Violation de données au cabinet : évaluer le risque et agir dans les délais

Un compte rendu vient de partir à un homonyme. Vous vous apercevez de l’erreur et cherchez à limiter ses conséquences. Dans ce moment, deux tâches se rejoignent : interrompre ce qui peut encore l’être et comprendre ce que l’incident signifie pour la personne dont les informations ont été exposées.

Nous allons suivre cette seconde tâche, jusqu’aux décisions de notification et d’information. Le raisonnement vaut aussi lorsqu’un appareil disparaît ou que des dossiers deviennent inaccessibles après une attaque. Les premières mesures techniques sont expliquées dans le guide de l’incident numérique ; elles doivent être coordonnées avec l’analyse des données.

Savoir ce qui est arrivé aux informations

Une violation de données personnelles est un incident de sécurité qui entraîne notamment une perte, une destruction, une modification, une divulgation ou un accès non autorisé. Elle peut être accidentelle. L’erreur d’envoi concerne la confidentialité, mais un incident peut aussi toucher l’exactitude ou la disponibilité des dossiers.

Il faut donc regarder au-delà d’un éventuel vol. Une attaque qui bloque des informations peut constituer une violation même si aucune copie emportée hors du système, appelée exfiltration, n’est démontrée.

Une panne se qualifie à partir des faits : son origine, sa durée et son effet sur les données. Le prestataire aide à les établir. Cette étape permet d’éviter de confondre toute interruption avec une violation, ou de croire qu’un incident sans vol ne peut jamais en constituer une.

Construire une chronologie utilisable

Dans l’exemple d’envoi erroné, commencez par noter le document, le destinataire, les informations contenues et ce qui a déjà été fait. Séparez les faits confirmés des questions encore ouvertes. Pour une attaque, demandez les mêmes éléments concrets au support : documents touchés, accès observés et protections en place.

Le moment où le cabinet prend connaissance de la violation doit être consigné. Il peut différer de la date de l’incident. Une violation établie demande une analyse sans attendre la fin de toute l’enquête technique.

Si l’entreprise agit comme sous-traitant, elle doit signaler une violation au responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Un compte rendu précis aide le cabinet à décider ; une assurance générale de sécurité ne remplace pas les éléments vérifiés.

Se placer du côté des personnes concernées

Le risque ne correspond pas seulement au temps pendant lequel le cabinet ne peut pas travailler. Il concerne les conséquences possibles pour les personnes : exposition d’informations intimes, usurpation, discrimination ou difficulté causée par l’indisponibilité d’un dossier.

La sensibilité et la quantité d’informations, la possibilité d’identifier la personne et l’étendue de l’accès doivent être examinées. Le chiffrement peut limiter le risque si les données sont réellement illisibles pour le tiers et que le moyen de déchiffrement n’a pas été compromis.

Supposons, dans un exemple fictif, que le destinataire erroné confirme avoir supprimé le courriel. Cette réponse est utile à l’analyse et peut participer aux mesures de réduction des effets. Elle ne permet pas d’affirmer, à elle seule, qu’aucune lecture ou copie n’a eu lieu.

Comprendre le seuil et le délai de notification

L’article 33 du RGPD prévoit une notification à l’autorité dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance. Elle n’est pas requise lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés.

Le service officiel de la CNIL, l’autorité française de protection des données, permet cette démarche. Il faut présenter les faits, les catégories et les nombres approximatifs concernés si disponibles, les conséquences probables, les mesures et le contact.

Si tout n’est pas encore connu, une notification initiale peut être complétée sans retard injustifié. Un retard au-delà de 72 heures doit être expliqué. Le délai demande donc d’organiser l’analyse rapidement, plutôt que d’attendre trois jours avant de la commencer.

Expliquer la situation lorsque le risque est élevé

L’article 34 prévoit l’information des personnes dans les meilleurs délais en cas de risque élevé. Cette information répond à un seuil distinct et n’est pas soumise au même délai chiffré que la notification à l’autorité.

Le message doit rendre la situation compréhensible : ce qui s’est passé, les conséquences possibles, les actions entreprises et les mesures utiles à la personne, avec un contact. Son ton doit rester fidèle aux faits, y compris aux incertitudes encore présentes.

Les exceptions prévues par le texte doivent être vérifiées : protection rendant les données incompréhensibles, mesures ultérieures écartant le risque élevé ou effort disproportionné avec une communication publique tout aussi efficace. Une volonté de discrétion ne suffit pas à les invoquer.

Garder la décision et apprendre de l’incident

Toute violation doit être documentée, même sans notification. Conservez les faits, les effets et les mesures dans un espace protégé, avec les raisons de la décision. Le retour du logiciel ou la fin d’un partage ne clôt pas automatiquement les conséquences pour les personnes.

Examinez ensuite la cause avec les intervenants : vérification du destinataire, réglage des accès ou procédure manquante. Ce retour transforme l’incident en amélioration concrète de l’organisation et permet de préparer une réponse plus fiable si une autre difficulté survient.

Textes et démarches officielles consultés le 3 octobre 2026. La décision dépend des faits et du risque de chaque violation.