4.4 · Violation de données : que faire ?

Niveau 4 · Données personnelles & RGPD

4.4Violation de données : que faire ?

Objectif : savoir réagir et alerter en cas de fuite/violation de données personnelles (notification, délais).
Temps estimé : 12 min

De quoi parle cette section. Une violation de données personnelles (fuite, vol, divulgation accidentelle, rançongiciel) déclenche des obligations légales fortes : l'entreprise a 72 heures pour notifier la CNIL, et doit parfois informer les personnes concernées.

Votre rôle de salarié : signaler immédiatement tout doute (e-mail envoyé au mauvais destinataire, USB perdue, intrusion détectée…) à votre service informatique ou DPO. Mieux vaut une fausse alerte qu'un incident caché qui s'aggrave. C'est aussi l'occasion d'éviter une amende CNIL.

Vocabulaire de la section

Violation de données
Tout incident touchant des données personnelles : fuite, accès non autorisé, perte, destruction — y compris l'e-mail au mauvais destinataire.
Notification CNIL 72 h
L'organisation doit notifier la CNIL sous 72 heures si la violation présente un risque pour les personnes : chaque heure de silence interne compte.
Information des personnes
Si le risque est élevé (données sensibles, identifiants…), les personnes concernées doivent aussi être prévenues.
Registre des violations
Toute violation, même mineure, se documente en interne : c'est une obligation et une mémoire utile.
Signalement interne immédiat
VOTRE rôle : alerter DPO/IT dès la découverte — l'analyse et la notification sont leur travail, la rapidité est le vôtre.
Vérifiez votre compréhension

Vous avez envoyé un fichier clients au mauvais destinataire. Que faire ?

Cyberattaque : « On n'a plus besoin d'être une cible » (ANSSI)
Vidéo hébergée sur YouTube — ouvrir dans un nouvel onglet ↗

En pratique — Simulation : l'e-mail parti au mauvais destinataire

  1. Scénario : vous venez d'envoyer un fichier de 200 clients au mauvais contact externe. Chronométrez mentalement votre réaction idéale.
  2. Minute 0-5 : tentez le rappel du message (Outlook le permet parfois), demandez au destinataire la suppression confirmée par écrit.
  3. Minute 5-15 : signalez au DPO/référent avec les faits : quoi, qui, quand, quelles données — sans minimiser ni dramatiser.
  4. Notez la règle des 72 h : votre signalement immédiat donne à l'organisation le temps d'analyser et de notifier dans les délais. Tarder = aggraver.
Le réflexe violation intégré : agir vite, signaler tout de suite, documenter — jamais dissimuler.

Points clés à retenir

  • Une violation n'est pas forcément un piratage : l'erreur d'envoi en est une aussi.
  • Le compte à rebours CNIL est de 72 h : le signalement interne immédiat est vital.
  • Signaler une erreur n'est pas s'accuser : c'est protéger les personnes et l'organisation — la dissimulation, elle, est une faute.
  • Votre rôle s'arrête au signalement rapide et factuel : l'analyse et la notification appartiennent au DPO.

Questions fréquentes

Je risque une sanction si je signale ma propre erreur ?

Les organisations saines valorisent le signalement rapide (c'est lui qui limite les dégâts) et sanctionnent la dissimulation. Une erreur signalée à temps se gère ; découverte des semaines après, elle devient un scandale.

Toutes les violations partent-elles à la CNIL ?

Non : l'organisation évalue le risque pour les personnes. Sans risque (fichier chiffré perdu, par exemple), simple documentation interne ; avec risque, notification 72 h ; risque élevé, information des personnes en plus. C'est l'affaire du DPO — nourri par votre signalement.

Autres ressources

Testez-vous : quiz du niveau 45 questions pour valider vos acquis avant de passer au niveau suivant