Règlement (UE) 2016/679, articles 33 et 34

Violation de données : notifier, informer, documenter

Une violation de données n'est pas seulement une intrusion : l'article 4.12 du règlement (UE) 2016/679 la définit comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données ou l'accès non autorisé à celles-ci. Un fichier envoyé au mauvais destinataire, un ordinateur perdu ou une sauvegarde effacée en sont, au même titre qu'une attaque.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Les trois atteintes, et pourquoi la confidentialité n'est pas la seule

La définition de l'article 4.12 couvre trois atteintes distinctes : à la confidentialité, lorsque des données sont divulguées ou rendues accessibles sans autorisation ; à l'intégrité, lorsqu'elles sont altérées ; et à la disponibilité, lorsqu'elles sont détruites ou perdues, fût-ce temporairement.

L'atteinte à la disponibilité est celle que les organisations qualifient le moins souvent comme une violation, alors qu'elle est fréquente : une sauvegarde illisible, un chiffrement par rançongiciel sans exfiltration, une suppression accidentelle sans copie. Le fait qu'aucune donnée n'ait été vue par un tiers n'écarte pas la qualification, et le risque pour les personnes peut être réel — l'impossibilité d'accéder à un dossier médical ou à un dossier d'allocations en est l'illustration.

Le délai de 72 heures et son point de départ

L'article 33.1 impose au responsable du traitement de notifier la violation à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification intervient au-delà, elle est accompagnée des motifs du retard.

Le point de départ est la prise de connaissance, non l'achèvement de l'investigation. Attendre de tout savoir pour notifier est l'erreur la plus courante : l'article 33.4 prévoit expressément que, si et dans la mesure où les informations ne peuvent être fournies en même temps, elles peuvent l'être de manière échelonnée sans autre retard indu. Une notification initiale incomplète, complétée ensuite, est conforme ; une notification tardive mais complète ne l'est pas.

L'article 33.2 impose au sous-traitant une obligation différente et non assortie de délai chiffré : notifier au responsable du traitement, dans les meilleurs délais, après avoir pris connaissance d'une violation. Le contrat de sous-traitance doit préciser ce délai, faute de quoi le responsable découvre l'incident trop tard pour tenir le sien.

Notifier l'autorité, informer les personnes : deux seuils différents

Les deux obligations ne se déclenchent pas au même niveau de risque, et c'est la distinction la plus utile à tenir en situation.

La notification à l'autorité

Elle est due sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés. Le seuil est donc bas : le doute conduit à notifier.

L'information des personnes

L'article 34.1 l'impose lorsque la violation est susceptible d'engendrer un risque élevé. Le seuil est plus haut, et l'information doit alors intervenir dans les meilleurs délais et être rédigée en des termes clairs et simples.

Les trois exceptions de l'article 34.3

L'information n'est pas requise si le responsable avait mis en œuvre des mesures rendant les données incompréhensibles, notamment un chiffrement, et que celles-ci ont été appliquées aux données concernées ; s'il a pris des mesures ultérieures garantissant que le risque élevé n'est plus susceptible de se matérialiser ; ou si elle exigerait des efforts disproportionnés, auquel cas il est procédé à une communication publique ou à une mesure similaire d'effet équivalent.

Le contenu de la notification

L'article 33.3 l'énumère : la nature de la violation et, si possible, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ; les coordonnées du délégué ou d'un autre point de contact ; les conséquences probables ; et les mesures prises ou proposées, y compris pour en atténuer les éventuelles conséquences négatives.

Le registre des violations, y compris celles qui ne sont pas notifiées

L'article 33.5 impose au responsable de documenter toute violation, en indiquant les faits, ses effets et les mesures prises pour y remédier, et précise que cette documentation permet à l'autorité de contrôle de vérifier le respect de l'article 33. Elle porte sur toutes les violations, y compris celles qui n'ont pas été notifiées.

C'est le point le plus souvent manquant. Une organisation qui a jugé qu'un incident ne présentait pas de risque doit pouvoir produire l'analyse qui l'a conduite à cette conclusion : c'est elle, et non l'absence d'incident déclaré, qui démontre que la qualification a été faite. Un registre vide n'établit pas qu'il n'y a jamais eu de violation ; il établit qu'aucune n'a été examinée.

La procédure interne qui alimente ce registre se juge à un critère unique : le temps qui s'écoule entre le moment où un salarié constate l'anomalie et celui où la personne compétente en est informée. Tout le reste du dispositif dépend de ce délai.

Questions fréquentes

Toute violation de données doit-elle être notifiée à la CNIL ?

Non. L'article 33.1 du règlement (UE) 2016/679 dispense de notification la violation qui n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Le seuil est toutefois bas, et l'analyse ayant conduit à ne pas notifier doit être documentée au registre des violations prévu à l'article 33.5.

Le délai de 72 heures court-il à partir de l'incident ou de sa découverte ?

À partir de la prise de connaissance par le responsable du traitement, et non de la survenance des faits. Il n'est pas nécessaire d'avoir achevé l'investigation : l'article 33.4 permet une notification échelonnée, de sorte qu'une notification initiale incomplète puis complétée est conforme, quand une notification tardive mais complète ne l'est pas.

Un rançongiciel sans vol de données est-il une violation ?

Oui. La définition de l'article 4.12 couvre l'atteinte à la disponibilité comme à la confidentialité : un chiffrement qui rend les données inaccessibles constitue une violation, même en l'absence d'exfiltration. Le risque s'apprécie alors au regard des conséquences de l'indisponibilité pour les personnes concernées.

Faut-il informer les personnes concernées à chaque fois ?

Seulement lorsque la violation est susceptible d'engendrer un risque élevé, au sens de l'article 34.1. Trois exceptions sont prévues au paragraphe 3 : des mesures rendant les données incompréhensibles et effectivement appliquées, des mesures ultérieures écartant la matérialisation du risque élevé, ou des efforts disproportionnés, qui imposent alors une communication publique d'effet équivalent.

Ce que ce régime déclenche ailleurs

L'article 33.2 impose au sous-traitant d'avertir le responsable dans les meilleurs délais : le contrat doit chiffrer ce délai, sinon le responsable ne peut pas tenir le sien.

L'obligation de notification du sous-traitant

Une attaque peut déclencher simultanément la notification de l'article 33 et celle d'un régime de cybersécurité : les calendriers ne sont pas les mêmes.

Un incident de cybersécurité relevant de deux régimes

Le délai d'un mois et sa prorogation, ce que chaque droit permet réellement, ses limites, et la manière de motiver un refus partiel sans ouvrir un contentieux.

Droits des personnes

Les mentions de l'article 13 pour une collecte directe, celles de l'article 14 pour une collecte indirecte, les délais, et l'exigence de clarté de l'article 12.

Politique de confidentialité

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.