Violation de données : les 72 heures pour notifier la CNIL

Un ordinateur portable volé dans un train, un fichier de clients envoyé par erreur à un tiers, un serveur chiffré par un rançongiciel : ce sont des violations de données personnelles. Le RGPD impose d’y réagir vite, et de le documenter, même lorsque l’incident paraît mineur.

Qu’est-ce qu’une violation de données ?

L’article 4.12 du RGPD définit la violation comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles, ou l’accès non autorisé à de telles données. On distingue trois atteintes :

• à la confidentialité : des données sont vues ou obtenues par une personne non autorisée (fuite, piratage, envoi au mauvais destinataire) ;
• à l’intégrité : des données sont modifiées sans autorisation ;
• à la disponibilité : des données sont perdues ou rendues inaccessibles, même temporairement (rançongiciel, suppression accidentelle sans sauvegarde).

Notifier la CNIL : quand et dans quel délai (article 33)

Le responsable du traitement notifie la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Une notification tardive doit être accompagnée des motifs du retard.

Le délai court à partir du moment où l’on sait, avec une certitude raisonnable, qu’une violation s’est produite (article 33.1 ; lignes directrices 9/2022 du CEPD), et non à partir de la fin de l’enquête. Une brève période d’investigation pour établir les faits est admise, mais elle doit être menée rapidement.

La notification se fait en ligne, sur le site de la CNIL. Elle décrit, dans la mesure du possible :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
• le nom et les coordonnées du DPO ou d’un autre point de contact ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour y remédier et en limiter les effets.

Si toutes les informations ne sont pas disponibles dans les 72 heures, elles peuvent être communiquées en plusieurs fois : mieux vaut une notification initiale dans les délais, complétée ensuite.

Informer les personnes concernées (article 34)

Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le responsable les informe également, dans les meilleurs délais, en termes clairs et simples : nature de la violation, conséquences probables, mesures prises, et conseils pour se protéger (changer de mot de passe, surveiller ses comptes, se méfier des messages frauduleux).

Cette information n’est pas nécessaire si les données étaient protégées de façon à les rendre incompréhensibles (chiffrement robuste dont la clé n’a pas été compromise), si des mesures ultérieures ont fait disparaître le risque élevé, ou si elle exigerait des efforts disproportionnés ; dans ce dernier cas, une communication publique ou une mesure similaire la remplace (article 34.3.c).

Le registre des violations (article 33.5)

Toutes les violations doivent être documentées, qu’elles soient notifiées ou non : les faits, leurs effets et les mesures prises. Ce registre interne permet à la CNIL de vérifier le respect de l’article 33 lors d’un contrôle. Il est aussi un outil d’amélioration : les mêmes causes reviennent souvent (erreur d’envoi, mot de passe faible, absence de double authentification).

Le rôle du sous-traitant

Le sous-traitant qui découvre une violation la notifie au responsable du traitement dans les meilleurs délais (article 33.2). C’est ensuite au responsable de notifier la CNIL. Le contrat de sous-traitance fixe en pratique un délai court (24 ou 48 heures) pour laisser au responsable le temps de respecter son propre délai de 72 heures.

La conduite à tenir, pas à pas

1. Contenir l’incident : isoler le poste, couper un accès, changer les mots de passe, révoquer un partage.
2. Alerter en interne la personne chargée de la gestion des incidents et, s’il existe, le DPO. Noter l’heure de la découverte : le délai de 72 heures court dès que l’on sait, avec une certitude raisonnable, qu’une violation s’est produite.
3. Évaluer : quelles données, combien de personnes, quelle gravité, quelles conséquences possibles.
4. Notifier la CNIL si un risque existe ; informer les personnes si le risque est élevé.
5. Porter plainte en cas d’infraction (vol, piratage, extorsion) ; le dispositif cybermalveillance.gouv.fr accompagne les victimes.
6. Documenter la violation dans le registre, puis corriger la cause pour éviter qu’elle ne se reproduise.

Ce que l’on risque

Ne pas notifier une violation qui aurait dû l’être est un manquement à l’article 33, passible d’une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83.4). Une violation consécutive à une sécurité insuffisante relève en outre de l’article 32. À l’inverse, une notification rapide et des mesures adaptées sont prises en compte par la CNIL.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 4.12, 32, 33, 34 et 83, EUR-Lex.
• Comité européen de la protection des données, lignes directrices 9/2022 sur la notification des violations de données à caractère personnel.
• CNIL, « Les violations de données personnelles » et téléservice de notification, cnil.fr.
• Cybermalveillance.gouv.fr, dispositif national d’assistance aux victimes.