Module 8 · 8.2
Français
Violations de données et obligation de notification
Module 8: Quand les choses tournent mal · Temps de lecture : 11 minutes
Objectif pédagogique : Après cette leçon, vous pourrez déterminer si une situation constitue une violation de données, si vous devez la notifier dans les 72 heures à la CNIL et si vous devez informer les personnes concernées, et vous saurez la consigner dans un registre des violations.
Notions clés : données à caractère personnel, violation de données (atteinte à la protection des données à caractère personnel), responsable du traitement, sous traitant, RGPD articles 33 et 34, téléservice de notification des violations, 72 heures, risque et risque élevé, registre des violations
Qu'est ce qu'une violation de données ?
En entendant « violation de données », on pense souvent à des pirates qui volent une base de données. C'est une des formes possibles. Le RGPD utilise une définition plus large : une violation de données à caractère personnel est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données (article 4, point 12).
Les données à caractère personnel sont toutes les données concernant une personne identifiable : un nom, une adresse e-mail comme jan.jansen@..., un numéro de téléphone, une adresse, un numéro de client avec son historique de commandes, une photo, une adresse IP combinée à d'autres données. Les données concernant une entreprise en tant que telle (numéro d'immatriculation, adresse générale) n'en font pas partie, mais les données concernant la personne de contact, si.
Voici donc des exemples de violations de données :
- un e-mail contenant une liste de clients envoyé au mauvais destinataire ;
- une newsletter où tous les destinataires sont visibles dans le champ À ou CC ;
- une clé USB ou un ordinateur portable perdu contenant des données du personnel, s'il n'était pas chiffré ;
- un ransomware qui chiffre l'administration client (les données sont alors indisponibles, même si rien n'a été copié) ;
- une messagerie compromise contenant des factures avec noms et adresses ;
- un lien partagé vers un dossier de lettres de candidature accessible à tous.
L'expression « violation de la sécurité » montre qu'il ne s'agit pas uniquement de confidentialité. La perte (les données ont disparu) et l'altération (quelqu'un a modifié des numéros de compte) comptent également.
Qui est responsable : vous ou votre fournisseur ?
Le RGPD distingue deux rôles.
- Le responsable du traitement détermine pourquoi et comment les données à caractère personnel sont traitées. Pour les données de vos clients et de votre personnel, c'est vous, en tant qu'entrepreneur.
- Un sous-traitant traite des données pour votre compte : votre hébergeur, votre logiciel de comptabilité dans le cloud, votre service de newsletter, votre prestataire informatique.
Si une violation survient chez un sous-traitant, celui-ci doit vous en informer sans retard indu (article 33, paragraphe 2). Vous évaluez alors s'il faut notifier la CNIL et les personnes concernées, et c'est en principe vous qui effectuez la notification (sauf accord contraire prévoyant que le sous-traitant le fasse en votre nom). L'obligation reste donc la vôtre, même si la faute vient d'un tiers. C'est pourquoi un contrat de sous-traitance précise les modalités et les délais dans lesquels un sous-traitant doit vous informer (leçon 7.2).
Le compte à rebours de 72 heures
L'article 33 du RGPD indique que vous devez notifier une violation de données sans retard indu et, si possible, dans les 72 heures à la CNIL, après en avoir pris connaissance. L'exception : il est peu probable que la violation engendre un risque pour les droits et libertés des personnes.
Quatre points sont souvent mal compris :
- Le délai commence au moment où vous en avez connaissance, pas au moment où la violation s'est produite. « En avoir connaissance » signifie : vous êtes raisonnablement certain qu'une violation impliquant des données à caractère personnel a eu lieu. Un bref examen initial est admis, mais choisir délibérément de ne pas vérifier ne décale pas le départ du délai.
- 72 heures, c'est 72 heures, y compris le week-end et les jours fériés. Si vous découvrez une violation un vendredi à 16h40, le délai expire le lundi à 16h40.
- Une notification incomplète est acceptée. Si vous ne savez pas encore tout après 72 heures, vous notifiez ce que vous savez et vous complétez plus tard. Si vous notifiez après 72 heures, vous devez expliquer pourquoi ; la CNIL n'accepte cela que dans des cas exceptionnels.
- C'est le risque pour les personnes qui compte, pas le préjudice pour votre entreprise.
Découvert : vendredi 16h40 -> le délai démarre
samedi (compte)
dimanche (compte)
Au plus tard lundi 16h40 -> notification à la CNIL (éventuellement incomplète)La notification se fait uniquement via le téléservice en ligne de la CNIL ; un appel téléphonique, un e-mail ou un courrier ne sont pas acceptés. La CNIL propose un questionnaire permettant de préparer la notification à l'avance. Vous y indiquez notamment ce qui s'est passé, quand, quelles données et combien de personnes sont concernées, quelles pourraient en être les conséquences, et quelles mesures vous avez prises. C'est ici que le journal évoqué en leçon 8.1 se révèle utile.
Notifier ou non : l'évaluation du risque
Vous évaluez la probabilité et la gravité des conséquences pour les personnes concernées. Pensez à : l'usurpation d'identité, le préjudice financier, la discrimination, l'atteinte à la réputation, ou la perte de contrôle sur leurs données. Quelques questions utiles :
| Question | Risque plus faible | Risque plus élevé |
|---|---|---|
| Quelles données ? | Uniquement des coordonnées professionnelles | Numéro de sécurité sociale, copie de pièce d'identité, IBAN, mots de passe, données de santé, données concernant des enfants |
| Combien de personnes ? | Une ou quelques unes | Des centaines ou plus |
| Lisible par qui l'a reçu ? | Fortement chiffré, clé non compromise | Lisible, ou chiffré avec un mot de passe compromis |
| Qui le détient ? | Un destinataire connu et fiable qui confirme l'avoir supprimé | Un inconnu, un criminel, ou une publication sur internet |
| Encore disponible ? | Sauvegarde récente, restauration rapide | Perdu ou inaccessible durablement |
Deux exemples fréquents :
- Ordinateur portable chiffré volé, mot de passe fort, clé non compromise, sauvegarde récente : risque probablement nul. Pas de notification à la CNIL, mais à consigner dans votre registre.
- Boutique en ligne piratée, l'attaquant a obtenu des adresses e-mail et des mots de passe faiblement protégés : risque avéré, donc notification nécessaire. Et comme les personnes réutilisent souvent leur mot de passe ailleurs (leçon 1.4), le risque est élevé : il faut informer les personnes concernées.
En cas de doute ? Mieux vaut notifier. La CNIL conseille également de notifier en cas de doute. Toute information nouvelle est transmise plus tard via une notification complémentaire.
Informer les personnes concernées : en cas de risque élevé
L'article 34 concerne les personnes dont les données sont en cause. Si la violation engendre probablement un risque élevé, vous les informez dans les meilleurs délais : aussi vite que raisonnablement possible. Aucun délai de 72 heures ne s'applique ici, mais attendre que tout soit élucidé n'est pas non plus souhaitable.
Le message indique, en langage clair, ce qui s'est passé, quelles en sont les conséquences probables, ce que vous faites et ce que les personnes peuvent faire elles mêmes (par exemple changer leur mot de passe ailleurs, être attentives au phishing usurpant votre nom, prévenir leur banque), ainsi qu'une personne à contacter.
Informer les personnes n'est pas nécessaire si vous aviez pris des mesures appropriées rendant les données incompréhensibles (comme un chiffrement solide), si vous avez pris ultérieurement des mesures rendant le risque élevé peu probable, ou si cela exigerait des efforts disproportionnés : dans ce cas, vous procédez à une communication publique (article 34, paragraphe 3).
Attention : le phishing suit souvent une violation de données. Les criminels savent alors qui sont vos clients et leur envoient un e-mail « de votre part ». Prévenez aussi vos clients à ce sujet.
Le registre des violations : toujours
L'article 33, paragraphe 5, vous oblige à consigner chaque violation de données, même si vous ne la notifiez pas. Consignez : les faits, les conséquences, les mesures prises, et votre analyse (pourquoi notifier ou non, pourquoi informer ou non). Vous êtes libre du format ; la CNIL propose un modèle de registre. Un simple tableau suffit :
N° | Découvert (date/heure) | Ce qui s'est passé | Quelles données, combien de personnes
| Conséquences | Mesures prises | CNIL notifiée ? (oui/non + pourquoi, date)
| Personnes informées ? (oui/non + pourquoi) | Traité (date)Le registre vous aide aussi vous même : si vous constatez trois fois par an un « e-mail envoyé au mauvais destinataire », vous savez où agir pour vous améliorer (par exemple un délai avant envoi, ou ne plus joindre de listes de clients en pièce jointe, leçon 7.3).
Violation de données et transposition de NIS 2 : deux notifications distinctes
Si votre organisation relève de la transposition française de NIS 2 (leçon 9.1), une obligation de notification distincte s'applique également pour les incidents significatifs : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d'un mois, via MonEspaceNIS2 de l'ANSSI. Il s'agit d'une notification différente, avec un objectif différent (la continuité des services) et auprès d'une autorité différente. Une attaque par ransomware peut donc relever des deux à la fois. La plupart des petites entreprises ne relèvent pas de cette réglementation ; l'obligation du RGPD, elle, s'applique à tous.
Cette leçon donne des explications générales et ne constitue pas un conseil juridique. En cas de doute, consultez le site de la CNIL ou un juriste.
Résumé
- Une violation de données est toute atteinte entraînant la perte, la modification de données à caractère personnel, ou leur accès par une personne non autorisée ; y compris un e-mail envoyé au mauvais destinataire ou un ordinateur portable non chiffré perdu.
- Notification à la CNIL : sans retard indu et si possible dans les 72 heures après la découverte, y compris le week-end, sauf si le risque est probablement nul. Une notification incomplète est acceptée.
- Informer les personnes concernées : dans les meilleurs délais, si un risque élevé est probable.
- En cas de violation chez votre sous-traitant, celui-ci doit vous en informer ; la décision de notifier vous revient.
- Consignez chaque violation de données dans votre registre, avec votre analyse.
Quiz
Exercice
Exercice A8.2 : Calculez le délai. Vous recevez quatre moments de découverte. Indiquez pour chacun la date et l'heure limites pour la notification à la CNIL. Le programme corrige automatiquement.
Exercice A8.2b : Faut-il notifier ou non ? Vous recevez huit courtes situations. Choisissez pour chacune s'il faut notifier la CNIL, informer les personnes concernées, et la consigner dans votre registre des violations. Le programme corrige et donne l'explication pour chaque situation.
Pour aller plus loin
Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.
- Au secours ! Mon site a été piraté. Comment résoudre ou éviter ce problème ?
- CNIL, Modèle de registre des violations de données : https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
- CNIL, Obligation de notification des violations de données : https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
- CNIL, Informations pratiques sur le téléservice de notification : https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
- RGPD (Règlement (UE) 2016/679), articles 4, 33 et 34 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
- ANSSI, La directive NIS 2 : https://cyber.gouv.fr/la-directive-nis-2