Données et numérique

Incident de données au cabinet d’ostéopathie : le plan des 72 premières heures

Après les premiers gestes techniques, le cabinet qualifie la violation, documente le risque et décide si la CNIL ou les personnes doivent être informées.

Rédaction · 28 août 2026

Lecture express

Ce qu’il faut retenir

Après les premiers gestes techniques, le cabinet qualifie la violation, documente le risque et décide si la CNIL ou les personnes doivent être informées.

Lorsqu’un courriel part vers la mauvaise personne, qu’un ordinateur disparaît ou qu’un compte semble compromis, le cabinet doit agir avant de connaître toute l’histoire. Le bon réflexe n’est ni de notifier automatiquement, ni d’attendre un rapport parfait : il faut contenir l’incident, préserver les faits, déterminer s’il touche des données personnelles, évaluer le risque pour les personnes et documenter la décision.

Le délai de 72 heures concerne la notification à la CNIL lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés. Il court après que le responsable du traitement a une certitude raisonnable qu’un incident a touché des données personnelles. Ce plan répartit les décisions des 72 premières heures sans confondre urgence technique, analyse réglementaire et information des patients.

Cette page commence là où le triage technique rencontre les données personnelles. Pour isoler un équipement, contenir un compte, préserver les premières preuves et maintenir l’activité, utilisez d’abord la fiche incident numérique : les premières décisions utiles. Ici, le fil directeur est différent : qualifier une violation, fixer l’heure de connaissance, tenir le registre, évaluer le risque, décider d’une notification à la CNIL et, si le risque est élevé, informer les personnes.

En bref

Ouvrez une chronologie dès le signalement et notez séparément les faits, hypothèses, décisions et heures.
Avant l’analyse réglementaire, vérifiez que les premiers gestes techniques ont été réalisés et que leur heure, leur résultat et les preuves préservées sont transmis au pilote.
Une violation peut toucher la confidentialité, l’intégrité ou la disponibilité ; elle n’exige pas nécessairement un piratage.
Toute violation de données personnelles est documentée dans le registre interne, qu’elle soit notifiée ou non.
Si la violation présente un risque pour les droits et libertés, le responsable la notifie à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance.
Si le risque est élevé, les personnes sont informées dans les meilleurs délais, sauf exception prévue par l’article 34 du RGPD.
Lorsqu’un prestataire agit comme sous-traitant au sens du RGPD, il informe le responsable du traitement sans retard indu de toute violation de données personnelles dont il prend connaissance ; il ne remplace ni son analyse du risque ni sa décision de notifier (CNIL).

Reconnaître une violation de données avant de parler de notification

Un incident de sécurité et une violation de données personnelles ne sont pas synonymes. Un logiciel indisponible sans donnée personnelle concernée peut rester un incident technique. À l’inverse, une simple erreur de destinataire peut devenir une violation, même sans attaque informatique. La qualification vient des données et des effets, pas du caractère spectaculaire de l’événement.

Vérifier confidentialité, intégrité et disponibilité

Le RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant accidentellement ou illicitement destruction, perte, altération, divulgation non autorisée ou accès non autorisé. Trois dimensions aident à la reconnaître. La confidentialité est atteinte lorsqu’une personne non autorisée voit ou reçoit des données. L’intégrité l’est lorsque des informations sont modifiées sans autorisation ou deviennent peu fiables. La disponibilité l’est lorsque les données sont perdues ou rendues inaccessibles.

Un même événement peut cumuler les trois. Un compte compromis peut consulter des dossiers, modifier des coordonnées et supprimer des pièces. Un rançongiciel peut bloquer l’accès sans preuve immédiate d’exfiltration ; l’indisponibilité suffit déjà à examiner l’existence d’une violation. Ne limitez donc pas l’analyse à la question « des données sont-elles sorties ? ».

Fixer l’heure de connaissance sans attendre la certitude absolue

La CNIL situe le point de départ du délai au moment où le responsable dispose d’un degré de certitude raisonnable qu’un incident a eu lieu et a touché des données personnelles. Une alerte vague peut nécessiter quelques vérifications. Une personne qui fournit la preuve qu’elle a reçu le dossier d’un autre patient établit beaucoup plus vite cette certitude.

Consignez deux heures : celle du premier signal et celle à laquelle la certitude raisonnable est atteinte. Expliquez l’écart par les investigations réellement menées. Cette distinction évite deux erreurs : déclencher un compte à rebours sur chaque anomalie sans données, ou retarder artificiellement la connaissance en exigeant une expertise complète.

Organiser le relais après les premiers gestes techniques

Le confinement, la collecte initiale des preuves et le mode dégradé relèvent de la fiche de premiers gestes face à un incident numérique. DATA‑06 ne duplique pas cette procédure. Elle reprend le relais dès qu’un fait laisse raisonnablement penser que des données personnelles ont pu être détruites, perdues, modifiées, divulguées ou consultées sans autorisation.

Transmettez au pilote réglementaire un état bref : heure du premier signal, systèmes concernés, mesures de confinement déjà prises, preuves préservées, données potentiellement touchées et incertitudes. Ne lui demandez pas de diriger une intervention technique qu’il ne maîtrise pas. Son rôle est de fixer la chronologie de connaissance, d’obtenir les faits nécessaires et d’ouvrir l’analyse de la violation sans attendre la résolution complète.

Organiser la première heure autour d’un pilote et d’un journal

Un petit cabinet n’a pas besoin d’une cellule de crise complexe, mais il lui faut un pilote, une trace commune et des interlocuteurs identifiés. La fiche sécurité de la CNIL recommande de diffuser une conduite à tenir, de définir les contacts, les circuits d’alerte et les actions permettant de circonscrire un incident.

Table de réaction à un incident avec câble isolé, enveloppe de preuve scellée, clé et carnet fermé — Une réaction utile sépare le confinement technique, la preuve et la décision réglementaire.

Attribuer cinq responsabilités, même à deux personnes

Désignez qui pilote, qui contient techniquement, qui rassemble les faits, qui évalue le risque pour les personnes et qui communique. Une même personne peut tenir plusieurs rôles, mais chaque action a un propriétaire. Le pilote maintient la chronologie et évite les décisions contradictoires.

Préparez hors ligne les coordonnées du prestataire logiciel, de l’hébergeur ou support, du conseil juridique ou DPO lorsqu’il existe, de l’assureur concerné et des autorités d’assistance. Le service public 17Cyber peut orienter les victimes de cybermalveillance ; il ne remplace ni la notification CNIL lorsqu’elle est requise, ni l’analyse du responsable du traitement.

Demander au prestataire des faits, pas seulement un verdict

Lorsqu’il agit comme sous-traitant au sens du RGPD, le prestataire informe le responsable du traitement sans retard indu de toute violation de données personnelles dont il prend connaissance, conformément à l’article 33, paragraphe 2, du RGPD. Demandez l’heure, les environnements touchés, les comptes, les données, les journaux disponibles, les mesures déjà prises, les autres sous-traitants impliqués et la prochaine mise à jour. Une réponse « incident maîtrisé » ne suffit pas si elle ne décrit ni périmètre ni preuve.

Le responsable du traitement reste maître de sa documentation et de sa décision de notifier. Le contrat peut prévoir que le sous-traitant effectue la notification en son nom, mais cette délégation ne transfère ni l’analyse ni les obligations du responsable. Conservez chaque version des faits : le périmètre évolue souvent pendant les premières heures.

Cartographier l’incident dans les quatre premières heures

La cartographie répond à quatre questions : quelles données, quelles personnes, quelles opérations et quelles protections ? Elle doit être assez précise pour décider, sans prétendre connaître immédiatement chaque enregistrement.

Identifier données, personnes et destinataires

Listez les catégories touchées : identité, coordonnées, rendez-vous, notes de suivi, documents, factures, données de connexion ou échanges. Estimez le nombre de personnes et d’enregistrements. Indiquez si des enfants, personnes vulnérables ou situations particulières peuvent être concernés. Les données de santé sont sensibles, mais leur seule présence ne suffit pas à calculer mécaniquement le risque : contexte, volume, détail et accès comptent.

Recherchez les destinataires effectifs ou possibles. Un courriel envoyé à un patient connu, une publication publique et un accès par un attaquant n’ont pas la même vraisemblance d’usage. Notez ce qui est confirmé et ce qui reste seulement possible.

Vérifier protections et portée réelle

Le chiffrement doit être analysé concrètement : données chiffrées à quel moment, clé séparée ou non, poste déjà déverrouillé, session ouverte, copie disponible ? Un code écran faible ou un fichier protégé par un mot de passe joint au même message ne produit pas la même protection qu’un chiffrement robuste dont la clé n’est pas compromise.

Vérifiez aussi les journaux, exports, suppressions, appareils, sauvegardes et intégrations. Un compte compromis peut n’avoir ouvert aucun dossier, ou avoir généré un export massif. L’absence de trace n’est pas toujours la preuve de l’absence d’accès ; elle devient une incertitude à intégrer dans l’évaluation.

Évaluer le risque pour les personnes sans score magique

Le seuil réglementaire porte sur les droits et libertés des personnes, pas seulement sur la gravité informatique pour le cabinet. La CNIL demande une appréciation au cas par cas tenant compte du type de violation, de la sensibilité et du volume, de l’identifiabilité, des conséquences possibles, des caractéristiques des personnes et de l’organisme.

Cycle en quatre décisions pour un incident : alerter, contenir, évaluer et décider — Le cycle est itératif : un fait nouveau peut modifier le risque et la décision de notification.

Niveau retenu	Conduite minimale
Aucun risque probable	Contenir, corriger et documenter la violation ainsi que la justification de l’absence de notification.
Risque	Documenter et notifier la CNIL dans les meilleurs délais, si possible avant 72 heures.
Risque élevé	Documenter, notifier la CNIL et informer les personnes dans les meilleurs délais, hors exception applicable.

Décrire les conséquences plausibles

Examinez divulgation d’informations de santé, usurpation, fraude, discrimination, atteinte à la réputation, détresse, perte financière ou interruption ayant un effet concret. Reliez chaque conséquence à un chemin plausible. « Données sensibles » ne remplace pas cette analyse ; « une note détaillée envoyée à un voisin identifié pourrait révéler une situation de santé » décrit mieux le risque.

Mesurer l’effet des protections et corrections

Une suppression confirmée, une session révoquée avant consultation, un chiffrement robuste ou une restauration immédiate peuvent réduire le risque. Ne les traitez pas comme des talismans. Vérifiez leur efficacité et leur portée. La CNIL cite notamment la perte de données chiffrées à l’état de l’art avec clé non compromise et copie disponible comme situation pouvant ne pas justifier une notification ; l’exemple dépend de toutes ces conditions.

Décider avant 72 heures si la CNIL doit être notifiée

L’article 33 du RGPD prévoit une notification à l’autorité compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque. Le délai n’autorise donc pas à attendre le dernier moment ; il borne une décision fondée sur les faits disponibles.

Préparer le contenu minimal

La notification décrit la nature de la violation, les catégories et nombres approximatifs de personnes et d’enregistrements, le point de contact, les conséquences probables et les mesures prises ou proposées. Le téléservice sécurisé de la CNIL guide la démarche. Préparez les éléments dans le registre avant de les recopier afin de conserver une source commune.

Notifier en deux temps si l’enquête continue

Il n’est pas nécessaire de disposer de toutes les informations au même instant. Le RGPD permet une communication échelonnée sans retard indu, et la CNIL rappelle qu’une notification initiale peut être complétée. Indiquez clairement les incertitudes, ce qui est encore recherché et la date de la prochaine mise à jour.

Si le délai est dépassé alors que la notification est requise, notifiez malgré tout et expliquez le retard. Ne transformez pas un dépassement en motif pour abandonner la démarche.

Informer les personnes lorsque le risque est élevé

L’article 34 du RGPD impose une communication dans les meilleurs délais lorsque le risque est élevé. Cette information n’est pas une copie juridique de la notification CNIL : elle doit permettre à la personne de comprendre et de se protéger.

Écrire un message clair, précis et actionnable

Présentez la nature de la violation, les conséquences probables, le contact et les mesures prises. Ajoutez seulement des recommandations adaptées : changer un mot de passe réutilisé, surveiller des messages ciblés, vérifier un document ou contacter un canal dédié. Ne demandez pas une action inutile pour donner l’impression d’agir.

Évitez le déni, le langage technique et les promesses absolues. Dites ce qui est connu, ce qui ne l’est pas et quand une prochaine information sera fournie. Coordonnez le contenu avec la CNIL ou le conseil compétent lorsque nécessaire, sans retarder une protection urgente.

Vérifier les exceptions sans les présumer

La communication individuelle peut ne pas être nécessaire lorsque des protections rendent les données incompréhensibles aux personnes non autorisées, lorsque des mesures ultérieures écartent le risque élevé, ou lorsque l’effort serait disproportionné. Dans ce dernier cas, une communication publique ou mesure équivalente reste requise. Documentez la condition exacte ; une affirmation générale « tout était sécurisé » ne suffit pas.

Qualifier quatre scénarios après les premiers gestes techniques

Les exemples suivants commencent après le confinement initial décrit dans GEST‑11. Ils ne prescrivent pas la réponse technique ; ils montrent les faits à réunir pour documenter une violation et décider selon le risque pour les personnes.

Courriel ou document envoyé au mauvais destinataire

Conservez le message, identifiez les pièces et le destinataire, demandez suppression et non-diffusion, puis recherchez confirmation. Évaluez le lien entre destinataire et personne concernée, la sensibilité, les indices d’ouverture ou de transfert et les conséquences plausibles. Corrigez ensuite la sélection de destinataire, les automatismes et les procédures d’envoi.

Téléphone ou ordinateur perdu ou volé

Après les premiers gestes de sécurisation, vérifiez chiffrement, verrouillage, données locales, notifications visibles, sessions ouvertes et copie disponible. Le simple code d’ouverture ne permet pas de conclure ; documentez la configuration réelle au moment de la perte, la possibilité d’accès et l’effet des mesures déjà prises.

Compte de logiciel ou messagerie compromis

Une fois le compte contenu par la procédure technique, examinez connexions, règles de transfert, exports, créations d’administrateurs et changements de données. Distinguez la possibilité théorique d’accès des opérations établies, sans traiter l’absence de journal comme une preuve d’innocuité. Le guide sur les droits d’accès et comptes nominatifs aide à réduire le périmètre avant l’incident suivant.

Rançongiciel ou indisponibilité suspecte

Après le confinement et la préservation initiale, établissez si les données sont seulement indisponibles ou si leur confidentialité et leur intégrité ont aussi pu être atteintes. Documentez la durée, les dossiers concernés, l’existence d’une copie et les conséquences concrètes de l’interruption. Le plan de sauvegarde et restauration traite la reprise ; DATA‑06 utilise ses résultats pour réévaluer le risque.

Documenter chaque violation, même sans notification

L’article 33 impose de documenter les faits, les effets et les mesures prises. La CNIL recommande d’y ajouter les catégories et nombres approximatifs, les conséquences probables et, le cas échéant, la justification de l’absence de notification ou d’information.

Tenir une chronologie unique

Chaque ligne comporte heure et fuseau, source, fait observé, qualification, décision, responsable et résultat. Séparez les hypothèses. Conservez les versions successives de l’évaluation. Cette trace montre quand la certitude raisonnable a été atteinte et pourquoi la décision a évolué.

Protéger les preuves et limiter leur duplication

Rangez captures, journaux, messages et rapports dans un espace à accès limité. Référencez-les depuis le registre plutôt que de recopier des données sensibles. Notez l’origine et les transformations éventuelles. Le but est de permettre l’analyse et la justification, pas de créer une nouvelle base exposée.

Relier la reprise à l’évaluation réglementaire

La méthode de restauration et de continuité appartient à GEST‑11 et au guide sur les sauvegardes. Dans le registre de violation, consignez seulement ce que la reprise démontre : durée réelle d’indisponibilité, intégrité de la copie, dossiers effectivement récupérés, effets sur les personnes et nouvelle limite découverte. Une restauration réussie peut réduire une conséquence sans effacer une divulgation déjà survenue.

Après stabilisation, réouvrez l’évaluation du risque avec les faits nouveaux. Mettez à jour la notification si elle était initiale, conservez la justification d’une décision inchangée et rattachez les corrections à la checklist RGPD du cabinet. DATA‑06 ferme ainsi la boucle réglementaire ; elle ne décrit pas la remise en service technique.

Tester la décision réglementaire après un triage fictif

GEST‑11 peut tester le confinement et la continuité. Pour DATA‑06, commencez après ce triage avec des noms et dossiers entièrement fictifs : un compte a été suspendu, un export inhabituel reste à confirmer et l’heure du premier signal est connue. Donnez ensuite les faits progressivement. Demandez à l’équipe de dater la certitude raisonnable, cartographier les données et personnes, qualifier les conséquences, choisir un niveau de risque et motiver la décision.

Contrôlez l’accès au registre, le point de contact, le contenu minimal d’une notification initiale, la séparation entre CNIL et information des personnes et la capacité à mettre à jour l’analyse. Ne soumettez aucune notification fictive dans le téléservice. L’exercice est réussi si chaque décision reste reliée à un fait, une heure et une source, pas si l’équipe trouve trop vite une réponse définitive.

Checklist des 72 premières heures

[ ] Premier signal, certitude raisonnable et fuseau horaire consignés séparément.
[ ] Pilote, responsable technique, évaluateur du risque et communicant identifiés.
[ ] Canal de coordination indépendant du système compromis.
[ ] Relais reçu depuis la procédure de premiers gestes : mesures techniques, heures, résultats et incertitudes.
[ ] Références des journaux, messages et preuves préservées consignées sans duplication inutile de données.
[ ] Confidentialité, intégrité et disponibilité évaluées.
[ ] Catégories de données, personnes, volumes et destinataires estimés.
[ ] Protections réelles et incertitudes documentées.
[ ] Conséquences plausibles et mesures de réduction décrites.
[ ] Décision « aucun risque / risque / risque élevé » motivée et datée.
[ ] Notification initiale CNIL réalisée avant 72 heures si le risque le requiert.
[ ] Notification complémentaire planifiée si des informations manquent.
[ ] Message clair aux personnes préparé si le risque est élevé.
[ ] Prestataire, conseil, assureur et assistance contactés selon leur rôle réel.
[ ] Restauration testée dans un environnement sain avant reprise.
[ ] Registre complété, y compris si aucune notification n’est requise.

Connaître les limites

Ce plan ne remplace ni une expertise de réponse à incident, ni un conseil juridique individualisé. Une cyberattaque peut déclencher d’autres obligations pénales, contractuelles, assurantielles ou sectorielles. La notification CNIL ne remplace pas un dépôt de plainte, une assistance technique ou une communication prévue par un autre texte.

Le délai de 72 heures n’est pas le délai pour résoudre l’incident, informer systématiquement tous les patients ou achever l’enquête. Il encadre, lorsque le seuil de risque est atteint, la notification à l’autorité après connaissance. La protection des personnes et le confinement commencent avant.

Enfin, les exemples ne donnent pas un verdict automatique. Un appareil perdu peut présenter peu de risque si toutes les conditions de chiffrement et de disponibilité sont démontrées ; un courriel unique peut présenter un risque élevé selon son contenu et son destinataire. Conservez le raisonnement, pas seulement la case finale.

Suivi éditorial

Sources officielles contrôlées le : 29 août 2026. Prochaine revue prévue : 29 novembre 2026. Revue anticipée en cas de modification des articles 33 ou 34 du RGPD, du téléservice CNIL, de la doctrine sur le point de départ du délai ou des recommandations publiques de réponse aux cyberattaques.

Sources officielles

Un article doit mener à une action utile.

Passez de la lecture à l’action

Ouvrez les outils pratiques du Hub Geniosteo.

Ouvrir l’outil

Échangez avec vos pairs

Retrouvez les discussions et l’expérience d’autres ostéopathes.

Rejoindre la communauté