Fuite de données : la notification RGPD en 72 heures

Une clé USB perdue, un compte piraté, un portable volé, un e-mail envoyé au mauvais destinataire : dès qu'une donnée personnelle est exposée, le RGPD déclenche un compte à rebours. Vous disposez de 72 heures pour notifier la violation à l'autorité de contrôle. Ce délai court est souvent la partie la plus stressante de l'incident, surtout lorsqu'aucune procédure n'a été préparée et que l'on découvre les exigences dans l'urgence.

La bonne approche ne consiste pas à espérer que rien n'arrive, mais à préparer deux choses à l'avance : la capacité à documenter rapidement une violation, et des mesures techniques qui réduisent le risque à la source. Ces deux volets se renforcent l'un l'autre. Mieux vos postes sont protégés, moins une fuite expose de données réellement exploitables, et plus il est facile de justifier vos décisions face à l'autorité.

Ce qu'exige la notification en 72 heures

La notification n'est pas une simple déclaration : elle doit contenir des informations précises, que vous devez pouvoir rassembler rapidement. Préparer ces éléments à l'avance fait gagner un temps décisif.

• La nature de la violation et les catégories de données concernées.
• Le nombre approximatif de personnes et d'enregistrements touchés.
• Les conséquences probables pour les personnes concernées.
• Les mesures prises ou prévues pour limiter les effets de la violation.
• Les coordonnées du DPO ou du point de contact pour l'autorité.

Quand démarre le compte à rebours ?

Le délai de 72 heures court à partir du moment où vous avez connaissance de la violation, et non de sa survenue. Cette distinction est essentielle : elle rend indispensable une détection rapide et une chaîne d'alerte interne claire. Si un collaborateur repère un incident mais ne sait pas à qui le signaler, vous perdez des heures précieuses avant même de commencer l'analyse.

Toute violation n'est pas nécessairement à notifier. Si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes, elle n'a pas à être signalée à l'autorité — mais vous devez pouvoir le justifier et consigner cette analyse dans votre registre interne des violations. Ce registre est lui-même une obligation : il doit exister même pour les incidents non notifiés.

Réduire le risque à la source, sur les postes

C'est là que la sécurité des endpoints change la donne. Des données chiffrées et un appareil maîtrisable réduisent fortement le risque pour les personnes concernées — au point, dans certains cas, de dispenser de notification ou d'atténuer sensiblement la gravité de l'incident.

• Chiffrement (BitLocker, FileVault) : des données volées mais totalement illisibles.
• Effacement à distance via Intune : neutraliser un appareil perdu ou volé.
• MFA et Accès conditionnel : limiter la portée d'un identifiant volé.
• Journalisation des accès : établir précisément l'étendue de l'exposition réelle.

Au-delà de la notification à l'autorité, le RGPD peut aussi imposer d'informer directement les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour elles. Là encore, les contrôles endpoint pèsent dans la balance : si les données volées étaient chiffrées et donc illisibles, ce risque élevé peut être écarté, ce qui vous dispense d'une communication anxiogène à vos clients ou salariés. Préparer ces mesures en amont, c'est donc réduire à la fois votre exposition juridique, votre charge de travail en situation de crise et l'impact sur votre réputation.

La marche à suivre le jour de l'incident

Quand une violation est détectée, agir dans le bon ordre évite les erreurs de précipitation et sécurise votre dossier. Cette séquence vous garde maître du calendrier des 72 heures.

1. 1Contenez la violation : révoquez les accès, isolez ou effacez l'appareil concerné.
2. 2Qualifiez l'incident : quelles données, combien de personnes, quel niveau de risque.
3. 3Vérifiez les mesures techniques en place, notamment le chiffrement, et conservez-en la preuve.
4. 4Décidez si la notification à l'autorité et l'information des personnes sont requises.
5. 5Consignez l'ensemble dans votre registre des violations, notifiez si nécessaire dans les 72 heures.

Un exemple concret

Une PME perd un portable contenant les dossiers RH de ses salariés. Panique légitime : des données personnelles sensibles sont potentiellement exposées, et le compte à rebours de 72 heures démarre. Mais le poste était chiffré avec BitLocker, enregistré dans Intune, et un effacement à distance a été déclenché dès la déclaration de la perte.

Le DPO documente la chronologie, joint la preuve que le chiffrement était actif au moment de la perte, et conclut que le risque pour les personnes est fortement réduit. La violation est consignée au registre interne, mais l'analyse démontre qu'une notification à l'autorité n'est pas requise et qu'aucune communication anxiogène aux salariés n'est nécessaire. Sans chiffrement, le même incident aurait imposé une notification et probablement l'information de chaque salarié concerné.

Les erreurs fréquentes à éviter

La gestion d'une fuite de données déraille souvent sur des problèmes d'organisation plus que de technique. Voici les pièges les plus coûteux.

• Découvrir les exigences du RGPD le jour de l'incident, sans procédure ni registre prêts.
• Ne pas savoir prouver que le chiffrement était actif, faute de rapport daté.
• Ignorer le point de départ du délai, et croire disposer de plus de temps qu'en réalité.
• Négliger le registre des violations pour les incidents non notifiés, pourtant obligatoire.
• Sur-notifier par précaution sans analyse, ce qui alourdit inutilement vos obligations et alarme les personnes.

Comment AuPoint réduit votre risque

AuPoint est un SaaS qui rend la sécurité et la conformité Intune faciles, sans PowerShell. La plateforme déploie ces contrôles — chiffrement, effacement à distance, MFA, Accès conditionnel — sur toute votre flotte en quelques clics, avec un aperçu de l'impact avant application et un retour arrière en un clic. Surtout, elle cartographie chaque mesure vers les exigences du RGPD et produit un rapport exportable et daté. Le jour où l'incident survient, vous prouvez votre diligence au lieu de partir de zéro, et vous documentez rapidement votre analyse de risque.

Questions fréquentes

Un appareil chiffré volé est-il une violation à notifier ?

Le vol reste une violation à analyser, mais le chiffrement réduit fortement le risque pour les personnes. Si les données étaient illisibles et la clé non compromise, la notification à l'autorité n'est souvent pas requise. Vous devez toutefois consigner l'incident et votre analyse dans le registre interne.

Que se passe-t-il si je dépasse les 72 heures ?

Une notification tardive reste possible, mais doit être accompagnée d'une justification du retard. L'important est de ne pas dissimuler l'incident : une notification hors délai bien motivée vaut mieux qu'une absence de notification. Anticiper la procédure reste le meilleur moyen de tenir le délai.

Dois-je toujours informer les personnes concernées ?

Seulement lorsque la violation est susceptible d'engendrer un risque élevé pour elles. Si des mesures comme le chiffrement rendent les données inexploitables, ce risque élevé peut être écarté, ce qui vous dispense d'informer directement les personnes tout en respectant vos obligations.

Connectez votre tenant Microsoft à AuPoint et réduisez votre risque de fuite en quelques minutes, avec aperçu de l'impact et réversibilité garantie, sans PowerShell. Commencez gratuitement sur aupoint.io.