1. Reconnaître une violation de la sécurité des données
Le guide du PFPDT rappelle qu’il y a violation lorsque des données personnelles sont perdues, effacées, modifiées ou divulguées à des personnes non autorisées, de manière accidentelle ou illicite. Un envoi au mauvais destinataire peut donc entrer dans cette définition.
Toute violation n’entraîne pas une annonce. En revanche, chaque incident mérite une évaluation rapide et une trace écrite de la décision prise.
2. Limiter la diffusion
Agissez vite et sans aggraver la situation. Tentez le rappel du message si votre messagerie le permet. Contactez les destinataires pour leur demander de supprimer le message et ses pièces jointes, puis de le confirmer par écrit. Retirez les accès d’un dossier partagé ouvert par erreur.
Ne renvoyez pas le fichier pour expliquer l’erreur. Ne diffusez pas l’incident au-delà des personnes qui doivent agir.
3. Évaluer le risque pour les personnes
La loi impose d’annoncer dans les meilleurs délais au PFPDT les violations qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. Le guide cite la nature des données comme critère central : des données de santé conduisent souvent à un risque élevé, mais des données non sensibles peuvent aussi y mener selon le contexte.
Regardez aussi le nombre de personnes, les destinataires réels et les mesures déjà prises. Selon le guide, des mesures d’urgence prouvées avant l’annonce peuvent être prises en compte. En cas de doute sur l’exclusion d’un risque élevé, il ne faut pas attendre.
4. Annoncer et informer si nécessaire
Lorsque l’annonce est due, le PFPDT met un portail à disposition. L’annonce indique au moins la nature de la violation, ses conséquences et les mesures prises ou envisagées. Les compléments peuvent suivre si toutes les informations ne sont pas disponibles.
Les personnes concernées doivent être informées lorsque cela est nécessaire à leur protection ou lorsque le PFPDT l’exige. Préparez un message factuel : ce qui s’est passé, les données touchées, les mesures prises et le contact.
5. Penser à l’assurance
Si vous avez une assurance cyber, vérifiez si elle couvre aussi les incidents de données sans attaque informatique, et quelles sont ses obligations d’annonce. Certains contrats exigent un avis rapide ou l’accord de l’assureur avant de mandater des prestataires. Une annonce aux autorités ne remplace pas la déclaration à l’assureur, et inversement.
Exemple illustratif : un fichier de salaires mal adressé
Une responsable RH envoie la liste des salaires de son service à toute l’équipe au lieu de la direction.
Elle prévient immédiatement la personne chargée de la protection des données. Les destinataires sont contactés, la suppression est confirmée par écrit et les accès sont vérifiés. L’entreprise documente l’évaluation du risque, la décision prise sur l’annonce et l’information des personnes. Elle contacte aussi son assureur cyber selon la police.
Checklist
- Incident signalé à la personne responsable sans délai.
- Diffusion limitée : rappel, suppression confirmée, accès retirés.
- Données, personnes et destinataires identifiés.
- Risque évalué et décision d’annonce documentée.
- Annonce au PFPDT effectuée si elle est due.
- Information des personnes préparée si nécessaire.
- Obligations de la police cyber vérifiées.
FAQ
Faut-il annoncer chaque erreur d’envoi ?
Non. L’obligation vise les cas qui entraînent vraisemblablement un risque élevé. Documentez toutefois l’évaluation.
Un prestataire RH externe doit-il nous prévenir ?
Oui. Le sous-traitant doit informer le responsable du traitement de toute violation. Prévoyez ce point dans vos contrats.
L’assurance cyber couvre-t-elle ces erreurs ?
Cela dépend de la police. Vérifiez la définition de l’incident couvert et les frais pris en charge.
Pour aller plus loin
Assurance cyber · Cyberattaque : quels frais vérifier ? · Ateliers RH