces. Aucun de ces champs ne reçoit la valeur zéro par défaut.

Action attribuée : le fournisseur précise le périmètre des sessions et fournit les références complémentaires ; le responsable informatique vérifie les accès qui restent sous contrôle du client ; le service concerné rapproche les demandes et les personnes ; la direction statue sur l’analyse de risque avec l’appui du DPO.

Décision : Atelier Nord retient une notification initiale sans attendre le total définitif : l’accès non autorisé aux demandes personnelles et l’incertitude sur les pièces jointes ne permettent pas d’écarter le risque. La notification décrit ces limites. L’équipe recherche en priorité les références des titres d’identité pour apprécier le risque élevé et informer les personnes concernées dans les meilleurs délais lorsque les conditions de l’Art. 34 sont réunies. L’absence de téléchargement enregistré n’est pas retenue comme preuve d’innocuité.

Le registre des violations conserve les faits, les effets et les mesures conformément à l’Art. 33(5). Une nouvelle réponse doit modifier la fiche sans effacer ce que l’entreprise savait lors des décisions précédentes. Si le fournisseur corrige une première estimation, gardez les deux versions et l’explication.

Demander une preuve proportionnée des mesures

Distinguez une mesure annoncée, exécutée et vérifiée. Pour une clé compromise, le fournisseur peut confirmer sa révocation, tandis que le client doit adapter l’intégration et contrôler qu’elle fonctionne avec le nouveau secret. Remplacer une valeur dans une configuration sans retirer l’ancienne possibilité d’accès peut laisser le problème entier.

Demandez une confirmation circonscrite : objet traité, opération, horaire, résultat et limite éventuelle. Une capture d’écran peut compléter un journal ou un compte rendu, mais ne démontre pas toujours l’invalidation de toutes les sessions. Adaptez la preuve au mécanisme en cause et évitez de diffuser les nouveaux secrets dans le dossier partagé.

La CNIL illustre les effets possibles d’accès de prestataires mal cloisonnés dans un scénario pédagogique inspiré d’incidents. Ce type d’accès peut exposer plusieurs clients ; votre vérification doit porter sur votre traitement, sans supposer que le périmètre d’un autre organisme est identique au vôtre. Source : CNIL, compromission chez un sous-traitant.

Si le fournisseur répond tard, partiellement ou pas du tout

Relancez les questions qui changent une décision, avec un responsable et une échéance opérationnelle motivée par l’urgence. Activez les contacts contractuels de sécurité et l’escalade prévue. Une liste d’inconnues attribuées est plus utile que la répétition d’une demande de « rapport complet ».

Recherchez parallèlement les faits disponibles chez vous : catégories confiées, dates d’envoi, accès ouverts, références d’objets et journaux propres. Préservez les éléments nécessaires à l’enquête. Lorsqu’un accès peut encore exposer des personnes, examinez sa suspension ou son confinement avec l’équipe technique, en tenant compte des effets sur la disponibilité du service.

Le silence du fournisseur ne suspend pas vos obligations et ne prouve pas l’absence de violation. La notification à la CNIL, lorsqu’elle est due, expose les faits disponibles et les limites, puis reçoit les compléments sans autre retard indu. Si le risque élevé pour les personnes est établi, l’information exigée par l’Art. 34 RGPD intervient dans les meilleurs délais, sous les conditions et exceptions de cet article ; elle n’attend pas automatiquement le rapport technique final.

Après l’urgence, reprenez le contrat de sous-traitance : contacts obsolètes, absence d’inventaire, assistance insuffisante ou impossibilité de préciser les opérations révèlent des points à corriger. L’examen des garanties et de la poursuite du service reste distinct de la qualification de l’incident déjà survenu.

Ce qu’il faut retenir

• Demandez des faits rattachés à votre traitement, avec leur source et leurs limites.
• Soixante-douze heures n’est pas un délai d’attente général accordé au sous-traitant.
• Séparez confinement, copies éventuelles et conséquences pour les personnes.
• Conservez chaque décision avec les informations connues à ce moment-là.

FAQ

Peut-on laisser le prestataire notifier à notre place ?

Il peut agir pour votre compte selon le mandat organisé, mais cela ne retire pas vos obligations. Conservez la maîtrise de la décision et vérifiez le contenu transmis ainsi que la preuve de notification. La CNIL décrit cette possibilité et ses limites.

Le secret de l’enquête justifie-t-il de ne rien recevoir ?

Une limite précise peut nécessiter un échange adapté, mais une formule générale ne permet pas de remplir vos obligations. Demandez au minimum les faits utilisables, les éléments temporairement indisponibles et la raison de cette limite, puis documentez vos démarches et décisions.

Faut-il attendre le nombre exact de personnes ?

Non. L’Art. 33(3) prévoit des nombres approximatifs lorsque c’est possible. Décrivez l’unité et la méthode : demandes, comptes et personnes ne sont pas interchangeables. Une estimation corrigée doit être expliquée dans les compléments utiles.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.