Violation de données : ce que les 72 heures veulent dire

Un ordinateur portable oublié dans un train, une pièce jointe envoyée à la mauvaise liste, une base exposée pendant deux heures par une mauvaise configuration : ce sont des violations de données. Le réflexe est de se demander « est-ce que je dois prévenir la CNIL ? ». La bonne question arrive avant : à partir de quand court le délai, et qu'est-ce que je dois pouvoir montrer si on me le demande dans six mois.

Le délai part de la prise de connaissance, pas de l'incident

L'article 33.1 fait courir les 72 heures « après en avoir pris connaissance ». Une fuite qui a commencé le 3 et que vous découvrez le 20 vous laisse jusqu'au 23, pas jusqu'au 6. C'est une bonne nouvelle sur le papier, et un piège en pratique : la date de prise de connaissance devient un fait que vous devrez pouvoir situer. Si le seul élément daté de votre dossier est la notification elle-même, rien ne prouve que vous n'avez pas attendu trois semaines.

Le texte prévoit d'ailleurs le retard plutôt que de l'interdire : passé 72 heures, la notification doit être « accompagnée des motifs du retard ». Un retard motivé n'est pas une faute. Un retard non expliqué, si.

Toutes les violations ne se notifient pas

L'obligation de notifier tombe quand la violation « n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques ». Un fichier chiffré perdu, dont personne ne peut lire le contenu, n'a pas le même statut qu'un export clients en clair. La difficulté n'est pas la règle, elle est que ce tri est une appréciation — et qu'une appréciation qui n'est écrite nulle part n'existe pas.

C'est le point le plus souvent manqué : l'article 33.5 impose de documenter TOUTES les violations, y compris celles que vous avez décidé de ne pas notifier. La décision de ne rien notifier est elle-même une pièce à produire.

Ce que la notification doit contenir

• La nature de la violation et, si possible, les catégories et le nombre approximatif de personnes et d'enregistrements concernés.
• Le nom et les coordonnées du délégué à la protection des données, ou d'un autre point de contact.
• Les conséquences probables de la violation.
• Les mesures prises ou proposées pour y remédier et, le cas échéant, en atténuer les effets.

Vous n'êtes pas tenu de tout savoir en 72 heures. L'article 33.4 autorise une communication échelonnée : une notification initiale, puis des compléments « au fur et à mesure ». La CNIL décrit le même déroulé sur sa page de notification. Ce qui est attendu, c'est que le compteur démarre, pas que le dossier soit complet.

Prévenir les personnes est une obligation distincte

Notifier l'autorité et informer les personnes concernées sont deux choses différentes, avec deux seuils différents. L'article 34 déclenche l'information des personnes quand le risque est « élevé » — un cran au-dessus du simple risque qui déclenche la notification. Le même texte prévoit des cas où cette information n'est pas requise : données rendues incompréhensibles (chiffrement, par exemple), mesures prises après coup qui écartent le risque élevé, ou effort disproportionné — auquel cas il faut une communication publique équivalente.

Si vous êtes sous-traitant, le délai n'est pas le vôtre

Une agence, un hébergeur, un prestataire d'e-mailing n'a pas 72 heures : l'article 33.2 lui demande de prévenir le responsable de traitement « dans les meilleurs délais ». C'est plus court, pas plus long. Le client, lui, ne pourra tenir son propre délai que si le vôtre a été court — et c'est précisément ce que son contrat de sous-traitance est censé organiser.

Ce qui se joue vraiment, six mois plus tard

Une violation bien gérée et une violation mal gérée se ressemblent beaucoup sur le moment. Elles se distinguent quand on vous demande, longtemps après : quand l'avez-vous su, qu'avez-vous décidé, sur quels éléments, et qu'avez-vous fait. Un registre des violations tenu au fil de l'eau — même pour les incidents que vous n'avez pas notifiés — répond à ces quatre questions. Un dossier reconstitué a posteriori n'y répond jamais tout à fait, parce qu'il n'est pas daté par les faits mais par le moment où on l'a écrit.

Cet article décrit le cadre, il ne remplace pas l'analyse de votre situation : le tri entre « risque » et « risque élevé » dépend des données et du contexte, et c'est là que se joue l'essentiel.