Ce qu'est une « violation de données »
Le terme fait peur, mais il couvre des situations très banales : des données personnelles perdues, volées, détruites, ou vues par quelqu'un qui n'aurait pas dû. Une clé USB égarée, un mail envoyé à la mauvaise liste, un classeur oublié dans un train.
Pas besoin d'un pirate. Une maladresse suffit.
Le délai de 72 heures
Si la fuite présente un risque pour les personnes concernées, vous devez la signaler à la CNIL dans les 72 heures après en avoir pris connaissance. Le compte à rebours démarre au moment où vous découvrez le problème, pas au moment où il s'est produit.
Point important : mieux vaut une déclaration incomplète dans les délais qu'une déclaration parfaite en retard. La CNIL accepte les compléments.
Et les personnes concernées ?
Si le risque est élevé - mots de passe, données bancaires, données de santé -, il faut aussi les prévenir directement, en clair, en leur disant ce qui s'est passé et ce qu'elles doivent faire.
C'est le moment le plus désagréable. C'est aussi celui où la transparence paie : les clients pardonnent généralement un incident bien géré, beaucoup moins un incident dissimulé qu'ils découvrent autrement.
Ce qu'il faut préparer avant
Personne ne réfléchit clairement dans les premières heures d'un incident. D'où l'intérêt d'une page écrite à l'avance :
- Qui décide ? (nom, téléphone portable)
- Qui contacte le prestataire informatique ?
- Qui rédige la déclaration CNIL ?
- Où sont les éléments à rassembler : quelles données, combien de personnes, depuis quand ?
Le registre des violations
Toutes les fuites doivent être consignées en interne, même celles qui ne justifient pas de déclaration. Un simple tableau : date, nature, personnes concernées, mesures prises. C'est ce document qu'on vous demandera en cas de contrôle, et il prend deux minutes à remplir sur le moment.
