Notifier une fuite de données à l'APD : délai et marche à suivre

Une fiche de paie envoyée au mauvais destinataire, un appareil volé ou une base de données clients inaccessible exigent d'abord des faits. Consignez ce que vous savez avec certitude et ce qui est encore à l'étude. La perte de disponibilité de données à caractère personnel peut aussi constituer une violation de données ; une sauvegarde ou un chiffrement ne rend pas automatiquement un incident anodin.

1. Notez le moment où l'incident a été découvert et celui où vous avez eu suffisamment de certitude quant à la violation de données.
2. Désignez un coordinateur et un remplaçant. Convenez de qui suit la technique, la communication et l'évaluation juridique.
3. Limitez l'accès ou la diffusion supplémentaire avec votre partenaire informatique. Conservez soigneusement les journaux et les éléments de preuve pertinents.
4. Déterminez votre rôle : responsable du traitement, sous-traitant ou autre rôle. Un sous-traitant avertit le responsable sans retard injustifié ; il n'attend pas son propre délai de 72 heures.

Les rôles et obligations légaux figurent à l'article 33 du RGPD. Un audit de site web ne remplace pas une enquête sur l'incident.

Évaluez le préjudice possible pour les personnes, et pas seulement la réputation ou le chiffre d'affaires de votre entreprise. Pour chaque élément, indiquez les faits, les incertitudes et la justification :

Un destinataire de confiance qui confirme la suppression est une information pertinente, pas une dispense automatique. Un nombre inconnu de personnes touchées ne prouve pas non plus que le risque est faible. Expliquez pourquoi le risque est ou n'est pas improbable et faites évaluer rapidement les doutes. Les lignes directrices du CEPD sur les notifications détaillent cette évaluation.

Exemple de travail fictif : le vendredi à 10 h 00, une entreprise a suffisamment de certitude qu'une personne non autorisée a consulté des données clients. La limite de 72 heures tombe le lundi à 10 h 00. Ce n'est pas une raison d'attendre jusqu'au lundi : l'obligation est de notifier sans retard injustifié et, si possible, au plus tard dans ce délai.

Si des résultats d'enquête manquent encore, rendez-le visible dans la première notification. Fournissez ensuite les informations complémentaires sans nouveau retard injustifié. Si la notification intervient plus tard, ajoutez les raisons du retard. Conservez la chronologie et la preuve de dépôt avec le complément. Une réunion interne ou l'absence d'un rapport complet n'arrête pas le compte à rebours.

Vérifiez la compétence sur la page officielle de l'APD et suivez le lien vers le portail. L'APD indique que les notifications par e-mail ne sont pas traitées. Suivez aussi les instructions relatives à l'accès au compte et à la langue.

Préparez quatre blocs d'informations : la nature de la violation avec les catégories et les nombres estimés de personnes et de fichiers ; un point de contact joignable ; les conséquences probables ; et les mesures prises ou envisagées. Si des données manquent, indiquez ce qui est encore à l'étude. Avant l'envoi, faites vérifier par une deuxième personne que les coordonnées, les horaires et les annexes se rapportent bien au même incident.

En cas de risque probablement élevé, le responsable informe aussi les personnes concernées sans retard injustifié, en termes clairs. L'article 34 du RGPD décrit le contenu et les exceptions, comme une protection efficace rendant les données incompréhensibles pour les personnes non autorisées ou des mesures ultérieures écartant le risque élevé. En cas d'efforts disproportionnés, une communication publique tout aussi efficace peut être nécessaire ; ce n'est pas une dispense générale d'informer.

Rendez le message pratique : que s'est-il passé, qu'est-ce que cela signifie pour le destinataire, quelle action est utile et où peut-il s'adresser ? N'incluez pas de rassurance non prouvée comme « vos données n'ont certainement pas été utilisées ». Veillez à la cohérence entre la communication aux personnes concernées et à l'autorité de contrôle.

Documentez chaque violation de données, même lorsqu'aucune notification n'est requise. Utilisez par exemple cette structure de dossier :

1. Journal des faits : moment, observation, source et enquêteur responsable.
2. Journal des décisions : évaluation du risque, autorité compétente, décision de notification et justification.
3. Journal des actions : mesure, responsable, moment d'exécution et contrôle du résultat.
4. Journal des communications : notification déposée, compléments et éventuels messages aux personnes concernées.
5. Suivi : cause, améliorations structurelles et date à laquelle elles seront contrôlées.

Limitez l'accès à ce dossier et n'y ajoutez pas inutilement de copies supplémentaires des données personnelles divulguées. Après le traitement de l'incident, utilisez un contrôle de votre base de confiance numérique pour planifier des points d'amélioration distincts.