Vous entrez dans un espace virtuel nous permettant de vous présenter nos activités, et vous offrant la possibilité d'entrer en contact avec notre accueil commercial dans le cadre d'une relation BtoB.
Notre site collecte des informations sur votre visite et utilise des modules strictement nécessaires. Ces informations ne nous permettent pas d'identifier les visiteurs et d'utiliser les données à des fins commerciales.
Afin de vous proposez d'entrer en contact avec nous, et des réaliser des statistiques plus précises, nous devons vous demander l'autorisation pour utiliser des modules complémentaires.
Il s'agit de données vous assurant un affichage correct des pages selon votre appareil, permettant d'assurer la sécurité du notre site, de proposer des moyens de contact et de réaliser des statistiques anonymes.
Le stockage ou l’accès technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou la personne utilisant le service.
Ils s'agit de données nous permettant de réaliser des analyses statistiques anonymes plus précises et notamment l'ordre des pages qu'un visiteur consulte
Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Il s'agit des données individuelles collectées via les intégrations de notre CRM nous permettant de savoir par exemple si vous avez déjà visité notre site.
Gestion d’incidents RGPD : qui fait quoi en cas d’incident ?
En matière de gestion d’incidents RGPD, les rôles doivent être clairement définis : les employés signalent, le DPO analyse et la direction décide. En France, si une violation de données présente un risque pour les personnes, la notification à la CNIL doit partir dans les 72 heures. Et ce délai passe très vite.
Si vous voulez éviter le flou au mauvais moment, retenez ceci :
En clair, nous pouvons résumer l’article comme ainsi :
les employés sont les yeux et les oreilles, le DPO tient la réponse, et la direction porte la décision juridique.
Ce que vous devez avoir en place avant l’incident :
Incident RGPD : Qui Fait Quoi en 72h ?
Comparaison rapide
Le point à retenir : un incident mal signalé fait perdre des heures. Et en matière de RGPD, 72 heures, ce n’est pas long. La suite de l’article sert donc à poser une chaîne simple, écrite et testée, pour que chacun sache quoi faire dès les premières minutes.
sbb-itb-9879cb5
Gestion d’incidents RGPD : le rôle du DPO avant, pendant et après un incident
Avant l’incident : procédures, formation et préparation aux risques
Le DPO prépare la réponse bien avant qu’un incident n’arrive. Son rôle commence avec la mise en place d’une procédure interne de réponse aux incidents (PRI), d’un circuit d’alerte interne clair et d’une bonne coordination entre les acteurs clés. Pour cadrer tout ça, il peut s’appuyer sur des standards comme l’ISO/IEC 27035. L’idée est simple : savoir qui fait quoi, à quel moment, et avec qui. C’est aussi dans ce cadre qu’il aide à définir la cellule de crise : direction, DSI, juridique et communication.
Concrètement, il prépare des modèles de notification pour les cas les plus courants, comme une cyberattaque, une erreur humaine ou la perte d’un équipement. Il crée aussi en amont un compte sur le portail officiel notifications.cnil.fr, ce qui évite de perdre du temps le jour où il faut agir. Autre point clé : la mise à jour des Analyses d’Impact relatives à la Protection des Données (AIPD) pour qu’elles reflètent les risques réels de l’organisation.
Le DPO forme aussi les employés à repérer une violation et à la signaler sans attendre. Un exemple tout simple : une clé USB perdue ou un e-mail envoyé au mauvais destinataire.
Quand l’incident survient, tout ce travail en amont permet au DPO de qualifier la situation et de lancer la réponse sans partir de zéro.
Gestion d’incidents RGPD : évaluation du risque, notification à la CNIL et suivi
Dès qu’un incident est remonté, le DPO le qualifie et évalue le risque. Il doit d’abord répondre à une question de base : s’agit-il bien d’une violation de données personnelles au sens du RGPD ? Ensuite, il mesure le niveau de risque pour les personnes concernées. Cette analyse repose sur cinq critères :
En pratique, ses missions changent selon le moment de l’incident.
En cas de doute, mieux vaut notifier dans le délai, puis compléter ensuite. Ce réflexe évite de rester bloqué parce qu’il manque encore quelques éléments. Si le risque est élevé, le DPO conseille aussi sur l’information à adresser aux personnes concernées, avec des mots clairs et simples.
Après l’incident, il met à jour le registre dédié aux violations de données, propose et suit les mesures correctives. Cette répartition prépare la comparaison avec les tâches des employés.
Gestion d’incidents RGPD : le rôle des employés en cas d’incident
Après le cadre posé par le DPO, voici les réflexes attendus des employés pour la gestion d’incidents RGPD.
Les employés sont souvent les premiers à voir qu’il se passe quelque chose d’anormal. Leur rôle est simple : alerter tout de suite. Ils n’ont pas à décider si l’incident entre, ou non, dans une catégorie juridique. Ils font remonter les faits, point.
Reconnaître et signaler un incident sans attendre
Dans la pratique, un incident peut sembler banal au départ : un e-mail envoyé au mauvais destinataire, un portable perdu, un rançongiciel, ou encore la réclamation d’un client.
Dès qu’un employé a un doute sérieux, il alerte immédiatement le DPO ou le RSSI, ou à défaut son manager. Pas besoin d’attendre d’avoir toutes les réponses. Mieux vaut signaler tôt que perdre du temps.
Une fois l’alerte envoyée, le salarié doit transmettre des éléments concrets et utiles. Le signalement indique les faits, l’heure de découverte, les données concernées et les premières mesures prises. En clair : l’employé signale, le DPO qualifie.
Gestion d’incidents RGPD : soutenir le confinement et l’investigation
Après l’alerte, le rôle de l’employé change un peu : il aide à contenir l’incident, sans toucher aux preuves. Cela veut dire suivre les consignes données, même si le réflexe naturel serait de « nettoyer » la situation tout de suite.
Concrètement, il peut s’agir d’isoler un poste du réseau si cela est demandé, de ne pas éteindre les machines sauf consigne contraire, et de conserver les preuves. Par exemple, des captures d’écran datées avec l’URL visible peuvent aider lors de l’analyse.
Ne supprimez rien, ne contactez pas la CNIL et ne prévenez pas les personnes concernées sans consigne. La gestion d’un incident suit une chaîne précise : chaque geste compte, mais il doit rester coordonné avec l’équipe en charge.
Gestion d’incidents RGPD : qui fait quoi entre le DPO et les employés ?
Après l’alerte, le sujet n’est plus de savoir s’il y a un incident. À ce stade, il faut savoir qui décide et qui agit. La réponse se joue phase par phase.
Tableau comparatif : rôles de la détection à la remédiation
Une fois le signalement fait, la réponse s’organise de façon assez claire :
Dit simplement, les employés sont souvent les premiers à voir le problème. Le DPO, lui, prend du recul, qualifie la situation et cadre la suite. Ce partage évite un grand classique en cas d’incident : des gens de bonne foi qui agissent vite, mais dans le désordre.
Les limites de décision : ce que les employés ne doivent pas décider seuls
Au-delà des tâches du quotidien, certaines décisions ne peuvent pas être prises seul, même avec les meilleures intentions.
C’est un point clé : un employé peut dire voilà ce que j’ai vu, voilà ce qui a été perdu, voilà les données touchées. En revanche, il ne doit pas décider seul s’il s’agit d’une violation au sens du RGPD, ni s’il faut prévenir la CNIL, ni s’il faut informer les personnes concernées.
Le DPO garde une place à part dans la gestion d’incidents RGPD. Il reste indépendant : la direction ne lui dicte ni la qualification d’une violation ni l’opportunité de notifier la CNIL. Cette indépendance, prévue à l’article 38 du RGPD, protège l’organisation autant que les personnes dont les données sont en jeu.
En pratique, le schéma est simple : les employés alertent, le DPO qualifie, et la direction tranche.
Construire une chaîne de réponse claire
Une fois les rôles partagés entre le DPO et les employés, il faut les coucher noir sur blanc dans une seule chaîne de réponse. La procédure doit vivre dans des documents opérationnels simples d’accès, pas rester dans la tête de deux ou trois personnes.
La matrice RACI sert à fixer qui fait quoi, sans zone grise, à chaque moment sensible : détection, analyse, notification et suivi entre l’IT, le DPO, le juridique et la direction. Sans cadre écrit, les premières heures peuvent vite tourner au flou.
Mais ce découpage ne suffit pas. Chaque étape doit aussi être horodatée. Le délai de 72 heures, week-ends et jours fériés compris, oblige à faire remonter l’information tout de suite et à valider les faits sans traîner. Dit autrement : si les relais ne sont pas prévus à l’avance, le compteur tourne déjà contre vous.
Pour aller plus vite le moment venu, il faut aussi standardiser les outils utilisés pendant l’incident. Les outils de notification doivent être prêts avant l’incident pour éviter toute perte de temps.
Un test annuel permet de voir si la chaîne tient la route : délais, contacts, responsabilités, tout doit passer à l’épreuve du terrain. Une procédure jamais testée rate souvent son entrée le jour où il faut s’en servir. Un appui externe peut aussi aider à formaliser la procédure, former les équipes et vérifier que la chaîne d’alerte fonctionne.
Points clés à retenir
En pratique, quatre règles simples évitent la plupart des blocages :
FAQs
Quand commence le délai de 72 heures ?
Le délai de 72 heures démarre au moment où le responsable du traitement prend connaissance de la violation. En clair, il faut qu’il ait un degré raisonnable de certitude sur le fait que l’incident a bien eu lieu.
Une simple suspicion ne suffit donc pas. En revanche, inutile d’attendre une certitude absolue pour agir. Dès lors que les éléments disponibles permettent de considérer la violation comme réelle, le délai commence à courir.
Si l’incident est ancien, le point de départ n’est pas la date de l’intrusion elle-même, mais la date de sa découverte.
Que faire si l’on n’est pas sûr qu’il s’agisse d’une violation RGPD ?
En cas de doute, le plus simple est de signaler l’incident à la CNIL. L’autorité pourra examiner le dossier et dire s’il faut aussi prévenir les personnes concernées.
En parallèle, consignez l’incident en interne, même s’il vous semble mineur : la nature de la violation, les conséquences probables, ainsi que les mesures correctives prévues ou déjà mises en place.
Qui décide d’informer les personnes concernées ?
La décision d’informer les personnes concernées relève uniquement du responsable du traitement.
Si la violation présente un risque élevé pour les droits et libertés des personnes, c’est donc à lui d’assurer cette communication, avec l’appui et les conseils du DPO.
L’autorité de contrôle peut aussi intervenir et ordonner cette information si elle le juge nécessaire.
Articles récents
Thèmes
Catégories