Violation de données personnelles : que faire ?
Une fuite, un vol, un ransomware, un envoi à la mauvaise personne… Le RGPD vous impose de réagir vite : notification à la CNIL sous 72 heures, parfois communication aux personnes concernées. Nous vous aidons à qualifier l'incident et à tenir vos obligations sans paniquer.
Qu'est-ce qu'une violation de données personnelles ?
Au sens du RGPD (article 4), une violation de données à caractère personnel est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à de telles données. Autrement dit : dès qu'une donnée concernant une personne physique échappe à votre maîtrise, vous êtes potentiellement face à une violation.
Les trois grandes catégories sont la perte de confidentialité (divulgation ou accès non autorisé), la perte d'intégrité (altération non autorisée) et la perte de disponibilité (destruction ou perte d'accès, par exemple lors d'un ransomware). Une même violation peut combiner plusieurs de ces atteintes.
Concrètement, cela couvre aussi bien un ordinateur portable volé, un fichier client envoyé par erreur au mauvais destinataire, une base de données exposée sur Internet, un piratage de messagerie, qu'une suppression accidentelle de sauvegardes. Toutes ces situations doivent être analysées au regard du risque pour les droits et libertés des personnes concernées.
Vos obligations en cas de violation
Notifier la CNIL sous 72h
Si la violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. Au-delà, la notification doit être motivée.
Informer les personnes
Lorsque le risque est élevé, vous devez communiquer la violation aux personnes concernées, dans un langage clair, en décrivant la nature de l'incident et les mesures pour s'en protéger.
Documenter dans un registre
Toute violation, même non notifiée, doit être consignée dans un registre interne : faits, effets, mesures prises. C'est une obligation d'accountability que la CNIL peut contrôler, au cœur du rôle du DPO.
Contenir et corriger
Au-delà du formalisme, vous devez endiguer l'incident, limiter ses effets et corriger la faille à l'origine de la violation pour éviter qu'elle ne se reproduise.
Toutes les violations doivent-elles être notifiées ?
Non. Le critère déclencheur est le risque pour les droits et libertés des personnes physiques. Si la violation est peu susceptible d'engendrer un risque (par exemple des données déjà chiffrées de manière robuste et dont la clé n'est pas compromise), elle n'a pas à être notifiée à la CNIL, mais elle doit tout de même figurer dans votre registre interne des violations. Si elle présente un risque, vous notifiez la CNIL ; si elle présente un risque élevé, vous notifiez la CNIL et informez les personnes concernées. La difficulté est précisément cette qualification du risque, qui demande méthode et recul : c'est là qu'un DPO externe fait la différence.
Notre approche
Une violation de données se gère à la croisée du juridique et de la technique. Notre accompagnement combine l'expertise DPO pour la qualification et le formalisme RGPD, et l'expertise RSSI pour l'investigation technique et le confinement. Nous vous aidons à réagir dans les délais, à documenter proprement et à transformer l'incident en plan d'amélioration durable. En cas d'incident majeur, cette réaction s'inscrit naturellement dans un dispositif de gestion de crise cyber. Notre approche est pragmatique et sans théorie inutile : des actions concrètes, dans le bon ordre.
Les 9 étapes de réaction à une violation
Détecter & alerter
Identifier l'incident, donner l'alerte en interne et enclencher le réflexe de remontée vers le DPO et la direction.
Endiguer l'incident
Isoler les systèmes touchés, couper l'accès illégitime et limiter immédiatement la propagation de la violation.
Qualifier la violation
Déterminer les données concernées, le nombre de personnes touchées et la nature de l'atteinte (confidentialité, intégrité, disponibilité).
Évaluer le risque
Mesurer le risque pour les droits et libertés des personnes afin de décider de la notification CNIL et de l'information des personnes.
Notifier la CNIL
Déposer la notification dans les 72 heures via le téléservice CNIL, en complétant par paliers à mesure de l'investigation.
Informer les personnes
Si le risque est élevé, communiquer aux personnes concernées de façon claire, avec les mesures de protection recommandées.
Documenter & corriger
Consigner l'incident au registre des violations, corriger la cause racine et renforcer durablement votre niveau de sécurité.
Capitaliser (RETEX)
Retour d'expérience structuré sur la chaîne détection-notification afin de réduire les délais et d'affiner vos procédures pour une prochaine violation.
Renforcer la prévention
Chiffrement, cloisonnement, gestion des accès et sensibilisation : un plan de prévention pour faire baisser la probabilité d'une nouvelle violation.
Pourquoi vous faire accompagner par BCIT ?
Double expertise
Conformité RGPD et sécurité technique réunies : nous qualifions le risque et traitons la cause via nos audits de sécurité.
Réactivité maîtrisée
Des procédures prêtes à l'emploi pour tenir le délai de 72h sans improvisation, et un appui en gestion de crise si l'incident dégénère.
Prévention durable
La violation idéale est celle qui n'arrive pas : diagnostic et sensibilisation pour réduire le risque en amont.
Une violation en cours, ou envie d'être prêt(e) ?
Prenons 15 minutes pour en parler. Nous évaluons votre situation, vos obligations et la marche à suivre, que vous soyez face à un incident ou que vous souhaitiez préparer votre dispositif sereinement.
Violation de données personnelles : que faire ?
Une fuite, un vol, un ransomware, un envoi à la mauvaise personne… Le RGPD vous impose de réagir vite : notification à la CNIL sous 72 heures, parfois communication aux personnes concernées. Nous vous aidons à qualifier l'incident et à tenir vos obligations sans paniquer.
Qu'est-ce qu'une violation de données personnelles ?
Au sens du RGPD (article 4), une violation de données à caractère personnel est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à de telles données. Autrement dit : dès qu'une donnée concernant une personne physique échappe à votre maîtrise, vous êtes potentiellement face à une violation.
Les trois grandes catégories sont la perte de confidentialité (divulgation ou accès non autorisé), la perte d'intégrité (altération non autorisée) et la perte de disponibilité (destruction ou perte d'accès, par exemple lors d'un ransomware). Une même violation peut combiner plusieurs de ces atteintes.
Concrètement, cela couvre aussi bien un ordinateur portable volé, un fichier client envoyé par erreur au mauvais destinataire, une base de données exposée sur Internet, un piratage de messagerie, qu'une suppression accidentelle de sauvegardes. Toutes ces situations doivent être analysées au regard du risque pour les droits et libertés des personnes concernées.
Vos obligations en cas de violation
Notifier la CNIL sous 72h
Si la violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. Au-delà, la notification doit être motivée.
Informer les personnes
Lorsque le risque est élevé, vous devez communiquer la violation aux personnes concernées, dans un langage clair, en décrivant la nature de l'incident et les mesures pour s'en protéger.
Documenter dans un registre
Toute violation, même non notifiée, doit être consignée dans un registre interne : faits, effets, mesures prises. C'est une obligation d'accountability que la CNIL peut contrôler, au cœur du rôle du DPO.
Contenir et corriger
Au-delà du formalisme, vous devez endiguer l'incident, limiter ses effets et corriger la faille à l'origine de la violation pour éviter qu'elle ne se reproduise.
Toutes les violations doivent-elles être notifiées ?
Non. Le critère déclencheur est le risque pour les droits et libertés des personnes physiques. Si la violation est peu susceptible d'engendrer un risque (par exemple des données déjà chiffrées de manière robuste et dont la clé n'est pas compromise), elle n'a pas à être notifiée à la CNIL, mais elle doit tout de même figurer dans votre registre interne des violations. Si elle présente un risque, vous notifiez la CNIL ; si elle présente un risque élevé, vous notifiez la CNIL et informez les personnes concernées. La difficulté est précisément cette qualification du risque, qui demande méthode et recul : c'est là qu'un DPO externe fait la différence.
Notre approche
Une violation de données se gère à la croisée du juridique et de la technique. Notre accompagnement combine l'expertise DPO pour la qualification et le formalisme RGPD, et l'expertise RSSI pour l'investigation technique et le confinement. Nous vous aidons à réagir dans les délais, à documenter proprement et à transformer l'incident en plan d'amélioration durable. En cas d'incident majeur, cette réaction s'inscrit naturellement dans un dispositif de gestion de crise cyber. Notre approche est pragmatique et sans théorie inutile : des actions concrètes, dans le bon ordre.
Les 9 étapes de réaction à une violation
Détecter & alerter
Identifier l'incident, donner l'alerte en interne et enclencher le réflexe de remontée vers le DPO et la direction.
Endiguer l'incident
Isoler les systèmes touchés, couper l'accès illégitime et limiter immédiatement la propagation de la violation.
Qualifier la violation
Déterminer les données concernées, le nombre de personnes touchées et la nature de l'atteinte (confidentialité, intégrité, disponibilité).
Évaluer le risque
Mesurer le risque pour les droits et libertés des personnes afin de décider de la notification CNIL et de l'information des personnes.
Notifier la CNIL
Déposer la notification dans les 72 heures via le téléservice CNIL, en complétant par paliers à mesure de l'investigation.
Informer les personnes
Si le risque est élevé, communiquer aux personnes concernées de façon claire, avec les mesures de protection recommandées.
Documenter & corriger
Consigner l'incident au registre des violations, corriger la cause racine et renforcer durablement votre niveau de sécurité.
Capitaliser (RETEX)
Retour d'expérience structuré sur la chaîne détection-notification afin de réduire les délais et d'affiner vos procédures pour une prochaine violation.
Renforcer la prévention
Chiffrement, cloisonnement, gestion des accès et sensibilisation : un plan de prévention pour faire baisser la probabilité d'une nouvelle violation.
Pourquoi vous faire accompagner par BCIT ?
Double expertise
Conformité RGPD et sécurité technique réunies : nous qualifions le risque et traitons la cause via nos audits de sécurité.
Réactivité maîtrisée
Des procédures prêtes à l'emploi pour tenir le délai de 72h sans improvisation, et un appui en gestion de crise si l'incident dégénère.
Prévention durable
La violation idéale est celle qui n'arrive pas : diagnostic et sensibilisation pour réduire le risque en amont.
Une violation en cours, ou envie d'être prêt(e) ?
Prenons 15 minutes pour en parler. Nous évaluons votre situation, vos obligations et la marche à suivre, que vous soyez face à un incident ou que vous souhaitiez préparer votre dispositif sereinement.