Fuite de données ou piratage : les bons réflexes pour limiter les risques
Une violation de données personnelles désigne un incident de sécurité entraînant la destruction, la perte, l’altération, la divulgation ou l’accès non…
Une violation de données personnelles désigne un incident de sécurité entraînant la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles. Elle peut résulter d’un piratage, d’un rançongiciel, d’un hameçonnage, d’une erreur d’envoi d’e-mail ou encore de la perte d’un ordinateur non chiffré.
Les informations concernées peuvent être des identifiants, coordonnées, données bancaires, informations de santé, copies de pièces d’identité ou données relatives aux salariés et aux clients. La gravité dépend notamment du type de données exposées, du nombre de personnes concernées et des conséquences possibles : usurpation d’identité, fraude, discrimination ou atteinte à la vie privée.
La priorité consiste à contenir la violation sans détruire les preuves utiles à l’analyse. L’entreprise doit notamment :
Il est recommandé d’alerter rapidement la direction, le référent informatique, le délégué à la protection des données (DPO), le prestataire de cybersécurité et, si nécessaire, l’assureur. En cas de rançongiciel, le paiement de la rançon ne garantit ni la récupération des données ni leur suppression par les attaquants.
Le responsable du traitement doit déterminer quelles données ont été touchées, combien de personnes sont concernées, pendant combien de temps elles ont été accessibles et si elles étaient chiffrées ou pseudonymisées. Il doit également évaluer les conséquences possibles pour les personnes.
Cette analyse permet de décider si une notification à la CNIL est obligatoire. Même lorsqu’une notification n’est pas nécessaire, la violation doit être documentée dans un registre interne, avec les faits, les effets constatés et les mesures prises. La CNIL rappelle qu’une violation doit être notifiée lorsqu’elle est susceptible de présenter un risque pour les droits et libertés des personnes.
Lorsqu’il existe un risque pour les droits et libertés des personnes, la notification à la CNIL doit être effectuée dans les 72 heures après la prise de connaissance de la violation, conformément à l’article 33 du RGPD. Si toutes les informations ne sont pas encore disponibles, une première notification peut être envoyée puis complétée. Un retard doit être expliqué.
La notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences possibles et les mesures prises pour remédier à l’incident. La démarche s’effectue via le téléservice de notification de la CNIL.
Lorsque la violation est susceptible d’engendrer un risque élevé, les personnes concernées doivent également être informées dans les meilleurs délais. Le message doit être clair et préciser les conséquences probables, les mesures recommandées et un point de contact. Une communication publique peut être envisagée si l’information individuelle se révèle disproportionnée, sous réserve des conditions prévues par le RGPD.
Une personne qui apprend que ses données ont été exposées doit agir selon la nature des informations concernées :
Le dispositif Cybermalveillance.gouv.fr fournit des conseils adaptés aux particuliers, entreprises et collectivités. Une fuite de données ne signifie pas automatiquement qu’une fraude a déjà eu lieu : elle augmente toutefois la probabilité d’attaques ciblées et justifie une vigilance renforcée.
La gestion d’une violation ne s’arrête pas à la notification. L’organisation doit rechercher la cause profonde : faille non corrigée, droits d’accès trop larges, sauvegardes insuffisantes, mauvaise configuration cloud ou défaut de sensibilisation. Elle peut ensuite renforcer le chiffrement, limiter les habilitations, appliquer les mises à jour, tester les sauvegardes et organiser des exercices de crise.
Le RGPD impose une capacité à démontrer la conformité. La conservation d’une chronologie de l’incident, des décisions et des mesures correctrices est donc essentielle, notamment lors d’un contrôle ou d’un contentieux. Les sous-traitants doivent aussi être associés à la réponse, car le responsable du traitement reste tenu de piloter la sécurité des données traitées pour son compte.
Oui. L’envoi de données personnelles au mauvais destinataire, y compris en copie visible au lieu d’une copie cachée, peut constituer une violation. Il faut rappeler le message si possible, demander sa suppression, évaluer le risque et documenter l’incident.
Non. Le délai commence en principe lorsque le responsable du traitement a acquis un degré de certitude raisonnable qu’une violation s’est produite, et non nécessairement au moment où l’attaque a commencé.
Non. La notification est requise lorsque la violation est susceptible de présenter un risque pour les droits et libertés. En revanche, toute violation doit être analysée et inscrite dans la documentation interne, qu’elle soit notifiée ou non.
Elle peut engager une démarche si elle démontre un dommage et un lien avec la violation. La conservation des notifications reçues, échanges, preuves de fraude et justificatifs est alors utile pour faire valoir ses droits.
