Données effacées par erreur sans sauvegarde, clé USB perdue, messagerie piratée, rançongiciel qui chiffre les dossiers du personnel : pour une petite entreprise, l’incident n’est pas seulement technique. Le RGPD impose des obligations précises en cas de violation de données personnelles, dont la notification à la CNIL dans un délai de 72 heures lorsque l’incident présente un risque pour les personnes. Voici comment procéder, d’après les règles publiées par la CNIL et la fiche de Service-Public.fr consacrée aux rançongiciels.
Ce que recouvre une violation de données
La notion vient de l’article 4.12 du RGPD. La CNIL la décrit comme tout incident de sécurité, d’origine malveillante ou non, qui compromet l’intégrité, la confidentialité ou la disponibilité de données personnelles. Ses exemples : la suppression accidentelle de données médicales non sauvegardées, la perte d’une clé USB non sécurisée ou la modification malveillante de résultats scolaires.
Ces règles visent le responsable de traitement, c’est-à-dire l’organisme, privé ou public, qui décide de l’usage des données. Une TPE qui tient un fichier de clients ou de salariés est donc concernée : la CNIL précise que ces obligations visent tous les organismes publics et privés, quelle que soit leur taille.
Trois niveaux de risque, trois obligations
Tout dépend du risque que l’incident fait courir aux personnes dont les données sont touchées :
- Aucun risque : l’incident est inscrit dans le registre interne des violations, sans notification à la CNIL ni information des personnes.
- Un risque : inscription au registre et notification à la CNIL au plus tôt, dans un délai maximal de 72 heures.
- Un risque élevé : en plus, les personnes concernées doivent être prévenues au plus tôt.
En cas de doute sur l’information des personnes, la page de notification de la CNIL indique que c’est elle qui dira si elles doivent être prévenues.
Quand commence le délai de 72 heures
Le compte à rebours ne démarre pas au premier soupçon. Selon la CNIL, il court à partir du moment où le responsable a un degré de certitude raisonnable qu’un incident a eu lieu et qu’il a touché des données personnelles ; la phase d’investigation initiale ne le fait pas courir. Trois exemples de prise de connaissance sont donnés : la découverte de la perte d’une clé USB, l’information transmise par un tiers avec une preuve, ou l’affirmation d’un cybercriminel une fois vérifiée.
Dépasser les 72 heures ne supprime pas l’obligation : la notification reste due, accompagnée des motifs du retard. Service-Public.fr rappelle lui aussi ce délai et la possibilité d’envoyer ensuite une notification complémentaire.
Notifier la CNIL : la marche à suivre
- Documentez l’incident en interne dès sa constatation : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou envisagées pour en limiter les effets et éviter qu’il se reproduise.
- Évaluez le risque pour les personnes selon les trois niveaux décrits plus haut.
- Préparez la déclaration avec le document préparatoire au format .odt que la CNIL met en ligne et qui reprend les étapes de la procédure.
- Déposez une notification initiale sur le téléservice sécurisé accessible depuis la page « Notifier une violation de données personnelles », si possible dans les 72 heures.
- Envoyez une notification complémentaire dès que les informations manquantes sont disponibles.
- Conservez le récapitulatif : il sert de documentation interne.
Ce téléservice est réservé aux responsables de traitement : une plainte de particulier qui y serait déposée n’est pas prise en compte. Une fois la notification reçue, la CNIL l’instruit. Elle peut clôturer la procédure, par exemple si les personnes ont été correctement informées ou si des mesures de protection appropriées existaient avant l’incident, mais aussi imposer d’informer les personnes.
Prévenir les personnes concernées
En cas de risque élevé, le message aux personnes part au plus tôt. Rédigé en termes clairs et précis, il indique au minimum la nature de la violation, ses conséquences probables, les coordonnées d’un contact et les mesures prises. Il peut être complété de recommandations, comme changer de mot de passe. Cette information n’est pas exigée dans trois cas : données rendues incompréhensibles pour toute personne non autorisée, par exemple grâce à un chiffrement robuste dont la clé n’est pas compromise ; mesures ultérieures rendant le risque élevé peu probable ; efforts disproportionnés, auquel cas une communication publique ou une mesure équivalente s’impose.
Tenir le registre des violations
Toute violation, même sans risque, entre dans le registre interne. Il consigne les faits, leurs effets et les mesures correctives : nature de l’incident, catégories et nombre de personnes et d’enregistrements concernés, conséquences probables, mesures prises et, le cas échéant, la justification de l’absence de notification. La CNIL peut contrôler ce registre et conseille de s’appuyer sur son formulaire de notification pour le remplir.
Si un prestataire traite les données pour votre compte, il doit vous prévenir dans les meilleurs délais. La fiche Entreprendre Service-Public rappelle que le contrat de sous-traitance doit prévoir cette information en cas de faille ou d’incident de sécurité. Vous pouvez lui confier la notification à la CNIL, sans perdre la maîtrise de la décision ni l’obligation de tenir le registre.
Questions fréquentes
Une TPE peut-elle se dispenser de notifier ?
Non, si l’incident présente un risque pour les personnes : l’obligation vise tout organisme, privé ou public, quelle que soit sa taille. Seules les violations sans risque échappent à la notification, et elles doivent quand même figurer dans le registre.
Que faire si l’incident est une cyberattaque ?
La CNIL conseille de porter plainte auprès de la police ou de la gendarmerie et de conserver les preuves techniques. Face à un rançongiciel, Service-Public.fr recommande de déconnecter l’appareil d’internet et de ne pas payer, ce paiement n’assurant pas de retrouver l’accès aux fichiers.
Le délai est dépassé : est-il trop tard ?
Non. Il faut notifier malgré tout et expliquer dans la déclaration les raisons du retard.
Les données étaient chiffrées : faut-il prévenir les clients ?
Si le chiffrement est robuste et que la clé n’a pas été compromise, l’information des personnes n’est pas exigée. La notification à la CNIL dépend, elle, du risque évalué.
Que risque une entreprise qui ne respecte pas ces règles ?
La CNIL vérifie la tenue du registre, l’évaluation du risque, le respect des délais et le contenu des notifications, et peut sanctionner les organismes concernés. Pour un cas particulier, c’est elle qu’il faut consulter.
Sources
- Violations de données personnelles : les règles à suivre — CNIL, 2018-06-19
- Notifier une violation de données personnelles — CNIL, 2018-05-24
- Rançongiciel ou ransomware — Service-Public.fr (DILA), 2024-10-16
- Obligations en matière de protection des données personnelles (RGPD) — Entreprendre.Service-Public.fr (DILA), 2024-04-26