4.4Violation de données : que faire ?
De quoi parle cette section. Une violation de données personnelles (fuite, vol, divulgation accidentelle, rançongiciel) déclenche des obligations légales fortes : l'entreprise a 72 heures pour notifier la CNIL, et doit parfois informer les personnes concernées.
Votre rôle de salarié : signaler immédiatement tout doute (e-mail envoyé au mauvais destinataire, USB perdue, intrusion détectée…) à votre service informatique ou DPO. Mieux vaut une fausse alerte qu'un incident caché qui s'aggrave. C'est aussi l'occasion d'éviter une amende CNIL.
Vocabulaire de la section
- Violation de données
- Tout incident touchant des données personnelles : fuite, accès non autorisé, perte, destruction — y compris l'e-mail au mauvais destinataire.
- Notification CNIL 72 h
- L'organisation doit notifier la CNIL sous 72 heures si la violation présente un risque pour les personnes : chaque heure de silence interne compte.
- Information des personnes
- Si le risque est élevé (données sensibles, identifiants…), les personnes concernées doivent aussi être prévenues.
- Registre des violations
- Toute violation, même mineure, se documente en interne : c'est une obligation et une mémoire utile.
- Signalement interne immédiat
- VOTRE rôle : alerter DPO/IT dès la découverte — l'analyse et la notification sont leur travail, la rapidité est le vôtre.
Vous avez envoyé un fichier clients au mauvais destinataire. Que faire ?
En pratique — Simulation : l'e-mail parti au mauvais destinataire
- Scénario : vous venez d'envoyer un fichier de 200 clients au mauvais contact externe. Chronométrez mentalement votre réaction idéale.
- Minute 0-5 : tentez le rappel du message (Outlook le permet parfois), demandez au destinataire la suppression confirmée par écrit.
- Minute 5-15 : signalez au DPO/référent avec les faits : quoi, qui, quand, quelles données — sans minimiser ni dramatiser.
- Notez la règle des 72 h : votre signalement immédiat donne à l'organisation le temps d'analyser et de notifier dans les délais. Tarder = aggraver.
Points clés à retenir
- Une violation n'est pas forcément un piratage : l'erreur d'envoi en est une aussi.
- Le compte à rebours CNIL est de 72 h : le signalement interne immédiat est vital.
- Signaler une erreur n'est pas s'accuser : c'est protéger les personnes et l'organisation — la dissimulation, elle, est une faute.
- Votre rôle s'arrête au signalement rapide et factuel : l'analyse et la notification appartiennent au DPO.
Questions fréquentes
Je risque une sanction si je signale ma propre erreur ?
Les organisations saines valorisent le signalement rapide (c'est lui qui limite les dégâts) et sanctionnent la dissimulation. Une erreur signalée à temps se gère ; découverte des semaines après, elle devient un scandale.
Toutes les violations partent-elles à la CNIL ?
Non : l'organisation évalue le risque pour les personnes. Sans risque (fichier chiffré perdu, par exemple), simple documentation interne ; avec risque, notification 72 h ; risque élevé, information des personnes en plus. C'est l'affaire du DPO — nourri par votre signalement.