O P T - O N

Pour un numérique responsable ...

Gestion d'incidents RGPD : qui fait quoi en cas d'incident ?

Gestion d’incidents RGPD : qui fait quoi en cas d’incident ?

En matière de gestion d’incidents RGPD, les rôles doivent être clairement définis : les employés signalent, le DPO analyse et la direction décide. En France, si une violation de données présente un risque pour les personnes, la notification à la CNIL doit partir dans les 72 heures. Et ce délai passe très vite.

Si vous voulez éviter le flou au mauvais moment, retenez ceci :

  • Un employé repère l’anomalie : e-mail parti au mauvais destinataire, PC perdu, rançongiciel, accès anormal, réclamation client.
  • Il alerte tout de suite : sans attendre d’avoir toutes les infos.
  • Le DPO vérifie s’il s’agit d’une violation de données personnelles et mesure le risque.
  • La direction reste responsable de la décision de notifier ou non la CNIL.
  • Personne ne contacte la CNIL seul, sauf selon la procédure prévue.
  • Tous les incidents doivent être tracés, même si la notification n’est pas requise.

En clair, nous pouvons résumer l’article comme ainsi :
les employés sont les yeux et les oreilles, le DPO tient la réponse, et la direction porte la décision juridique.

Ce que vous devez avoir en place avant l’incident :

  • une procédure écrite ;
  • un circuit d’alerte simple ;
  • une cellule de crise identifiée ;
  • des modèles de notification prêts ;
  • un test au moins 1 fois par an.
Gestion d'incident RGPD : Qui Fait Quoi en 72h ?

Incident RGPD : Qui Fait Quoi en 72h ?

Comparaison rapide

SujetDPOEmployés
Avant l’incidentPrépare la procédure, forme, organiseSuit les règles, participe aux formations
DétectionReçoit l’alerte, lance la réponseRepère et signale
AnalyseQualifie l’incident, mesure le risqueDonne les faits utiles
CNILCoordonne la notificationNe contacte pas la CNIL seul
Personnes concernéesConseille sur l’information à envoyerN’informe pas sans consigne
Après l’incidentDocumente, suit les correctionsApplique les mesures demandées

Le point à retenir : un incident mal signalé fait perdre des heures. Et en matière de RGPD, 72 heures, ce n’est pas long. La suite de l’article sert donc à poser une chaîne simple, écrite et testée, pour que chacun sache quoi faire dès les premières minutes.

 

Gestion d’incidents RGPD : le rôle du DPO avant, pendant et après un incident

Avant l’incident : procédures, formation et préparation aux risques

Le DPO prépare la réponse bien avant qu’un incident n’arrive. Son rôle commence avec la mise en place d’une procédure interne de réponse aux incidents (PRI), d’un circuit d’alerte interne clair et d’une bonne coordination entre les acteurs clés. Pour cadrer tout ça, il peut s’appuyer sur des standards comme l’ISO/IEC 27035. L’idée est simple : savoir qui fait quoi, à quel moment, et avec qui. C’est aussi dans ce cadre qu’il aide à définir la cellule de crise : direction, DSI, juridique et communication.

Concrètement, il prépare des modèles de notification pour les cas les plus courants, comme une cyberattaque, une erreur humaine ou la perte d’un équipement. Il crée aussi en amont un compte sur le portail officiel notifications.cnil.fr, ce qui évite de perdre du temps le jour où il faut agir. Autre point clé : la mise à jour des Analyses d’Impact relatives à la Protection des Données (AIPD) pour qu’elles reflètent les risques réels de l’organisation.

Le DPO forme aussi les employés à repérer une violation et à la signaler sans attendre. Un exemple tout simple : une clé USB perdue ou un e-mail envoyé au mauvais destinataire.

Quand l’incident survient, tout ce travail en amont permet au DPO de qualifier la situation et de lancer la réponse sans partir de zéro.

Gestion d’incidents RGPD : évaluation du risque, notification à la CNIL et suivi

Dès qu’un incident est remonté, le DPO le qualifie et évalue le risque. Il doit d’abord répondre à une question de base : s’agit-il bien d’une violation de données personnelles au sens du RGPD ? Ensuite, il mesure le niveau de risque pour les personnes concernées. Cette analyse repose sur cinq critères :

  • la nature de la violation
  • la sensibilité des données
  • la possibilité d’identifier les personnes
  • la gravité des conséquences
  • la vulnérabilité des personnes concernées

En pratique, ses missions changent selon le moment de l’incident.

PhaseResponsabilité du DPO
DétectionQualifier l’événement, activer la cellule de crise
ÉvaluationÉvaluer l’impact sur les droits et libertés
NotificationRédiger et envoyer la notification à la CNIL, consigner l’incident dans le registre interne
SuiviPiloter les mesures correctives, mettre à jour les AIPD

En cas de doute, mieux vaut notifier dans le délai, puis compléter ensuite. Ce réflexe évite de rester bloqué parce qu’il manque encore quelques éléments. Si le risque est élevé, le DPO conseille aussi sur l’information à adresser aux personnes concernées, avec des mots clairs et simples.

Après l’incident, il met à jour le registre dédié aux violations de données, propose et suit les mesures correctives. Cette répartition prépare la comparaison avec les tâches des employés.

Gestion d’incidents RGPD : le rôle des employés en cas d’incident

Après le cadre posé par le DPO, voici les réflexes attendus des employés pour la gestion d’incidents RGPD.

Les employés sont souvent les premiers à voir qu’il se passe quelque chose d’anormal. Leur rôle est simple : alerter tout de suite. Ils n’ont pas à décider si l’incident entre, ou non, dans une catégorie juridique. Ils font remonter les faits, point.

Reconnaître et signaler un incident sans attendre

Dans la pratique, un incident peut sembler banal au départ : un e-mail envoyé au mauvais destinataire, un portable perdu, un rançongiciel, ou encore la réclamation d’un client.

Dès qu’un employé a un doute sérieux, il alerte immédiatement le DPO ou le RSSI, ou à défaut son manager. Pas besoin d’attendre d’avoir toutes les réponses. Mieux vaut signaler tôt que perdre du temps.

Une fois l’alerte envoyée, le salarié doit transmettre des éléments concrets et utiles. Le signalement indique les faits, l’heure de découverte, les données concernées et les premières mesures prises. En clair : l’employé signale, le DPO qualifie.

Gestion d’incidents RGPD : soutenir le confinement et l’investigation

Après l’alerte, le rôle de l’employé change un peu : il aide à contenir l’incident, sans toucher aux preuves. Cela veut dire suivre les consignes données, même si le réflexe naturel serait de « nettoyer » la situation tout de suite.

Concrètement, il peut s’agir d’isoler un poste du réseau si cela est demandé, de ne pas éteindre les machines sauf consigne contraire, et de conserver les preuves. Par exemple, des captures d’écran datées avec l’URL visible peuvent aider lors de l’analyse.

Ne supprimez rien, ne contactez pas la CNIL et ne prévenez pas les personnes concernées sans consigne. La gestion d’un incident suit une chaîne précise : chaque geste compte, mais il doit rester coordonné avec l’équipe en charge.

Gestion d’incidents RGPD : qui fait quoi entre le DPO et les employés ?

Après l’alerte, le sujet n’est plus de savoir s’il y a un incident. À ce stade, il faut savoir qui décide et qui agit. La réponse se joue phase par phase.

Tableau comparatif : rôles de la détection à la remédiation

Une fois le signalement fait, la réponse s’organise de façon assez claire :

PhaseResponsabilités du DPOResponsabilités des employés
PréventionFormalise les procédures internes et organise les formationsSuit les politiques de sécurité et participe aux sessions de sensibilisation
DétectionReçoit les alertes et déclenche la chaîne de réponse interneRepère les anomalies, comme un hameçonnage ou un appareil perdu, et signale immédiatement
AnalyseQualifie l’incident et évalue les risques pour les personnes concernéesFournit les faits : ce qui s’est passé, quand et quelles données sont concernées
NotificationCoordonne et soumet la notification à la CNIL dans les délais applicablesAide à rassembler les faits utiles à la notification
RemédiationSuit les actions correctives et met à jour le registre interne des violationsApplique les nouvelles mesures de sécurité et adapte ses pratiques

Dit simplement, les employés sont souvent les premiers à voir le problème. Le DPO, lui, prend du recul, qualifie la situation et cadre la suite. Ce partage évite un grand classique en cas d’incident : des gens de bonne foi qui agissent vite, mais dans le désordre.

Les limites de décision : ce que les employés ne doivent pas décider seuls

Au-delà des tâches du quotidien, certaines décisions ne peuvent pas être prises seul, même avec les meilleures intentions.

DécisionRôle du DPORôle de l’employé
Qualification de l’incidentQualifie juridiquement et évalue le risqueRapporte les faits, sans trancher
Notification à la CNILCoordonne la notification avec la directionN’a pas autorité pour contacter la CNIL directement
Communication aux personnes concernéesConseille la direction sur la nécessité d’informerAide à la préparation si cela lui est demandé

C’est un point clé : un employé peut dire voilà ce que j’ai vu, voilà ce qui a été perdu, voilà les données touchées. En revanche, il ne doit pas décider seul s’il s’agit d’une violation au sens du RGPD, ni s’il faut prévenir la CNIL, ni s’il faut informer les personnes concernées.

Le DPO garde une place à part dans la gestion d’incidents RGPD. Il reste indépendant : la direction ne lui dicte ni la qualification d’une violation ni l’opportunité de notifier la CNIL. Cette indépendance, prévue à l’article 38 du RGPD, protège l’organisation autant que les personnes dont les données sont en jeu.

En pratique, le schéma est simple : les employés alertent, le DPO qualifie, et la direction tranche.

Construire une chaîne de réponse claire

Une fois les rôles partagés entre le DPO et les employés, il faut les coucher noir sur blanc dans une seule chaîne de réponse. La procédure doit vivre dans des documents opérationnels simples d’accès, pas rester dans la tête de deux ou trois personnes.

La matrice RACI sert à fixer qui fait quoi, sans zone grise, à chaque moment sensible : détection, analyse, notification et suivi entre l’IT, le DPO, le juridique et la direction. Sans cadre écrit, les premières heures peuvent vite tourner au flou.

Mais ce découpage ne suffit pas. Chaque étape doit aussi être horodatée. Le délai de 72 heures, week-ends et jours fériés compris, oblige à faire remonter l’information tout de suite et à valider les faits sans traîner. Dit autrement : si les relais ne sont pas prévus à l’avance, le compteur tourne déjà contre vous.

Pour aller plus vite le moment venu, il faut aussi standardiser les outils utilisés pendant l’incident. Les outils de notification doivent être prêts avant l’incident pour éviter toute perte de temps.

Un test annuel permet de voir si la chaîne tient la route : délais, contacts, responsabilités, tout doit passer à l’épreuve du terrain. Une procédure jamais testée rate souvent son entrée le jour où il faut s’en servir. Un appui externe peut aussi aider à formaliser la procédure, former les équipes et vérifier que la chaîne d’alerte fonctionne.

Points clés à retenir

En pratique, quatre règles simples évitent la plupart des blocages :

  • Les employés alertent – sans qualifier, sans décider.
  • Le DPO qualifie et documente – il évalue le risque et conseille sur l’obligation de notifier.
  • La direction décide de la notification – elle reste juridiquement responsable.
  • La procédure doit être testée – tous les incidents, même sous le seuil de notification, sont consignés dans le registre interne.

FAQs

Quand commence le délai de 72 heures ?

Le délai de 72 heures démarre au moment où le responsable du traitement prend connaissance de la violation. En clair, il faut qu’il ait un degré raisonnable de certitude sur le fait que l’incident a bien eu lieu.

Une simple suspicion ne suffit donc pas. En revanche, inutile d’attendre une certitude absolue pour agir. Dès lors que les éléments disponibles permettent de considérer la violation comme réelle, le délai commence à courir.

Si l’incident est ancien, le point de départ n’est pas la date de l’intrusion elle-même, mais la date de sa découverte.

Que faire si l’on n’est pas sûr qu’il s’agisse d’une violation RGPD ?

En cas de doute, le plus simple est de signaler l’incident à la CNIL. L’autorité pourra examiner le dossier et dire s’il faut aussi prévenir les personnes concernées.

En parallèle, consignez l’incident en interne, même s’il vous semble mineur : la nature de la violation, les conséquences probables, ainsi que les mesures correctives prévues ou déjà mises en place.

Qui décide d’informer les personnes concernées ?

La décision d’informer les personnes concernées relève uniquement du responsable du traitement.

Si la violation présente un risque élevé pour les droits et libertés des personnes, c’est donc à lui d’assurer cette communication, avec l’appui et les conseils du DPO.

L’autorité de contrôle peut aussi intervenir et ordonner cette information si elle le juge nécessaire.