Fuite de données : les obligations légales d'une PME dans les 72 heures qui suivent

Une fuite de données survient rarement quand on est prêt. Ransomware, phishing réussi, accès non autorisé à un serveur, disque dur volé dans un véhicule de technicien, les causes sont diverses, mais la contrainte légale qui suit est identique pour toutes les PME qui traitent des données personnelles. Depuis le RGPD, vous disposez de 72 heures pour notifier la CNIL si la violation est susceptible d’engendrer un risque pour les personnes concernées. Et si ce risque est élevé, vous devez aussi prévenir les personnes directement.

Ce que dit le RGPD exactement

L’article 33 du RGPD impose à tout responsable de traitement de notifier l’autorité de contrôle compétente (la CNIL en France) dans les 72 heures suivant la prise de connaissance d’une violation de données à caractère personnel, sauf si cette violation est “peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques”.

Cette exception est interprétée strictement. Un vol de données chiffrées où vous pouvez démontrer que le chiffrement rend les données inutilisables peut entrer dans cette exception. Une compromission de base de données clients avec noms, emails, et adresses ne l’entre pas.

L’article 34 impose en plus, lorsque la violation est susceptible d’engendrer un risque élevé, d’informer directement les personnes concernées “dans les meilleurs délais”.

Les 72 heures : ce que ça signifie en pratique

Les 72 heures commencent à courir à partir du moment où vous avez “connaissance” de la violation, pas nécessairement à partir du moment où elle s’est produite. Si une intrusion a eu lieu le lundi mais que vous la découvrez le mercredi, le délai court à partir du mercredi.

Ce délai est court, et la pression est d’autant plus forte que les premières heures d’un incident de sécurité sont généralement consacrées à la gestion technique de la crise : contenir la propagation, identifier les systèmes affectés, sécuriser les accès. La notification CNIL passe souvent au second plan, et c’est là que les PME prennent des risques juridiques supplémentaires.

Que contient la notification à la CNIL ?

La notification se fait en ligne sur le portail de la CNIL. Elle doit contenir :

• La description de la nature de la violation (type de données, nombre approximatif de personnes concernées, nombre d’enregistrements affectés)
• Les coordonnées du délégué à la protection des données (DPO) si votre PME en a désigné un, sinon celles du responsable du traitement
• Les conséquences probables de la violation
• Les mesures prises ou envisagées pour remédier à la violation et en limiter les effets

Il est possible de notifier en deux temps : une notification initiale dans les 72 heures avec les informations disponibles, complétée ultérieurement une fois l’enquête plus avancée. La CNIL accepte cette approche à condition que la notification initiale soit faite dans le délai.

Quand prévenir les personnes concernées ?

La notification aux personnes concernées est requise quand le risque est “élevé”. La CNIL et le CEPD (Comité européen de la protection des données) ont publié des guidelines pour évaluer ce risque, mais en pratique, voici les cas qui déclenchent presque systématiquement cette obligation :

• Vol de données médicales ou de santé
• Divulgation de données financières (numéros de carte, RIB)
• Exposition de données permettant une usurpation d’identité (CNI, passeport, numéro de sécurité sociale)
• Données sensibles (opinions politiques, données biométriques, orientation sexuelle)

Pour une PME qui traite principalement des données de contact professionnels (noms, emails, téléphones d’entreprise), le risque peut être moindre, mais l’analyse doit être faite et documentée.

Comment préparer cette réponse en amont

Attendre d’avoir un incident pour découvrir la procédure de notification CNIL n’est pas une stratégie. Voici ce qui doit être préparé :

Le registre des traitements : vous devez savoir quelles données vous traitez, dans quel but, où elles sont stockées, et combien de personnes elles concernent. Sans ce registre, il est impossible de remplir correctement la notification en 72 heures.

Un contact CNIL identifié : l’équipe qui gère l’incident doit savoir que la CNIL doit être notifiée, connaître l’URL du portail de notification, et avoir accès aux informations nécessaires.

Un plan de réponse à incident : qui appelle qui ? Qui prend la décision de notifier ? Qui rédige la notification ? Qui informe les clients si nécessaire ? Ces décisions ne doivent pas être prises dans l’urgence d’un incident.

Des sauvegardes fiables et testées : la capacité à restaurer rapidement réduit la durée de l’exposition et facilite l’évaluation du périmètre de la violation.

La CNIL dispose d’un pouvoir de sanction pouvant aller jusqu’à 4 % du chiffre d’affaires mondial annuel pour les manquements au RGPD, y compris pour l’absence de notification dans les délais. Les sanctions pour les PME sont généralement bien inférieures, mais les mises en demeure publiques ont un impact réputationnel significatif.

Zerobug accompagne les PME dans la mise en conformité RGPD sur les aspects techniques et dans la préparation de plans de réponse à incident. Contactez-nous pour évaluer votre situation.