À retenir : la chaîne de décisions après une violation de données
- Qualification rapide des atteintes à la confidentialité, à l’intégrité ou à la disponibilité
- Notification d’incident à la CNIL sous 72 heures en cas de risque
- Information des personnes concernées lorsque le risque devient élevé
- Traçabilité de chaque décision et des mesures correctives engagées
Qualifier la violation de données avant toute décision
Reconnaître les incidents concernés par le RGPD
La chaîne de décisions commence par une question simple : des données personnelles ont-elles perdu leur confidentialité, leur intégrité ou leur disponibilité ? L’article 4(12) du RGPD couvre aussi bien l’accès non autorisé que la destruction, la perte ou l’altération des données.
Selon le CEPD, une violation ne se limite donc pas à une cyberattaque spectaculaire. Un ordinateur volé, un courriel envoyé au mauvais destinataire, des droits d’accès trop larges ou une interruption de service peuvent également relever de cette définition.
Cette qualification évite d’écarter trop tôt un incident parce qu’il semble mineur ou interne. Même sans preuve d’exfiltration, un accès non autorisé doit être analysé et sa décision documentée.
Organiser la réponse aux incidents dès le signalement
Une alerte crédible déclenche d’abord des mesures de confinement, sans attendre que l’enquête établisse chaque détail. Les équipes peuvent isoler un système, révoquer des identifiants compromis et préserver les journaux utiles à l’analyse.
Un canal de signalement connu des salariés facilite cette réaction, particulièrement lorsque l’incident survient hors des heures habituelles. La gouvernance doit préciser qui prévient le DPO, le RSSI et la direction, ainsi que les informations minimales à transmettre.
Pour garder un ordre d’action clair, une organisation peut préparer les étapes suivantes :
- Isoler les systèmes touchés et protéger les preuves techniques
- Identifier les données, les personnes et les traitements potentiellement concernés
- Évaluer les conséquences possibles pour les droits et libertés
- Consigner les décisions et les mesures dans le registre des violations
Évaluer le risque et notifier la CNIL dans les délais
Déclencher la notification d’incident sous 72 heures
Une fois l’incident qualifié, le responsable de traitement évalue le risque pour les personnes, et non seulement l’ampleur technique de l’attaque. Selon l’article 33 du RGPD, la CNIL doit être informée dans les 72 heures suivant la prise de connaissance, sauf si aucun risque n’est susceptible d’exister.
Le délai commence lorsque l’organisation possède une certitude raisonnable qu’un incident a compromis des données personnelles. Il ne faut donc pas attendre la fin des investigations : une notification initiale peut être complétée lorsque de nouveaux éléments deviennent disponibles.
Le tableau distingue les principaux seuils de décision, qui ne doivent pas être confondus. Les circonstances concrètes, notamment la sensibilité des données et les conséquences plausibles, déterminent l’évaluation finale.
| Situation évaluée | Décision à envisager | Repère réglementaire |
|---|---|---|
| Aucun risque plausible pour les personnes | Documenter l’analyse sans notifier la CNIL | Article 33(1) |
| Risque possible pour les droits et libertés | Notifier la CNIL dans les 72 heures | Article 33 |
| Risque élevé pour les personnes concernées | Informer aussi les personnes, clairement et rapidement | Article 34 |
| Informations encore incomplètes | Notifier les éléments connus puis compléter le dossier | Article 33(4) |
Mesurer le risque pour chaque population exposée
Le risque dépend de la nature et du volume des données, de la facilité d’identifier les personnes et des dommages possibles. Des données de santé, des coordonnées bancaires ou des pièces d’identité peuvent favoriser la fraude, l’usurpation ou une atteinte grave à la vie privée.
Selon la CNIL, le téléservice permet de déposer une notification et de compléter ensuite le dossier. Lorsque l’incident touche plusieurs groupes, l’analyse doit inclure chaque population, y compris les proches, les contacts ou les représentants légaux.
Le cas d’un établissement de santé illustre cet enjeu : en 2026, la CNIL a rendu publique une sanction de 500 000 euros visant l’Hôpital privé de la Loire, notamment pour ne pas avoir informé des tiers de confiance concernés par l’attaque.
Pour examiner le risque sans réduire l’analyse au seul nombre d’enregistrements, les équipes peuvent vérifier ces facteurs :
- Type d’atteinte : confidentialité, intégrité ou disponibilité
- Sensibilité des informations et possibilités d’identification
- Conséquences plausibles : fraude, discrimination ou hameçonnage
- Présence de personnes vulnérables ou de données très exposées
Documenter les décisions et renforcer la protection des données
Tenir un registre pour chaque violation
Après l’évaluation, la conformité réglementaire repose aussi sur une trace exploitable des faits et des décisions prises. L’article 33(5) impose de documenter toutes les violations, y compris celles qui ne sont pas notifiées à la CNIL.
Selon le RGPD, ce registre consigne les faits, leurs effets et les mesures de remédiation. Il est distinct du registre des traitements et peut être demandé par l’autorité lors d’un contrôle.
Une fiche opérationnelle peut réunir les éléments suivants :
- Dates de survenance, de détection et de prise de connaissance
- Origine de l’incident et catégories de données concernées
- Nombre approximatif de personnes et d’enregistrements touchés
- Évaluation du risque, décisions de notification et motifs associés
- Mesures correctives, communications et échéances de suivi
Cette documentation rend la responsabilité vérifiable et aide à repérer les faiblesses récurrentes. Elle permet également de justifier pourquoi l’organisation a notifié, ou pourquoi elle a conclu à l’absence de risque.
Maîtriser la chaîne des sous-traitants et prévenir les récidives
Lorsqu’un prestataire détecte une violation, il doit avertir le responsable de traitement dans les meilleurs délais. Les contrats doivent préciser un canal d’alerte et une remontée rapide dans toute la chaîne, afin de préserver le délai de notification.
Un délai contractuel trop long peut compromettre la décision avant même que l’organisation découvre l’incident. La cybersécurité dépend donc aussi de clauses opérationnelles, de contacts d’urgence et d’exercices réguliers de réponse aux incidents.
Le tableau relie des mesures de prévention aux faiblesses qu’elles visent à réduire. Leur pertinence dépend du contexte, des traitements et des accès effectivement nécessaires.
| Point de contrôle | Mesure de prévention | Risque réduit |
|---|---|---|
| Accès à distance | Authentification multifacteur | Utilisation d’identifiants compromis |
| Habilitations | Limiter les accès aux besoins professionnels | Consultation excessive de dossiers |
| Activité inhabituelle | Journaliser les accès et traiter les alertes | Détection tardive d’une extraction |
| Prestataires | Prévoir une alerte rapide et documentée au contrat | Retard dans la remontée d’incident |
Une procédure préparée transforme une crise confuse en décisions ordonnées : contenir, qualifier, évaluer, notifier et documenter. Cette discipline renforce la protection des données autant que la capacité de l’organisation à démontrer sa diligence.
Sources : Règlement général sur la protection des données, articles 4, 28, 33 et 34 ; CEPD, Lignes directrices 9/2022 sur la notification des violations de données, version 2.0, 28 mars 2023 ; CNIL, décision concernant l’Hôpital privé de la Loire, délibération SAN-2026-009, rendue publique le 3 septembre 2026.
Mieux mesurer le risque, pour décider plus sereinement
Qu'il s'agisse de CVA, de régulation bancaire, de dérivés ou de stratégie d'investissement, chaque repère compris est un pas de plus vers une gestion du risque plus rigoureuse et plus lisible. Aucun modèle ne remplace le jugement professionnel, mais il permet d'aborder chaque décision avec plus de clarté.
Pour aller plus loin
- Croiser plusieurs sources et méthodologies avant de conclure sur un niveau de risque
- Documenter les hypothèses de chaque modèle, jamais les considérer comme acquises
- Suivre les évolutions réglementaires qui peuvent changer le cadre du jour au lendemain
- Revoir régulièrement ses estimations plutôt que de les figer une fois pour toutes
