Perte de papier : évaluer une violation de données

Une pochette disparaît entre deux rendez-vous. Avant de conclure « aucun piratage, donc aucun incident RGPD », il faut reconstituer son contenu et son parcours. Des feuilles lisibles peuvent exposer des personnes ; la perte de l’unique exemplaire peut aussi empêcher une prestation ou la prise en compte d’une instruction importante.

La première réaction combine recherche du support, protection des personnes et analyse des obligations. Attendre de savoir si la pochette a été volée ou seulement oubliée n’est pas une méthode de gestion de l’incident.

Le papier entre-t-il dans le champ du RGPD ?

L’Art. 2(1) vise les traitements automatisés, mais également les traitements non automatisés de données contenues ou appelées à figurer dans un fichier. L’Art. 4(6) définit ce fichier par son organisation et l’accessibilité des données selon des critères déterminés. Un ensemble de dossiers classés par client n’échappe donc pas au règlement parce qu’il est rangé dans une armoire. Source : RGPD, Art. 2(1) et 4(6).

La perte d’impressions issues d’un logiciel métier doit aussi être examinée dans le traitement dont elles proviennent. Inversement, la seule présence d’une feuille ne suffit pas à conclure que toute note privée relève nécessairement du RGPD. Identifiez l’organisme, l’activité et l’organisation réelle des données.

Le droit d’accès aux archives papier repose sur cette même nécessité de retrouver les informations. Lors d’une perte, le classement, un bordereau ou les traces de préparation servent à reconstruire le contenu : ils ne sont pas seulement utiles lors d’une demande d’accès.

Première question : qu’est-ce qui a effectivement disparu ?

« Un dossier » peut désigner une chemise vide, dix fiches ou un original irremplaçable. Cherchez le contenu à partir des faits disponibles : documents imprimés, rendez-vous prévus, bordereau de remise, souvenir précis du transporteur. Distinguez ce qui était certainement présent de ce qui aurait pu l’être.

Comptez séparément les pièces et les personnes. Une fiche peut concerner un client, son conjoint et un salarié intervenant ; dix pages peuvent concerner une seule personne. Si le nombre reste incertain, expliquez l’unité connue et la méthode de vérification, sans remplacer l’inconnu par zéro.

Recensez aussi les informations visibles à l’extérieur : noms sur des intercalaires, adresse sur une étiquette, identité de l’établissement. Une enveloppe fermée peut masquer les pages sans masquer tous les renseignements. Elle ne constitue pas l’équivalent d’un chiffrement des données.

Deuxième question : quelles conséquences pour les personnes ?

L’Art. 4(12) couvre notamment la perte, l’altération, la destruction et la divulgation non autorisée de données. Il n’est donc pas nécessaire de disposer d’une preuve de lecture par un tiers pour qualifier la perte d’un support contenant des données personnelles. Source : RGPD, Art. 4(12).

Examinez trois dimensions. La confidentialité concerne ce qu’un tiers pourrait apprendre ou exploiter. La disponibilité concerne l’impossibilité d’utiliser les données au moment nécessaire. L’intégrité concerne leur exactitude : une reconstitution approximative peut introduire une erreur dans un dossier pourtant « restauré ».

Une copie numérique complète réduit certains risques d’indisponibilité. Elle ne fait pas disparaître le risque lié aux feuilles égarées. À l’inverse, retrouver la pochette ne répare pas nécessairement une échéance manquée pendant sa disparition.

Les critères d’analyse incluent la nature des informations, les personnes concernées, les conséquences possibles et les circonstances. Le volume n’est pas un barème de gravité. Deux fiches peuvent exposer davantage que cent documents contenant des informations ordinaires déjà connues de leurs destinataires. Source : CNIL, appréciation du risque d’une violation.

Dossier P08 : huit fiches, deux risques différents

Cet exemple est fictif. Un réparateur d’équipements domestiques perd dans un lieu public une pochette contenant huit fiches d’intervention. Chacune concerne un client distinct et comporte son nom, son adresse, son téléphone et l’horaire du rendez-vous. Deux clients ont également confié un code d’accès temporaire au logement et une période d’absence pour permettre l’intervention.

La licéité et la nécessité de ce dispositif d’accès sont supposées préalablement examinées pour l’exercice ; l’exemple ne recommande pas de collecter ces codes dans toutes les activités. Il montre le risque supplémentaire créé lorsqu’une même pièce associe adresse, absence et accès au logement.

À 14 heures, le salarié constate la perte et prévient la responsable. Le bordereau permet d’établir le contenu à 14 h 10. Le logiciel contient les huit fiches initiales, mais quatre feuilles comportaient des annotations manuscrites ajoutées après impression. L’équipe ne prétend donc pas disposer de huit copies intégralement à jour.

La recherche commence immédiatement : dernier lieu connu, accueil du bâtiment, véhicule et parcours. Le message de recherche décrit une pochette et donne un contact professionnel ; il ne diffuse ni les noms des clients ni les codes perdus. L’entreprise conserve les heures et les réponses utiles, sans publier le contenu du lot pour faciliter sa récupération.

Une fiche de décision renseignée pour P08

Le risque élevé résulte ici de la combinaison des faits et de la possibilité d’accès au domicile. Il n’est pas déduit automatiquement du seul numéro de téléphone ou de la seule présence d’une adresse. Les codes ne deviennent pas des données de santé ou une autre catégorie de l’Art. 9 parce qu’ils demandent une forte confidentialité.

Pour les quatre annotations manquantes, l’entreprise suspend l’utilisation des informations incertaines. Elle demande uniquement les précisions nécessaires, puis rapproche la réponse du bon dossier. Elle ne sollicite pas un nouveau dossier complet lorsque seule une instruction d’intervention manque.

Notifier et informer sans attendre le résultat des recherches

Le responsable documente toute violation. Il la notifie à l’autorité compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Si le délai est dépassé, les motifs du retard accompagnent la notification. Source : RGPD, Art. 33(1) et 33(5).

Dans P08, le fait confirmé et le contenu permettent d’agir sans attendre une éventuelle restitution. Les heures illustratives ne créent pas un délai supplémentaire de recherche. Le responsable établit sa prise de connaissance à partir de la chronologie réelle ; une réunion tardive ne remet pas le compteur à zéro.

L’information des personnes est requise dans les meilleurs délais en cas de risque élevé, sous réserve des conditions de l’Art. 34(3). Elle doit décrire clairement la nature de la violation, les conséquences probables, les mesures et un contact. Source : RGPD, Art. 34(1) à (3).

Dans P08, les deux clients sont contactés par le canal vérifié. Le message explique l’exposition de leurs informations d’accès et la nécessité de les neutraliser avec l’intervenant compétent. Il ne répète pas le code compromis. L’entreprise ne leur promet pas l’absence d’intrusion ; elle suit la mesure prise et les difficultés éventuelles. La notification à l’autorité porte sur la violation dans son ensemble, avec cette analyse différenciée.

Si toutes les informations ne peuvent être fournies simultanément, l’Art. 33(4) autorise une communication échelonnée sans autre retard indu. Une liste encore incomplète ou des réponses attendues doivent être signalées, plutôt que masquer la violation jusqu’à la clôture de l’enquête. Source : RGPD, Art. 33(3) et 33(4).

La pochette est retrouvée : qu’est-ce que cela change ?

Le lendemain, dans la suite fictive de P08, l’accueil remet la pochette. Les huit fiches sont présentes, mais personne ne peut établir qui y a eu accès pendant la période de perte. Le contrôle matériel résout la localisation des feuilles ; il ne démontre pas l’absence de photographie ou de copie.

La responsable rapproche les quatre annotations retrouvées des instructions reconfirmées. Elle conserve leur historique et résout les éventuelles divergences avant de reprendre la prestation. Le dossier d’incident est complété avec la récupération et les mesures de protection des deux domiciles. Les décisions antérieures ne sont pas supprimées du journal.

Une autre situation pourrait conduire à une appréciation différente : une chemise localisée immédiatement dans une armoire contrôlée, restée accessible aux seules personnes habilitées, ne présente pas les mêmes faits qu’une perte dans un espace public. Il faut établir ce parcours, pas simplement préférer l’explication la plus rassurante.

La récupération ne neutralise pas rétroactivement une obligation de notification déjà née. Elle peut toutefois modifier l’évaluation présente, les suites à donner ou le contenu d’un complément. Le registre des violations garde les versions successives et les raisons de ces évolutions.

Corriger le circuit physique qui a permis la perte

La mesure utile dépend de la cause. Dans P08, l’entreprise sépare les informations d’accès des fiches transportées et limite les documents emportés aux interventions nécessaires. Elle organise la remise, le rangement et le retour des feuilles. Un rappel général à la vigilance ne vérifie pas que le nouveau circuit fonctionne.

Attribuez les contrôles : qui prépare le lot, qui le reçoit, qui constate son retour et qui signale un manque ? Les éléments de suivi peuvent utiliser des références internes pour éviter d’exposer inutilement les clients sur le bordereau extérieur. Ces choix concrétisent une sécurité adaptée au risque, sans imposer partout le même contenant ou registre. Source : RGPD, Art. 32(1) et 32(2).

Le guide des imprimantes partagées complète le contrôle entre impression et retrait. Numériser les pièces peut être pertinent, mais crée des accès, des appareils et des copies à maîtriser. Le changement de support ne remplace pas la décision sur les informations réellement nécessaires.

Ce qu’il faut retenir

• Reconstituez les pièces, les personnes et le parcours sans diffuser leur contenu.
• Distinguez exposition, indisponibilité et erreurs possibles de reconstitution.
• Décidez selon les risques concrets, sans attendre une preuve de lecture.
• Une récupération complète le dossier ; elle n’efface pas la chronologie.

FAQ

Faut-il une preuve de vol pour traiter l’incident ?

Non. La perte de données peut constituer une violation. Le doute sur l’auteur ou le lieu exact ne dispense pas d’examiner les faits et les risques.

Une copie numérique supprime-t-elle le risque ?

Elle peut préserver la disponibilité si elle est complète et fiable. Elle ne rend pas illisibles les feuilles perdues et ne démontre pas l’absence de divulgation.

Toutes les pertes imposent-elles d’informer les personnes ?

L’information de l’Art. 34 dépend du risque élevé et de ses conditions. La documentation interne reste nécessaire pour toute violation caractérisée, même lorsque l’analyse ne conduit pas à informer les personnes.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.