Fuite de données : les 72 heures qui comptent

Le RGPD impose des obligations précises en cas de violation de données à caractère personnel. Bien préparées, ces 72 heures se gèrent sereinement ; improvisées, elles coûtent cher.

1. Contenir et documenter

Coupez l’accès, changez les mots de passe, isolez les systèmes touchés. Notez immédiatement les faits : quoi, quand, combien de personnes, quelles données. Toute violation doit être consignée dans un registre interne (article 33.5 du RGPD), même si elle n’est pas notifiée.

2. Évaluer le risque

La question clé : la violation présente-t-elle un risque pour les droits et libertés des personnes concernées ? Des données chiffrées et inexploitables présentent peu de risque ; des données de santé ou bancaires exposées en présentent un élevé.

3. Notifier l’Autorité de protection des données

Si un risque existe, la notification à l’APD doit intervenir dans les 72 heures après en avoir pris connaissance (article 33). Si toutes les informations ne sont pas encore disponibles, elles peuvent être communiquées par étapes.

4. Informer les personnes concernées

Si le risque est élevé, les personnes concernées doivent être informées dans les meilleurs délais, en termes clairs (article 34) : nature de la violation, conséquences probables, mesures prises, conseils pratiques.

Préparez dès aujourd’hui une procédure d’une page : qui décide, qui contacte qui, quel modèle de notification. C’est la meilleure assurance contre la panique.