Un prestataire vous appelle un matin : des fichiers clients étaient accessibles depuis internet, un poste a été chiffré par un rançongiciel, un ancien salarié a conservé un export de la base prospects. Dans les heures qui suivent, le dirigeant doit trancher vite : faut-il prévenir la CNIL, faut-il écrire aux personnes concernées, que consigner par écrit, qui est responsable entre le client et son sous-traitant, et quelle sanction risque l’entreprise si elle se trompe de délai ou de destinataire. Les réponses figurent dans les articles 33 et 34 du règlement (UE) 2016/679 sur la protection des données, éclairés par les décisions du Conseil d’État qui contrôle les sanctions de la CNIL et par la pratique du téléservice de notification de la Commission. Cet article décrit la marche à suivre, les erreurs qui coûtent cher et les voies de recours.
Le point de départ tient en une phrase : toute violation de données personnelles doit être documentée en interne, une partie d’entre elles doit être notifiée à la CNIL dans les meilleurs délais et si possible dans les 72 heures, et une fraction plus réduite doit en outre être communiquée aux personnes concernées. Chacun de ces trois niveaux obéit à ses propres conditions. Les confondre expose l’organisme à une sanction pour défaut de notification alors même que la faille de sécurité a été corrigée, ou à l’inverse à une information inutile et anxiogène des clients alors que les données volées étaient chiffrées.
I. Prévenir la CNIL dans les délais : une obligation qui pèse d’abord sur le responsable du traitement
A. Soixante-douze heures pour notifier, sans délai pour le sous-traitant qui détecte l’incident
L’article 33, paragraphe 1, du règlement européen impose au responsable du traitement de notifier la violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation ne risque pas d’affecter les droits et libertés des personnes physiques. Quand la notification intervient après ce délai de 72 heures, elle doit expliquer les raisons du retard. La CNIL détaille la marche à suivre sur son téléservice. Le délai ne court donc pas de la survenance de l’incident mais de la connaissance que l’organisme en a, ce qui suppose une organisation interne capable de faire remonter l’alerte : journalisation des accès, procédure de signalement par les équipes, contrat de maintenance qui impose au prestataire d’alerter. Une entreprise qui apprend la fuite par la presse ou par un client alors que son sous-traitant la connaissait depuis plusieurs jours part avec un retard difficile à justifier.
Seule l’absence de risque pour les droits et libertés des personnes dispense de notification. La CNIL l’explique en ces termes sur son téléservice : le responsable documente toujours l’incident en interne, puis notifie la CNIL dès que l’incident présente un risque pour la vie privée des personnes concernées ; dans le doute, il notifie et la Commission lui indique s’il faut aussi informer les personnes. En pratique, la perte d’une base chiffrée avec clé restée inaccessible, la brève exposition de données déjà publiques ou l’envoi d’un courriel au mauvais destinataire sans conséquence probable peuvent relever de l’exception. Tout le reste se notifie : accès non autorisé à des comptes clients, extraction massive de fichiers, perte d’un support non chiffré, rançongiciel avec exfiltration. Le contenu minimal de la notification est fixé par le texte européen : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, coordonnées du délégué à la protection des données ou d’un autre point de contact, conséquences probables et mesures prises ou envisagées pour y remédier. Quand toutes les informations ne sont pas disponibles dans les 72 heures, elles peuvent être fournies de manière échelonnée, sans attendre pour adresser le premier signalement.
Le sous-traitant qui détecte lui-même la violation n’a pas 72 heures : l’article 33, paragraphe 2, du même règlement prévoit que le sous-traitant avertit le responsable du traitement de toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance. Cette alerte du prestataire vers son client conditionne tout le reste de la chaîne, puisque le délai de 72 heures du responsable court à compter de sa propre connaissance. L’article 28 du règlement impose d’ailleurs que le traitement confié à un sous-traitant soit encadré par un contrat écrit qui précise notamment l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées, ainsi que les obligations de chacun en cas d’incident. Un contrat informatique qui reste muet sur l’alerte en cas de violation, sur le chiffrement, sur la journalisation et sur le sort des données en fin de contrat fragilise le responsable le jour où la CNIL lui demande des comptes. Les entreprises qui externalisent leur hébergement, leur maintenance ou leur support ont donc intérêt à vérifier ces clauses avant l’incident, et non pendant la crise.
La jurisprudence illustre ce que coûte une sécurité négligée. Dans une décision du 4 novembre 2020, le Conseil d’État a rejeté le recours de la société Sergic, sanctionnée à hauteur de 400 000 euros après la découverte d’un défaut de sécurité qui permettait à des tiers d’accéder aux documents d’identité et aux justificatifs déposés par des candidats à la location sur son site. Le juge a relevé que la sanction représentait moins de 1 % du chiffre d’affaires de l’exercice 2017 et 4 % du plafond encouru, et il a validé la publication de la décision pendant deux ans pour informer les utilisateurs des risques auxquels ils avaient été exposés (Conseil d’État, 10ème et 9ème chambres réunies, 4 novembre 2020, n° 433311). Dans une affaire plus ancienne, l’Association pour le développement des foyers s’était vu infliger 75 000 euros et une publication de deux ans pour un défaut de sécurité persistant malgré plusieurs demandes de correction de la Commission ; son recours a également été rejeté (Conseil d’État, 10ème et 9ème chambres réunies, 17 avril 2019, n° 423559). Ces montants montrent que la sanction ne frappe pas seulement les grandes plateformes : une PME, une association ou un professionnel de santé peuvent être concernés.
B. Documenter chaque incident, y compris ceux qui ne sont pas notifiés
Le réflexe le plus rentable face à une violation consiste à écrire : quoi, quand, qui, combien, quelles conséquences probables, quelles mesures. L’article 33, paragraphe 5, du règlement européen impose au responsable du traitement de consigner chaque violation de données personnelles en indiquant les faits, leurs effets et les mesures prises pour y remédier. Cette documentation interne doit permettre à l’autorité de contrôle de vérifier le respect de ces obligations. Autrement dit, le registre interne des violations sert de preuve lors d’un contrôle. Le récapitulatif généré par le téléservice de notification de la CNIL peut tenir lieu de documentation pour les incidents notifiés, mais les incidents écartés de la notification parce qu’ils ne présentaient aucun risque doivent eux aussi être consignés, avec l’analyse qui a conduit à cette conclusion. Une entreprise incapable de produire ce registre le jour d’un contrôle s’expose à un manquement autonome, distinct de la faille elle-même.
Cette documentation s’articule avec le registre des activités de traitement prévu à l’article 30 du même règlement : chaque responsable tient un registre qui mentionne notamment les finalités, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne, les délais d’effacement et une description générale des mesures de sécurité. Le registre des traitements décrit l’état normal, le registre des violations raconte les accidents ; ensemble, ils permettent à l’organisme de démontrer qu’il maîtrise son système. Les mesures de sécurité attendues figurent à l’article 32 du règlement : pseudonymisation et chiffrement, garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes, capacité à rétablir l’accès aux données dans des délais appropriés après un incident, et procédure régulière de test et d’évaluation de ces mesures. La CNIL attend sur ces sujets des preuves concrètes, comme l’ont montré les contrôles récents portant sur l’authentification multifacteur, les habilitations et la journalisation, dont nous avons détaillé les exigences dans notre analyse des preuves attendues par la CNIL après une cyberattaque.
Le cas d’un chirurgien orthopédiste sanctionné en 2020 montre comment ces pièces s’additionnent. Ses serveurs d’imagerie médicale étaient restés librement accessibles depuis internet, exposant plus de cinq mille trois cents images assorties des nom, prénom et date de naissance des patients, de la date de l’examen et du nom des praticiens. Le praticien avait lui-même ouvert les ports réseau de sa box pour faire fonctionner son logiciel d’imagerie sans recourir à un prestataire, et il n’avait pas chiffré les données stockées sur son disque dur externe. La formation restreinte de la CNIL lui a infligé 3 000 euros au titre des articles 32 et 33 du règlement. Saisi du recours, le Conseil d’État a confirmé le manquement à la sécurité mais a censuré le grief tiré du défaut de notification : la CNIL avait elle-même informé le praticien de la violation par un courrier du 8 octobre 2019 avant d’engager son contrôle, de sorte qu’« eu égard à l’information dont disposait déjà la CNIL et qui lui avait permis d’engager un contrôle, ce dernier n’entrait pas dans le champ de cette obligation », et la Commission avait « entaché sa délibération d’une erreur de droit » en retenant ce grief. La sanction a été ramenée à 2 500 euros : « Le montant de la sanction pécuniaire infligée à M. C… est réduit à 2 500 euros » (Conseil d’État, 10ème et 9ème chambres réunies, 22 juillet 2022, n° 449694). Trois enseignements s’en dégagent : la sécurité de base (segmentation réseau, chiffrement) reste le cœur du contrôle ; la notification n’a pas de sens quand l’autorité connaît déjà la violation et l’a elle-même signalée ; chaque grief doit être discuté séparément car le juge réévalue la sanction grief par grief.
II. Informer les personnes concernées et assumer la suite : sanction, recours et réparation
A. Écrire aux personnes uniquement en cas de risque élevé, dans des termes clairs et simples
La notification à la CNIL ne doit pas être confondue avec l’information des personnes fichées. L’article 34, paragraphe 1, du règlement européen prévoit que, quand une violation de données personnelles risque d’entraîner un risque élevé pour les droits et libertés d’une personne, le responsable du traitement doit l’en informer dans les meilleurs délais. Le paragraphe 2 précise la forme : cette information décrit en des termes clairs et simples la nature de la violation et reprend au minimum les éléments exigés pour la notification à l’autorité, à savoir le point de contact, les conséquences probables et les mesures prises ou envisagées. Concrètement, le courrier ou le courriel adressé aux clients indique ce qui s’est passé, les coordonnées du point de contact, les conséquences probables pour eux et les mesures prises, dans une langue compréhensible et sans jargon technique. Un message qui noie l’incident dans des formules rassurantes ou qui renvoie vers des conditions générales obscures manque son objet et peut aggraver la défiance, voire le contentieux.
Trois situations dispensent de cette communication individuelle. D’abord, quand le responsable avait appliqué aux données concernées des protections techniques qui les rendent incompréhensibles aux personnes non autorisées, typiquement le chiffrement avec une clé restée secrète. Une base exfiltrée mais chiffrée avec une clé restée secrète illustre ce cas : le risque élevé ne se matérialise pas. Ensuite, quand des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus, par exemple la révocation immédiate de jetons d’accès exposés avant toute exploitation avérée, combinée à une réinitialisation des mots de passe. Enfin, quand la communication individuelle exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente (avis sur le site, communiqué largement diffusé) prend le relais. Si le responsable s’abstient à tort, l’autorité de contrôle peut lui ordonner d’informer les personnes après examen du risque. Symétriquement, une entreprise qui écrit à l’ensemble de sa base clients pour un incident bénin prend un risque réputationnel et juridique inutile : la gradation risque simple vers la CNIL, risque élevé vers les personnes, doit être respectée dans les deux sens.
Le contenu de cette communication individuelle mérite une préparation avec le délégué à la protection des données quand il existe, et avec le conseil de l’entreprise. Il faut y mentionner la nature de l’incident sans spéculer sur son origine quand l’enquête technique est en cours, indiquer la date approximative de découverte et le périmètre des données exposées, décrire les conséquences probables avec honnêteté (usurpation d’identité, hameçonnage ciblé, fraude au paiement selon les données exposées), donner un point de contact joignable et indiquer les précautions recommandées aux personnes : vigilance sur les messages reçus, vérification des relevés, modalités de remplacement des moyens d’accès compromis. Chaque affirmation doit rester vérifiable, car ce courrier sera lu par la CNIL en cas de contrôle et par le juge en cas d’action en réparation. Le délégué à la protection des données, quand l’organisme en a désigné un, doit être associé à la rédaction : il connaît le registre des traitements, les mesures de sécurité réellement déployées et les formulations déjà utilisées lors d’incidents précédents. Les captures d’écran, les journaux et le rapport du prestataire de réponse à incident alimentent le dossier de preuve ; ils ne figurent pas dans le courrier mais doivent être conservés.
B. Sanctions proportionnées, recours devant le Conseil d’État et indemnisation des victimes
Quand la CNIL constate des manquements, elle dispose d’une gamme de mesures : rappel à l’ordre, injonction de mise en conformité avec astreinte, limitation ou interdiction temporaire du traitement, et amende administrative. L’article 58 du règlement européen lui donne notamment le pouvoir d’ordonner la communication des informations nécessaires, de mener des audits et d’obtenir l’accès aux données et aux locaux. Pour le montant de l’amende, l’article 83 du même règlement exige des sanctions « effectives, proportionnées et dissuasives » et énumère les critères d’appréciation : nature, gravité et durée de la violation, nombre de personnes affectées et niveau de dommage, caractère délibéré ou négligent, mesures prises pour atténuer le dommage, degré de coopération avec l’autorité, catégories de données concernées, et manière dont l’autorité a eu connaissance des faits, y compris le fait d’avoir ou non notifié la violation. La notification rapide, la coopération et la correction sincère jouent donc deux fois : elles limitent le dommage et elles atténuent la sanction.
Le recours contre une sanction de la CNIL relève du Conseil d’État, qui exerce un contrôle entier sur la qualification des faits et la proportionnalité. Les trois décisions citées montrent l’éventail des issues. La société Sergic a vu sa sanction de 400 000 euros confirmée, publication de deux ans incluse, parce que les documents d’identité de candidats à la location étaient restés téléchargeables par n’importe qui et que la conservation excédait manifestement la finalité du traitement (Conseil d’État, 4 novembre 2020, n° 433311). L’association ADEF, sanctionnée de 75 000 euros pour un défaut de sécurité auquel elle n’avait pas remédié malgré plusieurs demandes, a également été déboutée, le juge estimant la publication de deux ans justifiée « tant au regard de la gravité du manquement sanctionné que de la quantité des données à caractère personnel concernées » (Conseil d’État, 17 avril 2019, n° 423559). Le chirurgien orthopédiste, lui, a obtenu la censure du grief de non-notification et la réduction de son amende de 3 000 à 2 500 euros (Conseil d’État, 22 juillet 2022, n° 449694). Pour l’entreprise sanctionnée, la stratégie contentieuse consiste donc à contester grief par grief : régularité des constatations en ligne, réalité du risque, diligence des corrections, proportion du montant au chiffre d’affaires et à la gravité. Pour l’entreprise qui découvre l’incident, la leçon est inverse : coopérer, corriger vite, notifier dans les délais et documenter chaque étape, car ces éléments pèsent dans la balance de l’article 83.
Les personnes dont les données ont fuité disposent en parallèle d’une action en réparation. L’article 82, paragraphe 1, du règlement ouvre à toute personne victime d’un dommage matériel ou moral causé par une violation du texte le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le responsable qui participe au traitement répond du dommage causé par une violation, tandis que le sous-traitant n’en répond que s’il a méconnu les obligations qui lui incombent spécifiquement ou s’il a agi hors des instructions licites du responsable ou contrairement à elles. Chacun peut s’exonérer en prouvant que le fait dommageable ne lui est nullement imputable. Quand plusieurs acteurs participent au même traitement, chacun est tenu pour le tout envers la victime, quitte à se retourner ensuite contre les autres. Après une fuite de données, l’entreprise doit donc anticiper non seulement la procédure CNIL mais aussi les demandes indemnitaires : temps perdu, démarches de renouvellement de documents, anxiété liée à l’exposition de données de santé ou bancaires, et parfois usurpation d’identité avérée. La qualité de la réaction (information rapide des personnes exposées, cellule d’assistance, prise en charge des frais de renouvellement) limite autant le préjudice indemnisable que le montant de l’amende.
En pratique, la séquence à tenir en cas d’incident suit un ordre simple. D’abord contenir : isoler les systèmes affectés, révoquer les accès compromis, préserver les journaux et les preuves pour l’enquête. Ensuite qualifier avec le délégué à la protection des données : quelles données, combien de personnes, quel risque pour leurs droits et libertés, le sous-traitant a-t-il alerté à temps, les données étaient-elles chiffrées. Puis notifier la CNIL via son téléservice dédié dans les 72 heures de la connaissance des faits dès qu’un risque existe, en motivant tout retard, et compléter ensuite les informations manquantes. Quand le risque est élevé, écrire aux personnes concernées en des termes clairs et simples, sauf si le chiffrement ou des mesures ultérieures ont neutralisé le danger. Tout au long de la crise, documenter chaque décision dans le registre des violations et mettre à jour le registre des traitements. Enfin, traiter les causes : corriger la faille, renégocier les clauses du contrat de sous-traitance, revoir les habilitations et la politique de conservation. Une violation bien gérée reste un incident ; une violation dissimulée ou notifiée hors délai devient un manquement distinct qui aggrave la sanction et nourrit les actions en réparation. Les décisions rendues sur les sanctions de la CNIL confirment cette gradation : confirmation d’une amende de 400 000 euros pour des documents librement téléchargeables (Conseil d’État, 4 novembre 2020, n° 433311), rejet du recours contre une sanction de 75 000 euros malgré les demandes répétées de correction (Conseil d’État, 17 avril 2019, n° 423559), et réduction d’une amende quand le grief de non-notification reposait sur une erreur de droit (Conseil d’État, 22 juillet 2022, n° 449694).
Besoin d’un avis rapide sur votre dossier
Si votre entreprise vient de subir une violation de données personnelles, si votre prestataire vous signale un incident ou si la CNIL vous a notifié un contrôle après une fuite, faites examiner votre situation en numérique et données personnelles par Maître Reda KOHEN, avocat au Barreau de Paris. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.