Violations de données à caractère personnel : faites avancer la décision de notification

Une violation de données à caractère personnel crée deux chantiers parallèles : contenir l’incident et décider de ce qui doit être communiqué. Aucun des deux ne doit attendre que l’autre soit terminé. Les ingénieurs peuvent encore être en train de reconstituer les journaux d’accès alors que le responsable du traitement dispose déjà d’assez d’informations pour apprécier la nécessité d’une notification.

La difficulté pratique consiste à faire avancer cette décision sans présenter des hypothèses comme des faits. Un processus de réponse utile consigne la prise de connaissance, produit un socle minimal de preuves fiables, attribue la responsabilité de la décision et met à jour l’évaluation à mesure que les constats évoluent. Du point de vue d’un directeur technique, le livrable essentiel n’est pas une investigation forensique achevée en 72 heures. C’est une décision prise en temps utile, défendable, étayée par des preuves techniques, avec une responsabilité claire sur les questions encore ouvertes.

Reconnaître la violation avant de débattre de la notification

Une violation de données à caractère personnel ne se limite pas au vol de données. L’article 4, point 12, du RGPD vise une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données.

Trois dimensions comptent :

Un même événement peut toucher les trois. Un rançongiciel peut interrompre l’accès, corrompre des enregistrements et exposer des informations. Restaurer une sauvegarde ne traite qu’une partie de cet incident.

Un courriel mal adressé et une attaque par rançongiciel peuvent donc tous deux exiger une évaluation documentée, même si les investigations diffèrent. À l’inverse, une attaque infructueuse qui n’a pas compromis de données à caractère personnel n’est pas automatiquement une violation de données à caractère personnel. Elle peut néanmoins exiger une investigation de sécurité et une notification au titre d’un autre régime.

Commencez par établir si des données à caractère personnel ont été touchées, et non si quelqu’un s’est plaint ou si un préjudice financier est survenu. Les noms, les identifiants de compte, les dossiers des salariés, les identifiants d’appareils et des combinaisons d’informations apparemment anodines peuvent constituer des données à caractère personnel. Des enregistrements pseudonymisés peuvent rester des données à caractère personnel lorsque les personnes restent identifiables.

Pour les incidents de disponibilité, examinez les conséquences plutôt que d’utiliser une durée d’interruption fixe comme raccourci. Perdre l’accès à un dossier de rendez-vous pendant un traitement urgent n’a rien à voir avec l’interruption brève de l’accès à une liste archivée d’abonnés à une lettre d’information.

Établir la prise de connaissance et désigner le responsable de la décision

En vertu de l’article 33 du RGPD, le responsable du traitement notifie la violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques.

Le délai ne commence pas automatiquement au début de l’attaque sous-jacente. Il n’attend pas non plus un rapport forensique final ou l’approbation de la direction. Dans les lignes directrices des autorités de contrôle, la prise de connaissance s’entend comme le fait d’avoir un degré raisonnable de certitude qu’un incident de sécurité s’est produit et a compromis des données à caractère personnel. Une investigation initiale peut établir cette certitude ; elle ne doit pas devenir un moyen de différer la responsabilité.

Distinguez trois horodatages :

• Survenance : le moment où l’incident s’est produit, s’il est connu.
• Détection : le moment où quelqu’un a observé ou signalé pour la première fois un incident possible.
• Prise de connaissance : le moment où l’organisation a eu une certitude suffisante que des données à caractère personnel étaient compromises.

Consignez les éléments qui étayent la prise de connaissance. Si un horodatage est contesté, conservez les interprétations concurrentes et leur fondement plutôt que de remplacer discrètement l’entrée précédente. Les retards d’escalade interne doivent être visibles, et non servir à supposer que la prise de connaissance n’a commencé qu’au moment où l’équipe de protection des données ou la direction a reçu le signalement.

Soixante-douze heures signifient des heures écoulées, week-ends et jours fériés compris. Il s’agit d’une limite extérieure lorsque c’est possible, et non d’une autorisation d’attendre si la notification peut intervenir plus tôt.

Désignez un coordinateur d’incident chargé de tenir la chronologie et la liste des questions en suspens. Les responsables techniques établissent les faits ; l’expertise en protection des données évalue les conséquences et les exigences légales ; un représentant habilité du responsable du traitement porte la décision de notification. Lorsqu’un délégué à la protection des données (DPD) est désigné, associez-le rapidement dans son rôle indépendant de conseil et de contrôle. Ne faites pas du DPD le responsable du confinement et ne supposez pas qu’il se substitue à la responsabilité du responsable du traitement.

Désignez des suppléants. Un processus qui dépend de la disponibilité d’un seul dirigeant n’est pas un processus opérationnel en dehors des heures de bureau.

Produire, dans les premières heures, un dossier de preuves permettant de décider

Le confinement et la préservation des preuves doivent avancer ensemble. Déconnecter un poste compromis peut être approprié, mais l’effacer avant d’avoir collecté les preuves pertinentes peut détruire la base permettant d’évaluer l’accès et l’étendue. À l’inverse, préserver chaque élément n’est pas une raison de laisser une divulgation en cours sans confinement.

Ce qui suit est une séquence de réponse pratique, et non un calendrier légal.

Stabiliser l’incident

Révoquez les sessions ou identifiants exposés, restreignez les droits dangereux, isolez les composants concernés lorsque c’est approprié et arrêtez les transferts mal dirigés en cours. Consignez chaque action, son heure et son effet attendu. Préservez les journaux pertinents, les instantanés de configuration, les en-têtes de messages et les autres éléments volatils avant que les limites de conservation ou les travaux de reprise ne les fassent disparaître.

Restreignez l’accès aux preuves de l’incident. Une investigation sur une violation peut elle-même créer des ensembles sensibles : pièces d’identité, messages de salariés, données d’authentification ou listes de clients concernés. Utilisez un emplacement de preuves approuvé plutôt que de transférer des enregistrements bruts dans une messagerie d’incident largement ouverte.

Constituer le dossier factuel minimal

Remettez aux réviseurs chargés de la protection des données un exposé court et structuré comprenant :

• Ce qui s’est passé, et les observations qui le confirment.
• Les systèmes, services et prestataires responsables concernés.
• Les catégories de données à caractère personnel et les catégories de personnes concernées.
• Le nombre approximatif de personnes et d’enregistrements, avec la méthode de comptage.
• La période d’exposition, les destinataires connus et les voies d’accès possibles.
• Les protections pertinentes, y compris le chiffrement et l’accès aux clés.
• Les conséquences connues ou plausibles pour les personnes.
• Les mesures déjà prises et les questions encore non résolues.

Séparez les faits confirmés, les estimations étayées et les hypothèses. « Aucun événement d’export n’apparaît dans le journal d’audit disponible » est plus restreint que « aucune donnée n’a été consultée ». Indiquez la couverture des journaux et les lacunes de conservation afin que les réviseurs comprennent ce que les preuves ne permettent pas d’établir.

Tenir une file de questions

Attribuez à chaque question non résolue un responsable et une prochaine échéance de revue. Donnez la priorité aux questions susceptibles de modifier la décision : un objet exposé contenait-il des données à caractère personnel, un attaquant a-t-il eu accès aux clés de chiffrement, des enregistrements indisponibles ont-ils affecté des services essentiels ?

D’autres questions, comme la technique d’exploitation initiale précise, peuvent compter beaucoup pour la remédiation sans être nécessaires à la première notification. Garder ces pistes séparées évite que la curiosité technique ne retarde l’action juridique.

Un inventaire à jour des systèmes et des données accélère ce travail. L’article sur la découverte des données pour la protection des données fournit le contexte nécessaire pour traduire « service de stockage compromis » en catégories de données, finalités de traitement et populations concernées identifiables.

Évaluer le préjudice pour les personnes, pas seulement l’impact pour l’entreprise

L’exception de l’article 33 s’applique lorsque le risque pour les droits et libertés est improbable. Ce n’est pas une règle selon laquelle seules les violations de grande ampleur, les catégories particulières de données ou les préjudices avérés doivent être notifiés.

Évaluez à la fois la probabilité et la gravité des conséquences possibles. Une petite divulgation peut être grave, tandis qu’un incident plus étendu peut bénéficier de protections efficaces qui réduisent sensiblement le risque. Documentez pourquoi les circonstances étayent la conclusion.

Examinez ensemble ces dimensions :

Le chiffrement exige un examen technique. Un disque chiffré au repos ne protège pas nécessairement des informations consultées par l’intermédiaire d’un compte applicatif compromis. Établissez la couche de chiffrement, la séparation des clés, les droits de l’attaquant et si des données en clair exploitables étaient disponibles. Le même raisonnement s’applique aux identifiants hachés : leur protection dépend de la méthode et des circonstances, et non de l’étiquette « haché ». Voir l’article sur le chiffrement et la gestion des clés.

Une confirmation de suppression par le destinataire peut être pertinente, en particulier pour une divulgation accidentelle à un destinataire connu et coopératif. Ce n’est pas une preuve universelle que le risque a disparu. Examinez si le contenu a été consulté, copié, transféré ou rendu accessible par un autre canal.

Évitez de transformer un score de risque numérique en conclusion juridique automatique. Une matrice de notation peut rendre le raisonnement cohérent, mais les réviseurs doivent toujours expliquer les conséquences réelles et les incertitudes. L’indisponibilité de l’activité, la perte de chiffre d’affaires et l’atteinte à la réputation de l’organisation relèvent de la gestion opérationnelle des incidents ; elles ne remplacent pas l’évaluation des effets sur les personnes.

Réévaluez lorsque de nouveaux faits apparaissent. La découverte de pièces jointes sensibles ou d’un accès de l’attaquant aux clés peut modifier une décision de non-notification initialement raisonnable.

Prendre deux décisions de communication distinctes

La notification à l’autorité et la communication aux personnes concernées obéissent à des seuils différents. Consignez explicitement les deux décisions, y compris lorsqu’aucune n’est requise.

Notifier avec ce que l’on sait

L’article 33 exige que la notification décrive la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés. Elle doit aussi communiquer le nom et les coordonnées du DPD ou d’un autre point de contact, décrire les conséquences probables et décrire les mesures prises ou proposées, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

N’attendez pas des chiffres exacts si des estimations fiables, assorties de réserves claires, sont disponibles. L’article 33, paragraphe 4, permet de communiquer les informations de manière échelonnée lorsqu’il n’est pas possible de les fournir en même temps, sans autre retard indu. Conservez une copie de la soumission, l’accusé de réception, le numéro de référence et la liste des mises à jour promises.

Si la notification intervient au-delà de 72 heures, indiquez les motifs du retard. Le dépassement du délai ne supprime pas l’obligation. Expliquez la chronologie réelle plutôt que d’avancer une formule générique selon laquelle l’investigation était complexe.

Confirmez tôt l’autorité compétente et le canal de notification, en particulier pour les traitements transfrontaliers. Ne supposez pas que l’autorité du lieu où se trouve le serveur est le bon destinataire.

Communiquer lorsqu’un risque élevé est probable

L’article 34 du RGPD exige une communication aux personnes concernées, dans les meilleurs délais et en des termes clairs et simples, lorsqu’un risque élevé est probable. Son contenu comprend la nature de la violation, les coordonnées d’un point de contact, les conséquences probables et les mesures pertinentes.

Expliquez ce que les personnes peuvent faire : par exemple, changer un mot de passe concerné, refuser des instructions de paiement suspectes ou utiliser un canal d’assistance vérifié. Ne laissez pas entendre que ces conseils de précaution leur transfèrent la responsabilité.

L’article 34 prévoit des exceptions lorsque des mesures efficaces rendent les données incompréhensibles pour toute personne non autorisée, lorsque des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se matérialiser, et lorsque la communication exigerait des efforts disproportionnés. Cette dernière exception impose une communication publique ou une mesure similaire tout aussi efficace ; elle n’autorise pas le silence. L’autorité peut exiger la communication ou apprécier si une exception s’applique.

Gérer les incidents chez un sous-traitant sans perdre la maîtrise de l’évaluation

Un sous-traitant doit informer le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel. Il ne doit pas attendre d’avoir lui-même conclu qu’une notification à l’autorité de contrôle est nécessaire. L’évaluation du responsable du traitement ne doit pas être remplacée par l’étiquette « risque faible » d’un fournisseur.

Demandez les éléments pertinents pour votre traitement : locataire ou compte concerné, catégories de données, période d’exposition, preuves d’accès, protections, confinement et questions non résolues. Une déclaration d’incident à l’échelle du prestataire peut ne pas établir lesquels de vos enregistrements ont été touchés.

Le retard d’un fournisseur ne consomme pas mécaniquement le délai de 72 heures du responsable du traitement avant que celui-ci n’ait pris connaissance de la violation. Il peut néanmoins retarder les mesures de protection, brouiller la chronologie et soulever des questions sur le respect des obligations du sous-traitant. Consignez le moment où le fournisseur a détecté l’incident, celui où il en a pris connaissance et celui où il vous a informé.

À titre de recommandation contractuelle pratique, précisez les contacts opérationnels, un premier avis rapide, les informations minimales, des mises à jour continues et l’assistance à l’investigation et aux communications. Ces dispositions doivent compléter, et non remplacer, les exigences de l’article 28.

Lorsque votre organisation est à la fois sous-traitant pour ses clients et responsable du traitement pour les données de ses salariés, prenez des décisions distinctes selon le rôle. Un même incident technique peut exiger des avis aux clients dans une qualité et une évaluation au regard de l’autorité de contrôle dans une autre.

Conserver une trace des décisions qui survit à l’incident

L’article 33, paragraphe 5, impose de documenter les violations de données à caractère personnel, en indiquant les faits concernant la violation, ses effets et les mesures prises pour y remédier, afin de permettre à l’autorité de contrôle de vérifier le respect du règlement. Cela inclut les violations qui n’ont pas été notifiées.

Un dossier d’incident utile contient :

• L’identifiant de l’incident, son périmètre, le coordinateur et le rôle dans le traitement.
• Les horodatages de survenance, de détection, de prise de connaissance et d’escalade.
• Les références des preuves et les limites de la télémétrie disponible.
• L’évaluation des risques, le réviseur, le responsable de la décision et les heures de décision.
• Des conclusions distinctes sur la notification à l’autorité et sur la communication aux personnes.
• Les communications soumises, les accusés de réception et les mises à jour ultérieures.
• Les actions de confinement, de reprise et de prévention, avec leurs responsables.
• La revue de clôture et les raisons de toute incertitude résiduelle.

En cas de non-notification, rédigez le raisonnement, et pas seulement « sous le seuil ». Identifiez les faits qui expliquent pourquoi le risque était improbable et quels éléments déclencheraient une réévaluation.

Conservez les évaluations successives. Une conclusion précoce peut avoir été raisonnable au regard des preuves disponibles, même si des constats ultérieurs la modifient. Écraser la version antérieure masque cette chronologie.

Définissez délibérément les règles d’accès et de conservation. L’article 33 ne prévoit pas de durée de conservation universelle pour les dossiers de violation. Choisissez un calendrier justifié au regard de la responsabilité, des obligations applicables et de la minimisation des données. Lorsque c’est possible, conservez des références aux preuves plutôt que de dupliquer de vastes jeux de données personnelles.

La notification ne protège pas de tout examen. Les autorités peuvent demander des éclaircissements et examiner les mesures de sécurité ou d’autres obligations. De même, évitez de faire de la notification une raison de différer le confinement dans l’attente d’instructions réglementaires.

Exemple concret : un export de recrutement exposé

Cet exemple est illustratif ; ses horaires et ses chiffres sont des hypothèses, et non des résultats constatés.

Supposons qu’une organisation découvre un vendredi à 16 h 00 qu’un export de recrutement pourrait être accessible par un lien de stockage public. Le fichier contient les noms, coordonnées et notes de candidature de 240 candidats, ainsi que certaines pièces jointes. À 16 h 20, un ingénieur confirme l’accès sans authentification et vérifie que le fichier contient des données à caractère personnel. Le coordinateur consigne 16 h 20 comme moment étayé de prise de connaissance. Le repère des 72 heures tombe le lundi à 16 h 20, même si la notification doit toujours intervenir dans les meilleurs délais.

À 16 h 35, l’équipe a supprimé l’accès public et préservé l’historique de configuration ainsi que les journaux d’accès disponibles. Ces journaux ne couvrent qu’une partie de la période d’exposition. L’équipe ne peut pas raisonnablement conclure que personne n’a accédé au fichier.

La première évaluation identifie un risque d’hameçonnage ciblé et de divulgation d’intentions professionnelles confidentielles. Le contenu des pièces jointes reste incertain. Les réviseurs chargés de la protection des données et le responsable de la décision concluent que le risque n’est pas improbable ; une notification à l’autorité de contrôle est donc requise. Ils évaluent séparément si un risque élevé est probable ; le nombre de candidats ne suffit pas à répondre à cette question.

La notification initiale décrit l’exposition confirmée, l’étendue approximative, la couverture incomplète des journaux, les conséquences connues et le confinement. Elle indique que l’examen des pièces jointes se poursuit et désigne la personne chargée de fournir les mises à jour.

Le samedi, l’examen révèle qu’une partie des pièces jointes contient des informations de santé. L’équipe revoit l’évaluation du risque élevé et conclut qu’une communication est requise pour ce groupe de personnes concernées. Les messages décrivent l’exposition pertinente et des précautions pratiques sans révéler d’informations sur les autres candidats.

Le dossier final conserve les deux évaluations, les preuves à l’appui, les accusés de réception des soumissions et les tâches correctives. Le suivi comprend des contrôles d’approbation des exports, la prévention de l’accès public, une journalisation appropriée et des tests vérifiant que les fichiers de recrutement ne sont plus accessibles publiquement.

L’enseignement est opérationnel : l’incertitude sur le contenu des pièces jointes n’a pas empêché une notification initiale, et des constats ultérieurs ont modifié la décision de communication aux personnes sans invalider l’évaluation antérieure fondée sur les preuves.

Suivre les autres obligations de notification sur la même chronologie

Un même incident peut déclencher des notifications au titre du RGPD, de contrats, de réglementations sectorielles et de la cybersécurité. Utilisez une chronologie factuelle unique, mais séparez les évaluations par obligation, les destinataires, les responsables et les délais.

L’article 23 de NIS2 traite des incidents importants pour les entités concernées, que des données à caractère personnel soient en jeu ou non. Son dispositif de notification à l’échelle de l’UE comprend une alerte précoce sous 24 heures, une notification d’incident sous 72 heures et, en général, un rapport final dans un délai d’un mois après la notification. NIS2 est mise en œuvre par le droit national : vérifiez l’applicabilité, les procédures nationales et les règles sectorielles pertinentes plutôt que de supposer que toute organisation est soumise à ces obligations.

Pour les entités financières concernées, DORA peut prévoir des exigences sectorielles. Ne dupliquez pas automatiquement les notifications et ne considérez pas qu’une seule soumission satisfait à tous les régimes.

Un avis contractuel aux clients peut aussi être requis même lorsqu’une notification à l’autorité de contrôle ne l’est pas. Tenez une matrice des notifications identifiant, pour chaque obligation applicable, la source, le déclencheur, le destinataire, le responsable, la voie de soumission et la preuve d’exécution.

Préparer les passages de relais avant le prochain incident

Un test de préparation pratique consiste à organiser un exercice un vendredi après-midi à partir d’un courriel mal adressé, d’un prestataire compromis ou d’un scénario de rançongiciel. Demandez aux participants de produire le premier dossier factuel et l’enregistrement de décision réels, et pas simplement de décrire la politique.

Vérifiez si l’équipe peut :

• Joindre le coordinateur, le conseiller en protection des données, le responsable de la décision et les suppléants.
• Identifier les données et les prestataires concernés à partir des inventaires existants.
• Préserver les journaux avant que la restauration ou les limites de conservation ne les suppriment.
• Accéder au bon canal de notification de l’autorité.
• Rédiger une notification échelonnée en signalant clairement les inconnues.
• Communiquer de manière sécurisée avec les clients et les personnes concernées.
• Consigner une décision de non-notification et planifier une réévaluation.

Lorsqu’une réponse dépend de la recherche d’une personne inconnue ou de la récupération d’identifiants inaccessibles, créez une tâche de préparation. Les responsabilités du RSSI et du DPD doivent être suffisamment claires pour que l’établissement des faits techniques et le conseil indépendant en protection des données puissent avancer ensemble.

Secani peut soutenir le dossier de conformité vérifiable qui entoure ce travail. Modélisez les systèmes et prestataires concernés comme objets cibles, reliez les preuves aux exigences et décisions pertinentes et attribuez des responsables aux tâches de suivi. Ses processus de preuves reliées et de revue prennent en charge les liens vers les sources, les commentaires, les validations et les horodatages. Traitez les synthèses assistées par l’IA comme des brouillons nécessitant une revue humaine ; gardez le confinement et l’investigation forensique dans les systèmes opérationnels et reliez leurs preuves à la trace des décisions.

Questions qui se posent pendant la réponse

Pouvons-nous attendre une confirmation de suppression avant de décider ?

Demandez-la rapidement, mais poursuivez l’évaluation en parallèle. Sa portée dépend du destinataire, du contenu et des accès ultérieurs possibles. Une demande restée sans réponse ne prouve pas que l’exposition a pris fin.

Que faire si le portail de notification est indisponible ?

Consignez les tentatives et recherchez le canal de contact alternatif publié par l’autorité. Conservez les informations prêtes à être soumises et expliquez tout retard qui en résulte. Un problème technique de soumission ne doit pas arrêter l’évaluation ni la communication nécessaire aux personnes.

Quand l’incident peut-il être clôturé ?

La reprise opérationnelle et la clôture au titre de la protection des données sont des jalons distincts. Vérifiez que les avis et mises à jour requis sont achevés, que les questions résiduelles ont un responsable et que les actions correctives restent suivies. À titre de prochaine étape pratique, testez un cas récent non notifié au regard de la liste de contrôle du dossier : si un autre réviseur ne peut pas reconstituer la décision, améliorez le passage de relais avant le prochain incident.