Règlement (UE) 2016/679, article 33

Cyberattaque et rançongiciel : les obligations déclenchées

Une attaque informatique déclenche simultanément plusieurs obligations qui ne relèvent pas du même texte, ne s'adressent pas à la même autorité et ne courent pas sur le même calendrier. Les confondre coûte du temps au moment précis où il en manque : la première chose à établir n'est pas ce qui s'est passé techniquement, mais quelles procédures sont ouvertes.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Une attaque est une violation, même sans exfiltration

L'article 4.12 du règlement définit la violation comme une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée de données ou l'accès non autorisé à celles-ci. Un chiffrement par rançongiciel entraîne au minimum une perte de disponibilité : la qualification est acquise sans qu'il soit besoin d'établir une exfiltration.

Cette précision est décisive dans les premières heures, parce que l'établissement d'une exfiltration prend des jours, alors que le délai de notification court à compter de la prise de connaissance. Attendre les conclusions de l'investigation forensique pour qualifier revient à laisser expirer le délai sur la seule question déjà tranchée.

Le risque s'apprécie ensuite selon ce que l'indisponibilité, l'altération ou la divulgation emportent pour les personnes : impossibilité d'accéder à un dossier de soin, de percevoir une prestation, exposition de données financières ou de données de l'article 9.

Plusieurs régimes, un seul événement

La notification de l'article 33

À l'autorité de protection des données, dans les meilleurs délais et si possible 72 heures au plus tard après la prise de connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés.

L'information des personnes, article 34

Due lorsque la violation est susceptible d'engendrer un risque élevé, dans les meilleurs délais, en des termes clairs et simples, sous réserve des trois exceptions du paragraphe 3.

Les régimes de cybersécurité

Les entités relevant de la directive (UE) 2022/2555 ou, pour le secteur financier, du règlement (UE) 2022/2554 supportent des obligations de notification propres, auprès d'autorités distinctes et selon des séquences qui leur sont propres. Elles ne se substituent pas à celles du règlement sur la protection des données.

Les obligations contractuelles

Un sous-traitant doit avertir le responsable du traitement dans les meilleurs délais au titre de l'article 33.2, et les contrats prévoient fréquemment des délais d'alerte plus courts envers les clients. Ces engagements courent en parallèle.

Les décisions des premières heures

Trois décisions structurent la suite, et elles se prennent avant que le périmètre exact soit connu. Qui pilote : une cellule identifiée, distincte de l'équipe technique qui remédie, afin que la remédiation ne suspende pas les obligations déclaratives. Ce qui est préservé : les journaux et les images des systèmes atteints, dont la conservation conditionne la capacité à établir ensuite l'étendue de la violation — et donc à la qualifier autrement que par hypothèse. Et ce qui est dit, à qui : un message factuel et daté vaut mieux qu'un silence qui sera comblé par d'autres.

La question du paiement d'une rançon dépasse le champ de la protection des données, mais elle y produit un effet : le paiement ne fait pas disparaître la violation, ne dispense d'aucune notification, et n'apporte aucune garantie que les données exfiltrées ne seront pas diffusées. Le dispositif national d'assistance aux victimes d'actes de cybermalveillance oriente vers les démarches à engager, dont le dépôt de plainte.

Ce qui se joue avant l'attaque

Deux éléments déterminent, plus que tout autre, la manière dont un incident est traité. Le premier est le délai de remontée interne : le temps qui s'écoule entre le moment où une anomalie est constatée par un salarié et celui où la personne compétente en est informée. C'est lui qui détermine si le délai de 72 heures est tenable.

Le second est la journalisation. Sans journaux exploitables, il est impossible d'établir quelles données ont été atteintes, et l'organisation se trouve contrainte de notifier sur le périmètre le plus large plutôt que sur le périmètre réel. L'absence de traces ne protège pas : elle élargit ce qu'il faut déclarer.

L'article 32.1 c) du règlement mentionne par ailleurs, parmi les mesures appropriées, les moyens permettant de rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique. Une sauvegarde hors ligne et testée est donc, en même temps qu'une mesure de continuité, une mesure de conformité.

Questions fréquentes

Faut-il notifier une attaque si aucune donnée n'a été volée ?

Oui, dès lors que la disponibilité, l'intégrité ou la confidentialité des données a été atteinte. L'article 4.12 du règlement (UE) 2016/679 couvre la destruction, la perte et l'altération au même titre que la divulgation. Un chiffrement par rançongiciel entraîne une perte de disponibilité et constitue une violation, indépendamment de toute exfiltration.

Le délai de 72 heures est-il tenable pendant une crise ?

Il l'est parce que la notification n'a pas à être complète. L'article 33.4 du règlement permet de fournir les informations de manière échelonnée lorsqu'elles ne peuvent pas l'être en même temps. Une notification initiale décrivant ce qui est connu, complétée ensuite, est conforme ; une notification tardive mais exhaustive ne l'est pas.

Une même attaque doit-elle être notifiée à plusieurs autorités ?

C'est fréquent. La notification de l'article 33 s'adresse à l'autorité de protection des données. Les entités relevant de la directive (UE) 2022/2555 ou du règlement (UE) 2022/2554 supportent des obligations distinctes auprès d'autres autorités, selon des seuils et des calendriers qui leur sont propres. Les procédures doivent être écrites avant l'incident pour être conduites en parallèle.

Payer la rançon dispense-t-il de notifier ?

Non. Le paiement ne modifie ni la qualification de la violation, ni les obligations des articles 33 et 34, et n'apporte aucune garantie quant à la non-diffusion des données exfiltrées. Il est sans effet sur le régime de protection des données, et les démarches d'assistance et de dépôt de plainte restent à engager.

Ce que ce régime déclenche ailleurs

La capacité à rétablir la disponibilité des données en cas d'incident figure parmi les mesures que l'article 32 énumère : elle s'apprécie avant l'attaque.

Les obligations de sécurité de l'article 32

Les quatre échéances de l'article 113, ce que chacune rend applicable, et ce qu'il faut avoir fait avant la suivante.

Calendrier AI Act

Les trois cas de l'article 37.1, ce que recouvrent les activités de base et la grande échelle, et les obligations qu'entraîne une désignation volontaire.

Quand nommer un DPO

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.