Notifier une violation en cinq jours : le déroulé, heure par heure

Un jeudi à dix-neuf heures, la responsable administrative d’une clinique privée reçoit un message d’un patient : il a reçu par erreur le compte rendu d’une autre personne. Elle appelle le prestataire, qui ne répond pas. Elle se dit qu’elle verra dimanche. L’horloge a démarré à dix-neuf heures et il lui reste, dimanche matin, un peu plus de la moitié du délai.

La notification d’une violation de données se compte en cinq jours à partir de la connaissance, et presque toutes les entreprises qui ratent ce délai le ratent pour la même raison : elles attendent d’être sûres. Un projet d’intelligence artificielle ne change pas la règle, il multiplie les endroits où un incident peut naître.

Cet article donne le déroulé heure par heure : ce qui déclenche l’horloge, comment on qualifie les faits, qui signe, ce que la notification contient, et ce que le week-end fait au calendrier. Il ne traite pas de la façon d’arrêter un incident — les quatre récits et la première heure sont un autre sujet, et un meilleur point de départ pour ce volet-là.

Une violation de données n’est pas un synonyme de piratage. Elle recouvre trois atteintes : à la confidentialité — quelqu’un a vu ce qu’il ne devait pas ; à l’intégrité — des données ont été altérées ; à la disponibilité — vous n’y avez plus accès.

La troisième surprend et c’est celle que les entreprises écartent à tort. Un serveur chiffré par un rançongiciel, une sauvegarde perdue, un prestataire qui coupe l’accès à une base : ce sont des atteintes à la disponibilité de données personnelles, même si personne ne les a lues.

À l’inverse, une panne de courant qui rend un logiciel indisponible deux heures sans perte de données n’est pas une violation, et un dossier consulté par une personne habilitée qui n’avait pas de raison de le faire en est peut-être une — c’est un accès non autorisé même sans intrusion extérieure.

La bonne question, celle qui se pose en dix minutes, est en trois temps : des données personnelles sont-elles concernées, l’une des trois atteintes s’est-elle produite, et pouvez-vous démontrer que non. Le troisième temps est le plus utile : quand la réponse est « probablement pas, mais nous ne pouvons pas le montrer », traitez-la comme une violation.

La notification engage le responsable de traitement, c’est-à-dire l’entreprise, sur l’exactitude de ce qu’elle décrit. Elle est donc signée par la direction, sur la base d’un dossier préparé par le délégué à la protection des données lorsqu’il y en a un.

Le responsable informatique fournit les faits techniques et ne signe pas. La distinction n’est pas hiérarchique : il décrit ce qu’il a constaté, ce qui est déjà considérable, et il n’est pas en position d’arbitrer ce que l’entreprise déclare d’elle-même.

Cette répartition doit être écrite avant, parce que le moment où elle se découvre est le pire pour la décider. Une entreprise qui passe six heures à savoir qui a le droit de signer a dépensé un vingtième de son délai sur une question d’organigramme.

Prévoyez aussi le remplaçant. Un délai de cinq jours traverse fréquemment une absence, et une procédure qui nomme une seule personne s’arrête le jour où cette personne est en congé — ce qui, statistiquement, arrivera une fois sur quelques incidents.

L’information des personnes concernées est une obligation distincte, déclenchée par le niveau de risque pour elles et non par la taille de l’incident. Un fichier de mille adresses e-mail exposées et trois comptes rendus médicaux envoyés au mauvais destinataire ne se traitent pas de la même façon, et c’est le second cas qui appelle une information individuelle.

Le message doit être utile, pas juridique. Ce qui s’est passé, quelles données les concernant sont en cause, ce qu’elles risquent concrètement, ce qu’elles peuvent faire — changer un mot de passe, surveiller un relevé, se méfier d’un appel se réclamant de vous — et à qui écrire.

Ce qu’il ne faut pas faire est plus court : ne pas minimiser, ne pas attendre d’avoir une bonne nouvelle à annoncer en même temps, et ne pas envoyer un message générique à toute la base quand seules trente personnes sont concernées. Le troisième transforme un incident circonscrit en événement public.

Le calendrier de cette information n’est pas celui de la notification à l’autorité, et les deux se préparent séparément. Dans la pratique, la seconde se rédige plus vite que la première, parce qu’elle est factuelle là où celle-ci demande de choisir des mots.

Nous écrivons la procédure sur une page avec vous : qui note l’heure, qui qualifie, qui signe, qui remplace, et la phrase à envoyer quand le dossier est encore incomplet. Nous vérifions aussi que les journaux existent et remontent assez loin, parce qu’une notification sans journaux est une notification qui décrit des impressions.

Nous menons la répétition à blanc et nous chronométrons, y compris quand le résultat est gênant pour la personne qui nous a fait venir. C’est la partie de ce travail qui a la valeur la plus mesurable et c’est celle qu’on nous demande le moins.

Nous n’envoyons rien à l’autorité en votre nom et nous ne signons pas votre notification. Elle engage votre entreprise sur l’exactitude de ce qu’elle décrit, et une déclaration signée par un prestataire technique est une déclaration que la direction découvre après coup. Nous préparons ; vous signez.

Et nous ne dirons pas qu’un incident n’est pas une violation. Cette qualification a des conséquences juridiques, elle appartient à un avocat ou à votre délégué, et un prestataire qui rassure sur ce point vous économise une déclaration en vous coûtant la seule protection que la déclaration apportait — le fait d’avoir agi dans les délais.