Violation de données RGPD : la règle des 72 heures

Un ordinateur volé, un fichier envoyé au mauvais destinataire, un rançongiciel : les violations de données arrivent, même aux entreprises prudentes. Ce qui compte, c'est de savoir réagir vite et bien. Voici la marche à suivre.

Une violation de données, c'est quoi ?

C'est tout incident de sécurité qui aboutit à la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles. Cela couvre bien plus que le piratage : une clé USB perdue, un email envoyé à la mauvaise personne ou des sauvegardes effacées par erreur sont aussi des violations.

Le RGPD encadre la réaction à ces incidents dans ses articles 33 et 34.

La règle des 72 heures

Dès que vous avez connaissance d'une violation susceptible d'engendrer un risque pour les personnes, vous devez la notifier à la CNIL dans les 72 heures. Si vous dépassez ce délai, la notification doit être accompagnée d'une justification du retard.

Ce délai est court : il court dès la prise de connaissance, week-end compris. D'où l'importance d'avoir un réflexe et un contact identifié à l'avance.

Faut-il toujours notifier ?

Non. Deux niveaux à distinguer :

• Notifier la CNIL : obligatoire sauf si la violation est peu susceptible d'engendrer un risque pour les personnes. Dans le doute, on notifie.
• Informer les personnes concernées : obligatoire seulement si la violation présente un risque élevé pour elles (par exemple, fuite de données bancaires ou de santé). L'information doit alors être claire et rapide.

Le réflexe en cas d'incident

Quatre étapes, dans l'ordre : contenir l'incident (couper l'accès, isoler la machine) ; évaluer ce qui a fuité et pour combien de personnes ; notifier la CNIL sous 72 h si un risque existe, et informer les personnes si le risque est élevé ; documenter tout dans un registre des violations. Cette gestion rejoint directement la mesure « gestion des incidents » de NIS2.

Le registre des violations

Le RGPD impose de consigner toutes les violations, y compris celles que vous n'avez pas notifiées, avec les faits, leurs effets et les mesures prises. Ce registre prouve, en cas de contrôle, que vous avez géré la situation sérieusement. C'est aussi un outil pour apprendre de ses incidents et éviter qu'ils se répètent.

Anticiper plutôt que subir

La différence entre une violation bien gérée et une catastrophe se joue avant l'incident : savoir qui alerter, avoir un modèle de notification prêt, et connaître ses traitements grâce au registre. Le jour J, les 72 heures passent vite.

En résumé

Une violation de données, c'est tout incident touchant des données personnelles, du piratage à la simple erreur d'envoi. Vous devez notifier la CNIL sous 72 heures s'il y a un risque, informer les personnes si le risque est élevé, et consigner toutes les violations dans un registre. Le réflexe se prépare à l'avance : contenir, évaluer, notifier, documenter.

FAQ

Faut-il notifier toutes les violations à la CNIL ? Non, seulement celles susceptibles d'engendrer un risque pour les personnes. Mais dans le doute, mieux vaut notifier. Toutes doivent en revanche être consignées dans votre registre interne.

Le délai de 72 heures inclut-il le week-end ? Oui, il s'agit d'heures calendaires à compter de la prise de connaissance. D'où l'intérêt d'avoir une procédure prête.

Que risque-t-on à ne pas notifier ? L'absence de notification d'une violation à risque est une manquement sanctionnable, qui aggrave la situation aux yeux de la CNIL.