Violation de données personnelles : le guide pratique pour les dirigeants de PME

Un salarié envoie par erreur le fichier des salaires à toute l’entreprise. Un ordinateur portable disparaît dans un train. Un matin, vos fichiers sont chiffrés et un message réclame une rançon. Dans chacun de ces cas, vous êtes face à une violation de données personnelles au sens du RGPD. Et le chronomètre est lancé : vous avez 72 heures pour décider s’il faut prévenir la CNPD.

Cet article vous explique, sans jargon, ce qu’est une violation de données, comment savoir si vous devez la déclarer, et ce que vous devez faire concrètement, heure par heure.

Qu’est-ce qu’une violation de données personnelles ?

Le RGPD la définit comme un incident de sécurité qui entraîne, de manière accidentelle ou volontaire, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou l’accès non autorisé à ces données.

En pratique, une violation peut toucher trois choses :

La confidentialité : quelqu’un qui n’aurait pas dû voir les données les a vues. Exemple : un email contenant des données clients envoyé au mauvais destinataire, un pirate qui copie votre base clients.

L’intégrité : les données ont été modifiées sans autorisation. Exemple : un pirate qui change les coordonnées bancaires de vos fournisseurs dans votre logiciel comptable.

La disponibilité : vous n’avez plus accès aux données, temporairement ou définitivement. Exemple : une attaque par rançongiciel, une clé USB perdue, un serveur détruit sans sauvegarde.

Retenez ce point, souvent mal compris : une violation n’est pas forcément un piratage. Une erreur humaine, un vol de matériel ou une panne peuvent suffire. Et une violation de disponibilité (vous avez « perdu » les données) est une vraie violation, même si personne ne les a lues.

Qui est responsable de gérer la violation ?

C’est vous, en tant que responsable du traitement, c’est-à-dire l’entreprise qui décide pourquoi et comment les données sont utilisées. C’est le cas pour les données de vos salariés, de vos clients, de vos prospects.

Si la violation a lieu chez un prestataire (votre hébergeur, votre éditeur de logiciel de paie, votre infogérant), ce prestataire a l’obligation de vous prévenir dans les meilleurs délais. Mais c’est toujours à vous de décider s’il faut notifier la CNPD et prévenir les personnes concernées. Le prestataire ne le fait pas à votre place, sauf si votre contrat le prévoit expressément.

Conseil pratique : vérifiez dès aujourd’hui que vos contrats avec vos prestataires prévoient un délai court d’alerte (24 ou 48 heures) et précisent les informations qu’ils doivent vous transmettre. Si le prestataire vous prévient au bout de 60 heures, il ne vous reste presque rien.

Le délai de 72 heures : à partir de quand compte-t-il ?

Le délai court à partir du moment où vous avez pris connaissance de la violation. Le Comité européen de la protection des données (CEPD) précise que c’est le moment où vous avez un degré raisonnable de certitude qu’un incident de sécurité a compromis des données personnelles.

Concrètement, quand vous recevez une alerte, vous pouvez prendre un court moment pour vérifier ce qui s’est passé. Pendant cette vérification, le délai ne court pas encore. Mais attention : cette vérification doit commencer immédiatement et rester brève. Si vous laissez traîner une alerte pendant une semaine, la CNPD pourra considérer que vous avez manqué à votre obligation.

Quelques exemples tirés des lignes directrices européennes :

Vous perdez une clé USB contenant des données non chiffrées. Vous ne savez pas si quelqu’un l’a trouvée et lue. Peu importe : vous savez que les données sont perdues. Le délai court dès que vous constatez la perte.

Un client vous appelle pour dire qu’il a reçu par erreur les données d’un autre client. Vous avez une preuve claire. Le délai court immédiatement.

Un pirate vous contacte pour réclamer une rançon. Vous vérifiez que l’attaque est réelle. Dès que c’est confirmé, le délai court.

Et un point que beaucoup de dirigeants découvrent trop tard : les 72 heures incluent le week-end. Une violation découverte un vendredi à 17 heures doit être notifiée au plus tard le lundi à 17 heures.

Faut-il toujours déclarer une violation à la CNPD ?

Non. Le RGPD fonctionne par niveaux de risque.

Aucun risque probable pour les personnes : pas de notification à la CNPD. Mais vous devez quand même documenter l’incident dans votre registre interne.

Un risque pour les personnes : notification à la CNPD dans les 72 heures.

Un risque élevé pour les personnes : notification à la CNPD et information des personnes concernées, dans les meilleurs délais.

Comment évaluer le risque ?

Posez-vous des questions simples :

Quelles données sont touchées ? Une liste d’adresses email professionnelles n’a pas le même poids que des données de santé, des coordonnées bancaires, des copies de pièces d’identité ou des mots de passe.

Combien de personnes sont concernées ? Trois personnes ou trois mille ?

Les personnes sont-elles facilement identifiables à partir des données ?

Qu’est-ce qui peut leur arriver concrètement ? Usurpation d’identité, fraude financière, discrimination, atteinte à la réputation, simple désagrément ?

Les personnes sont-elles vulnérables ? Enfants, patients, salariés en situation délicate ?

Les données étaient-elles protégées ? C’est souvent le point décisif. Si vous perdez une clé USB dont les données sont chiffrées avec un algorithme solide, que la clé de déchiffrement n’est pas compromise et que vous disposez d’une sauvegarde, la violation peut ne pas devoir être notifiée. La même clé non chiffrée, c’est une autre histoire.

Quelques cas concrets

Une coupure de courant de quelques minutes empêche vos clients de joindre votre service client : pas de notification, mais vous l’inscrivez dans votre registre.

Un rançongiciel chiffre vos fichiers, mais vous restaurez tout rapidement grâce à vos sauvegardes et l’enquête montre qu’aucune donnée n’a été copiée : en principe, pas de notification, mais documentation obligatoire.

Le même rançongiciel, sans sauvegarde exploitable : notification à la CNPD, et information des personnes selon la nature des données perdues.

Un pirate s’introduit dans votre boutique en ligne et récupère identifiants, mots de passe et historiques d’achat : notification à la CNPD et information des clients, car le risque est élevé.

En cas de doute, notifiez. Une notification de précaution n’est pas une faute. Une absence de notification qui aurait dû avoir lieu, si.

Votre plan d’action en cas de violation de données

Première heure : contenir

Arrêtez l’hémorragie. Déconnectez le poste infecté du réseau, changez les mots de passe compromis, demandez au destinataire d’un email mal envoyé de le supprimer et de vous le confirmer par écrit, bloquez l’accès au compte piraté. Prévenez votre prestataire informatique.

Ne détruisez aucune trace. Les journaux de connexion, les emails, les messages du pirate sont des preuves dont vous aurez besoin.

Premières 24 heures : comprendre et évaluer

Désignez une personne qui pilote la gestion de l’incident. Rassemblez les faits : que s’est-il passé, quand, quelles données, combien de personnes, quelles conséquences possibles. Évaluez le niveau de risque avec les questions ci-dessus.

C’est le bon moment pour appeler votre avocat ou votre délégué à la protection des données (DPO), si vous en avez un. L’évaluation du risque est la décision la plus délicate de tout le processus.

Avant 72 heures : notifier la CNPD si nécessaire

Au Luxembourg, l’autorité compétente est la Commission nationale pour la protection des données (CNPD). La notification se fait via le formulaire disponible sur son site internet.

Votre notification doit contenir au minimum :

la nature de la violation, avec si possible les catégories et le nombre approximatif de personnes et de données concernées ;

le nom et les coordonnées d’un contact (votre DPO ou une autre personne) ;

les conséquences probables de la violation ;

les mesures prises ou envisagées pour y remédier et limiter les effets négatifs.

Vous n’avez pas toutes les réponses au bout de 72 heures ? C’est normal et le RGPD le prévoit. Vous pouvez notifier en plusieurs fois : une première notification avec ce que vous savez, puis des compléments au fur et à mesure de votre enquête. Ne retardez pas la notification pour attendre d’avoir un dossier parfait.

Si vous dépassez les 72 heures, vous devez quand même notifier, en expliquant les raisons du retard.

Dans les meilleurs délais : informer les personnes concernées en cas de risque élevé

Le message doit être rédigé en termes clairs et simples. Il explique ce qui s’est passé, les conséquences possibles, les mesures que vous avez prises et, surtout, ce que les personnes peuvent faire pour se protéger : changer leur mot de passe, surveiller leurs relevés bancaires, se méfier des emails frauduleux qui pourraient utiliser leurs données.

Privilégiez un message individuel (email, courrier, SMS). Évitez de noyer l’information dans une newsletter ou une mise à jour de vos conditions générales.

Vous êtes dispensé d’informer les personnes dans trois cas : les données étaient rendues incompréhensibles (chiffrement), vous avez pris des mesures qui éliminent le risque élevé, ou l’information individuelle demanderait des efforts disproportionnés. Dans ce dernier cas, vous devez passer par une communication publique tout aussi efficace.

Attention : si vous décidez de ne pas informer les personnes, la CNPD peut vous l’imposer.

Toujours : documenter

C’est l’obligation que les PME oublient le plus souvent. Toute violation, même mineure, même non notifiée, doit être inscrite dans un registre des violations. Vous y notez les faits, les effets et les mesures prises. Et si vous décidez de ne pas notifier, notez pourquoi.

Ce registre est la première chose que la CNPD vous demandera en cas de contrôle. Un simple tableur bien tenu suffit.

Que risquez-vous si vous ne faites rien ?

Le non-respect des obligations de notification et d’information peut être sanctionné par une amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La CNPD peut aussi vous ordonner d’informer les personnes concernées.

Mais le vrai risque pour une PME est souvent ailleurs. Des clients qui apprennent la fuite par la presse ou par un tiers avant de l’apprendre par vous, c’est une perte de confiance difficile à rattraper. Et les personnes concernées peuvent vous demander réparation de leur préjudice.

À l’inverse, une entreprise qui réagit vite, notifie correctement et informe ses clients avec transparence s’en sort généralement beaucoup mieux, auprès de l’autorité comme auprès de ses clients.

Notez enfin que selon votre secteur (santé, finance, énergie, télécoms, prestataires numériques), d’autres obligations de notification peuvent s’ajouter à celles du RGPD, auprès d’autres autorités et avec d’autres délais.

Préparez-vous avant que cela arrive

La meilleure gestion d’une violation de données se prépare à froid. Cinq actions simples pour votre PME :

1. Rédigez une procédure d’une page : qui alerter, qui décide, qui notifie, avec les numéros de téléphone utiles (prestataire informatique, avocat, assureur).
2. Formez vos équipes à reconnaître et signaler immédiatement un incident. Un salarié qui cache son erreur par peur de la sanction vous fait perdre des heures précieuses.
3. Chiffrez vos ordinateurs portables, téléphones et supports amovibles. C’est souvent ce qui fait la différence entre une violation à notifier et un simple incident à documenter.
4. Testez vos sauvegardes. Une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde.
5. Relisez vos contrats de sous-traitance pour vérifier les délais et modalités d’alerte de vos prestataires.

FAQ : violation de données personnelles

Un email envoyé au mauvais destinataire, est-ce une violation de données ?
Oui, s’il contient des données personnelles. Il faut évaluer le risque selon le contenu de l’email et le destinataire. Un email interne contenant un nom et un numéro de téléphone professionnel ne présente généralement pas de risque. Une fiche de paie envoyée à un tiers extérieur, si.

Le délai de 72 heures compte-t-il en jours ouvrables ?
Non. Ce sont 72 heures calendaires, week-ends et jours fériés compris.

Je n’ai pas toutes les informations au bout de 72 heures, que faire ?
Notifiez avec ce que vous savez et complétez ensuite. La notification échelonnée est expressément prévue par le RGPD.

Mon prestataire a été piraté, est-ce à lui de notifier la CNPD ?
En principe non. Il doit vous alerter sans tarder. C’est à vous, en tant que responsable du traitement, d’évaluer le risque et de notifier.

Dois-je documenter une violation que je ne notifie pas ?
Oui, toujours. Toute violation doit figurer dans votre registre interne, avec la justification de votre décision de ne pas notifier.

---

Vous faites face à une violation de données ou vous souhaitez préparer votre entreprise avant qu’elle ne survienne ? Les avocats d’Infuero accompagnent les PME luxembourgeoises dans l’évaluation du risque, la notification à la CNPD et la mise en place de procédures simples et efficaces. Contactez-nous.