Comment réagir juridiquement en cas de violation ou de fuite de données personnelles ?

La fuite de données est l’un des rares sujets où la qualité de la réaction pèse autant que la qualité de la prévention. Une entreprise qui a subi un incident sérieux mais l’a traité avec méthode s’en sort généralement mieux qu’une entreprise à l’incident mineur mais à la réaction désordonnée.

Les premières heures : là où tout se joue

Trois actions se mènent en parallèle.

1. Contenir : couper l’accès compromis, réinitialiser les identifiants, isoler le système touché. Cette partie relève de votre équipe technique et/ou de votre prestataire, mais elle produit des éléments dont la valeur juridique est immédiate.
2. Préserver les preuves : conserver les journaux de connexion, les échanges avec le prestataire, l’horodatage des découvertes. Ces éléments détermineront plus tard le point de départ du délai de 72 heures et votre bonne foi.
3. Établir les faits : quelles catégories de données, combien de personnes sont touchées, quelle fenêtre temporelle, les données étaient-elles chiffrées ou non, etc. Tous les éléments doivent être pris en compte et remontés au DPO.

Qualifier le problème et évaluer le risque

Une violation de données ne se limite pas au piratage. Elle recouvre toute destruction, perte, altération, divulgation ou accès non autorisé, de manière accidentelle ou illicite. Un courriel envoyé au mauvais destinataire, un ordinateur portable perdu, une armoire de dossiers laissée accessible, une sauvegarde effacée sans copie : tous relèvent de la définition donnée par le RGPD.

L’article 33 du RGPD impose la notification à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Passé ce délai, la notification reste possible mais doit être accompagnée des motifs du retard.

L’appréciation du risque tient compte de la nature des données, de leur volume, de la facilité d’identification des personnes, de la gravité des conséquences possibles et du caractère particulier de certaines catégories, notamment les données de santé et les données financières.

Notifier en Belgique auprès de l’Autorité de protection des données (dans certains cas seulement)

La notification s’adresse à l’Autorité de protection des données. Elle s’effectue par un formulaire en ligne, structuré en deux temps : une première partie, qui peut être soumise rapidement pour tenir le délai de 72 heures, et une seconde partie à compléter dans les vingt et un jours calendrier, avec les éléments d’analyse et les mesures correctrices.

Ce séquençage est précieux. Il permet de notifier sans attendre d’avoir tout compris, ce qui est précisément la situation dans laquelle se trouve une entreprise au deuxième jour d’un incident.

Le contenu de la notification est encadré : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, coordonnées du point de contact, conséquences probables, mesures prises ou envisagées. La rédaction demande de la précision. Une notification trop vague appelle des questions ; une notification qui reconnaît plus que ce qui est établi crée une exposition inutile.

Informer les personnes concernées (dans certains cas également)

Lorsque la violation est susceptible d’engendrer un risque élevé, l’article 34 impose de communiquer directement avec les personnes concernées, dans les meilleurs délais et dans un langage clair. Trois exceptions permettent d’y échapper : des mesures de protection appropriées rendaient les données incompréhensibles, par exemple un chiffrement robuste ; des mesures ultérieures ont fait disparaître le risque élevé ; ou la communication individuelle exigerait des efforts disproportionnés, auquel cas une communication publique s’y substitue.

Cette communication est le moment le plus délicat. Elle doit dire la vérité, indiquer ce que la personne doit faire concrètement, et ne pas ouvrir de front juridique inutile. Nous la rédigeons avec vous, en tenant compte de vos obligations contractuelles vis-à-vis de vos clients et, le cas échéant, de vos engagements envers votre assureur.

En toutes hypothèses : Documenter, y compris les incidents non notifiés à l’APD ou considérés comme mineurs

L’article 33.5 impose de documenter toute violation, ses effets et les mesures prises, indépendamment de la notification.

Ce registre interne est le document qui permet de démontrer, plusieurs mois plus tard, que la décision de ne pas notifier reposait sur une analyse et non sur un oubli. Son absence transforme un choix défendable en manquement.

Et pour la suite ?

Un incident sérieux appelle souvent des suites : demandes d’accès des personnes concernées, questions de clients professionnels sur vos mesures, discussion avec l’assureur, parfois plainte devant l’Autorité de protection des données ou action en réparation.

Les manquements aux obligations de sécurité et de notification relèvent du plafond de 10 millions d’euros ou 2 % du chiffre d’affaires mondial, les manquements aux principes du traitement relevant du plafond supérieur de 20 millions ou 4 %.

Notre intervention couvre l’ensemble de cette séquence, de l’appel initial jusqu’à la clôture du dossier, avec un principe constant : ce qui est écrit dans les quarante-huit premières heures détermine le reste.