Comment notifier une violation de données à la CNIL ?

Un ordinateur portable volé, un courriel envoyé au mauvais destinataire, une messagerie piratée, un rançongiciel : ces incidents ont un point commun. S'ils touchent des données personnelles, ils peuvent constituer une violation de données au sens du RGPD, avec des démarches précises à accomplir.

Pas de panique : la règle est plus simple qu'elle n'y paraît. Toute violation se documente. Certaines se notifient à la CNIL. Les plus graves s'accompagnent d'une information des personnes. Ce guide vous aide à savoir dans quel cas vous êtes, et à agir dans les délais.

Qu'est-ce qu'une violation de données ?

Le RGPD la définit, à son article 4, comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données. Il n'est donc pas nécessaire qu'il y ait un pirate : une erreur humaine suffit.

Une même violation peut toucher plusieurs de ces aspects à la fois.

Ce qui est atteint	Exemples
La confidentialité : des données sont vues par qui ne devait pas	Courriel au mauvais destinataire, base de données exposée en ligne, messagerie piratée
L'intégrité : des données sont modifiées	Coordonnées bancaires changées par un attaquant, dossier altéré
La disponibilité : des données sont perdues ou inaccessibles	Rançongiciel, suppression accidentelle sans sauvegarde, vol d'un support non chiffré

Première règle : tout documenter dans le registre interne

L'article 33, paragraphe 5, du RGPD impose au responsable de traitement de documenter toute violation, y compris celles qui ne sont pas notifiées. Cette documentation décrit les faits, leurs effets et les mesures prises pour y remédier. Elle permet à la CNIL de vérifier, en cas de contrôle, que les obligations ont été respectées.

• La date et l'heure de la découverte, et par qui.
• La nature de la violation et les données concernées.
• Les personnes concernées, au moins par catégorie.
• Les conséquences probables.
• Les mesures prises pour contenir l'incident et éviter qu'il se reproduise.
• La décision de notifier ou non, et sa justification.

Nos registres proposent une structure prête à remplir pour consigner chaque violation, même mineure.

Faut-il notifier ? Tout dépend du risque

La notification à la CNIL est obligatoire lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes. L'information des personnes elles-mêmes s'ajoute lorsque ce risque est élevé.

Articles 33 et 34 du RGPD.

Niveau de risque	Registre interne	Notification à la CNIL	Information des personnes
Risque improbable	Oui	Non	Non
Risque	Oui	Oui, dans les 72 heures	Non obligatoire
Risque élevé	Oui	Oui, dans les 72 heures	Oui, dans les meilleurs délais

Les critères qui aident à évaluer

• La nature des données : données de santé, coordonnées bancaires, mots de passe, documents d'identité ou données concernant des mineurs pèsent plus lourd.
• La facilité d'identification des personnes à partir des données exposées.
• La gravité des conséquences possibles : usurpation d'identité, fraude, discrimination, atteinte à la réputation.
• Le nombre de personnes concernées et leur éventuelle vulnérabilité.
• Les protections en place : des données correctement chiffrées, dont la clé n'a pas été compromise, réduisent fortement le risque.

Vous êtes attaqué ? Déclarer une urgence cyber

Comment notifier en pratique

La notification se fait en ligne, sur le téléservice de la CNIL, accessible depuis sa page dédiée aux violations de données. C'est le responsable de traitement qui notifie : l'entreprise, l'association ou la collectivité qui a décidé de la finalité du traitement. Aucun outil ne le fait automatiquement à votre place.

L'article 33, paragraphe 3, liste ce que la notification doit contenir. Préparez ces éléments dès la découverte :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour y remédier et en limiter les effets.

Une notification peut se faire en plusieurs temps

Dans les premières heures, on ne sait pas tout. Le RGPD le prévoit : si toutes les informations ne sont pas disponibles, elles peuvent être communiquées de manière échelonnée. Vous faites une notification initiale dans le délai, avec ce que vous savez, puis une notification complémentaire lorsque l'enquête avance.

Le cas du sous-traitant

Votre hébergeur, votre éditeur de logiciel ou votre prestataire informatique traite des données pour votre compte : c'est un sous-traitant. S'il découvre une violation, il doit vous en informer dans les meilleurs délais (article 33, paragraphe 2). C'est ensuite à vous, responsable de traitement, d'évaluer le risque et de notifier. Vérifiez que vos contrats prévoient ce circuit d'alerte.

Inversement, si vous êtes vous-même prestataire et que vous découvrez une violation chez un client, votre rôle est de le prévenir sans attendre, avec les éléments dont vous disposez, puis de l'aider à compléter son analyse. Ne notifiez pas à sa place : la décision et la démarche lui appartiennent.

Informer les personnes concernées

Lorsque le risque est élevé, l'article 34 impose de prévenir les personnes concernées dans les meilleurs délais, en des termes clairs et simples. Le message décrit la nature de la violation, indique un point de contact, expose les conséquences probables et les mesures prises. Il est aussi l'occasion de donner des conseils utiles : changer un mot de passe, se méfier des messages frauduleux qui pourraient exploiter les données dérobées.

Le RGPD prévoit des exceptions, par exemple lorsque les données étaient chiffrées de façon à être incompréhensibles pour un tiers. Lorsque contacter chaque personne exigerait des efforts disproportionnés, une communication publique peut la remplacer.

Les autres démarches à ne pas oublier

• Porter plainte auprès de la police ou de la gendarmerie lorsqu'il y a une action malveillante.
• Prévenir votre assureur, selon les conditions de votre contrat.
• Vous faire orienter par 17Cyber, le dispositif public d'assistance porté par Cybermalveillance.gouv.fr.
• Vérifier si d'autres obligations s'appliquent à votre secteur, par exemple au titre de la réglementation sur la sécurité des réseaux et des systèmes d'information.

Se préparer avant que cela arrive

Le délai de 72 heures est court quand on le découvre en pleine crise. Il devient tenable quand la procédure est prête.

• Une procédure d'une page : qui alerter, qui évalue, qui décide de notifier.
• Un modèle de fiche de violation et un modèle de message aux personnes.
• Des contrats de sous-traitance qui prévoient l'alerte sans délai.
• Un exercice sur un scénario simple, comme un courriel envoyé au mauvais destinataire.

Tenir vos registres RGPD en ligne

Sources

• Notifier une violation de données personnelles — CNIL
• Les violations de données personnelles — CNIL
• Règlement (UE) 2016/679 (RGPD), articles 4, 33 et 34 — EUR-Lex
• 17Cyber, assistance aux victimes de cybermalveillance — Cybermalveillance.gouv.fr