Notifier une violation de données personnelles
Qualifier, décider, notifier dans les délais : la procédure de réponse à un incident.
Qualifier, décider, notifier dans les délais : la procédure de réponse à un incident.
Réagir à un incident est le quatrième temps d'une démarche de protection des données personnelles. C'est celui où l'on dispose du moins de temps : le RGPD fixe un délai de 72 heures. Anticiper la procédure — savoir qui qualifie, qui décide, qui rédige — est ce qui permet de tenir ce délai sans improviser.
L'article 4-12 définit la violation comme une atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à celles-ci. Trois catégories se distinguent : atteinte à la confidentialité (accès ou divulgation non autorisés), à l'intégrité (altération non autorisée), à la disponibilité (perte d'accès ou destruction). Un rançongiciel relève de la disponibilité, et souvent aussi de la confidentialité si les données ont été exfiltrées ; un courriel envoyé au mauvais destinataire, un ordinateur portable volé, une erreur de configuration exposant une base de données sont autant de violations.
La prise de connaissance déclenche le compte à rebours. Elle peut venir d'un outil de sécurité, d'un salarié, d'un prestataire — qui doit vous alerter sans délai au titre du contrat de sous-traitance — ou d'un tiers. Dès l'alerte, il faut établir les faits : quelles données, combien de personnes, quelle nature d'atteinte, l'incident est-il toujours en cours, des mesures d'endiguement ont-elles été prises. Cette qualification initiale peut être imparfaite : le RGPD admet une notification en plusieurs temps, complétée à mesure que l'analyse progresse.
Le premier réflexe utile n'est pas la notification mais l'endiguement : isoler un poste compromis, révoquer un accès, changer un mot de passe exposé, suspendre un export automatique. On documente chaque action et son horaire, car cette chronologie sera demandée dans la notification et servira à l'analyse ultérieure.
Les 72 heures sont impossibles à tenir si tout se décide au moment de l'incident. Il faut avoir défini, à froid : qui reçoit et enregistre les alertes, qui est habilité à qualifier une violation, qui décide des notifications, qui les rédige, et qui est le point de contact vis-à-vis de la CNIL et des personnes. Un modèle de fiche d'incident, un modèle de notification et l'accès au téléservice de la CNIL sont préparés en amont. Cette procédure est testée au moins une fois, par un exercice sur un scénario réaliste, pour vérifier que les délais internes sont compatibles avec le délai légal.
Lorsqu'une violation survient chez un sous-traitant, celui-ci n'a pas à notifier la CNIL à votre place : il doit vous informer sans délai injustifié, afin que vous puissiez respecter votre propre délai. Le contrat de l'article 28 doit donc fixer un délai d'alerte précis — quelques heures à un jour ouvré — et la liste des informations à transmettre. Un prestataire qui découvre l'incident et vous prévient une semaine plus tard vous met en défaut ; c'est un point à verrouiller avant la signature, développé sur la page encadrer ses sous-traitants.
Un salarié envoie par erreur un tableau de coordonnées de clients à un mauvais destinataire externe : violation de confidentialité, risque à apprécier selon la nature des données et la possibilité de récupération ; souvent notifiable à la CNIL, information des personnes selon la sensibilité. Un ordinateur portable est volé, mais son disque est chiffré et la session verrouillée : violation, mais le risque peut être écarté si le chiffrement est robuste et les identifiants non compromis ; inscription au registre sans notification. Un rançongiciel chiffre les serveurs et une note revendique une exfiltration : violation d'intégrité, de disponibilité et probablement de confidentialité ; notification à la CNIL, et information des personnes si le risque est élevé.
Deux seuils commandent les obligations. Premier seuil : la violation est-elle susceptible d'engendrer un risque pour les droits et libertés des personnes ? Si oui, elle doit être notifiée à la CNIL. Si le risque peut être écarté — par exemple des données déjà chiffrées de manière robuste, dont les clés n'ont pas été compromises —, la notification à la CNIL n'est pas requise, mais l'événement est inscrit au registre interne. Second seuil : le risque est-il élevé ? Si oui, les personnes concernées doivent être informées en plus de la CNIL.
La notification à la CNIL intervient dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance. Au-delà, elle doit être accompagnée d'une justification du retard. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier et en atténuer les effets, ainsi que les coordonnées du DPO ou du point de contact. La notification se fait via le téléservice de la CNIL. Si toutes les informations ne sont pas disponibles à 72 heures, on notifie ce que l'on sait et on complète ensuite.
Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées sont informées dans les meilleurs délais, dans un langage clair : nature de la violation, conséquences probables, mesures prises, recommandations pour se protéger (changer un mot de passe, surveiller ses comptes, se méfier de sollicitations frauduleuses), et coordonnées d'un contact. L'information individuelle peut être remplacée par une communication publique si elle exige des efforts disproportionnés. Elle n'est pas requise si les données étaient protégées de façon à rendre leur exploitation impossible, ou si des mesures ultérieures écartent le risque élevé.
Toutes les violations, y compris celles qui ne sont notifiées ni à la CNIL ni aux personnes, sont consignées dans un registre interne : description de l'incident, effets, mesures prises, et justification des décisions de notification ou d'absence de notification. Ce registre doit pouvoir être présenté à la CNIL ; il est aussi la mémoire qui permet de détecter des incidents récurrents et d'ajuster les mesures.
Plusieurs réflexes courants nuisent à la gestion d'une violation. Attendre d'avoir toutes les informations avant de notifier, alors qu'une notification initiale complétée ensuite est prévue par les textes. Sous-estimer une « petite » fuite interne, qui peut engendrer un risque réel d'usurpation. Communiquer aux personnes avant d'avoir endigué l'incident, ce qui expose à devoir se corriger publiquement. Détruire des traces techniques utiles à l'analyse en voulant « nettoyer » au plus vite. Enfin, ne rien inscrire au registre quand on décide de ne pas notifier : cette décision doit elle aussi être motivée et conservée.
Une fois la crise passée, une analyse à froid identifie la cause première et les mesures correctives durables : correctif technique, révision d'une procédure, renforcement d'une sensibilisation, ajustement d'un contrat de sous-traitance. La violation alimente en retour la cartographie du risque, dont elle révèle souvent un angle mort, et peut justifier de revoir les mesures techniques concernées.
Face à une violation, la séquence est toujours détecter, qualifier, décider des notifications, documenter. Le délai de 72 heures pour la CNIL se tient à condition d'avoir préparé la procédure à l'avance. Le meilleur moyen de limiter le nombre et la gravité des violations reste le déploiement de mesures techniques de sécurité proportionnées et l'encadrement des sous-traitants.