Un disque dur volé la nuit, 9 200 clients à notifier : le sinistre que personne ne voit venir
Le vol d'un boîtier de sauvegarde dans vos locaux ne coûte pas le prix du matériel : il déclenche une obligation légale et une facture à cinq chiffres.
- Le vol d'un support non chiffré contenant des données clients est juridiquement une violation de données personnelles, pas un simple cambriolage.
- Vous avez 72 heures pour notifier la CNIL et, selon le risque, informer chaque personne concernée : l'horloge tourne dès la découverte.
- Le coût réel se compte en milliers d'euros : analyse forensique, conseil juridique, notification de masse, défense en cas de plainte et de sanction.
- Le chiffrement des supports transforme un vol catastrophique en simple perte de matériel, et une assurance cyber finance la gestion de crise.
La scène : un cambriolage banal, une bombe à retardement
Un week-end, votre bureau est visité. Le ou les cambrioleurs emportent ce qui se revend vite : deux ordinateurs portables, un écran, et surtout le petit boîtier de sauvegarde posé sous le bureau, ce disque dur externe sur lequel tournaient vos sauvegardes automatiques. Lundi matin, vous constatez la porte forcée. Le réflexe est de penser au remplacement du matériel et au dépôt de plainte. C'est là que se joue l'erreur la plus coûteuse.
Car sur ce disque dur figuraient les fichiers de travail accumulés depuis des années : exports de bases clients, fichiers de prospects, devis nominatifs, parfois des coordonnées bancaires ou des pièces d'identité scannées. Le disque n'était pas chiffré. En clair, n'importe qui peut le brancher et lire son contenu.
Au regard du droit, vous ne venez pas de subir un vol de matériel : vous venez de subir une violation de données à caractère personnel. Et le régime juridique qui s'ouvre n'a rien à voir avec celui d'un cambriolage ordinaire.
72 heures : l'obligation que le cambriolage déclenche
Dès lors que des données personnelles sont compromises, le Règlement général sur la protection des données impose des obligations strictes au responsable de traitement, c'est-à-dire vous.
- Notifier la CNIL sous 72 heures après avoir eu connaissance de la violation, sauf si celle-ci n'est pas susceptible d'engendrer un risque pour les personnes. Avec un disque non chiffré contenant des données identifiantes, le risque est manifeste.
- Informer les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés : là encore, des coordonnées et des pièces d'identité en clair cochent la case.
- Documenter l'incident dans un registre interne, que vous ayez notifié ou non.
Le piège, c'est l'horloge. Les 72 heures courent à partir du moment où vous prenez conscience de la fuite, pas du moment où vous avez fini d'analyser. Concrètement, le lundi matin du constat, vous êtes déjà dans le délai, sans encore savoir ce qui a fuité exactement. Improviser cette gestion seul, dans la panique, est le meilleur moyen de commettre une faute supplémentaire.
Le décompte du sinistre : bien au-delà du prix du disque
Mettons des chiffres. Imaginons que le disque contenait les données de 9 200 clients et prospects. Voici une fourchette réaliste de ce que coûte la gestion d'un tel incident pour un bureau numérique.
| Poste | Estimation |
|---|---|
| Remplacement du matériel volé | 2 000 à 4 000 € |
| Analyse forensique (qualifier l'étendue de la fuite) | 3 000 à 8 000 € |
| Conseil juridique et rédaction de la notification CNIL | 2 000 à 6 000 € |
| Notification individuelle des 9 200 personnes | 3 000 à 10 000 € |
| Cellule de réponse et gestion des appels clients | 2 000 à 7 000 € |
| Défense en cas de contrôle ou de plainte | 3 000 à 15 000 € |
On franchit aisément la barre des 15 000 à 50 000 euros, pour un boîtier qui valait 120 euros. Et cette fourchette n'intègre pas la sanction administrative éventuelle ni le préjudice de réputation, plus difficiles à chiffrer mais bien réels. Le matériel est l'arbre qui cache la forêt : le vrai coût est celui de la crise informationnelle.
Le geste à 0 euro qui désamorce tout : le chiffrement
Voici la nuance que beaucoup de professionnels du numérique connaissent en théorie mais n'appliquent pas en pratique. Si le disque volé avait été chiffré, le scénario aurait été radicalement différent.
La CNIL considère qu'un support correctement chiffré, dont la clé n'a pas été compromise, rend les données inintelligibles pour le voleur. Dans ce cas, la violation peut ne pas présenter de risque pour les personnes, ce qui allège considérablement, voire supprime, l'obligation de notifier les individus. Le vol redevient ce qu'il aurait dû rester : une perte de matériel à remplacer.
Quelques réflexes transforment votre exposition :
- Activer le chiffrement intégral des disques sur tous les postes et supports de sauvegarde, sans exception.
- Ne jamais laisser un export de base clients en clair sur un support nomade ou externe.
- Cloisonner les sauvegardes sensibles et conserver une copie hors site.
- Tenir à jour un inventaire de ce qui est stocké où, pour qualifier vite une fuite.
Ces mesures ne suppriment pas le risque de cambriolage, mais elles changent de catégorie l'incident. C'est exactement le type de bonne pratique qu'un assureur valorise, et c'est le point de départ d'une couverture cyber bien calibrée pour votre activité.
Ce que l'assurance cyber prend réellement en charge
Une garantie cyber ne se résume pas à rembourser une rançon ou une cyberattaque spectaculaire. Pour un bureau dédié à des prestations numériques, sa valeur se révèle précisément dans ce type d'incident de fuite, qu'il vienne d'un vol physique ou d'un piratage.
Concrètement, une bonne couverture intervient sur :
- La gestion de crise : mise à disposition d'experts forensiques et juridiques dans les premières heures, quand chaque décision compte.
- Les frais de notification à la CNIL et aux personnes concernées, y compris la logistique d'une notification de masse.
- La défense et les frais de procédure en cas de contrôle de l'autorité ou de réclamation d'un client lésé.
- Les pertes d'exploitation liées à l'interruption d'activité pendant la remise en état.
Le réflexe d'un dirigeant prévoyant n'est pas d'espérer que le cambriolage n'arrivera jamais, mais de s'assurer que, le jour où il arrive, il dispose d'un numéro à appeler et d'une enveloppe pour absorber le choc. Une assurance cyber adaptée au profil d'un prestataire numérique, qui manipule en permanence des données de tiers, n'est pas un luxe : c'est l'outil qui transforme une catastrophe en incident gérable.
Questions fréquentes
Oui. Toute perte de disponibilité, de confidentialité ou d'intégrité de données personnelles constitue une violation de données, qu'elle résulte d'un piratage ou d'un vol physique. Un disque non chiffré contenant des fichiers clients qui disparaît lors d'un cambriolage est une violation à part entière, avec l'obligation d'analyse et, le cas échéant, de notification qui en découle.
Pas systématiquement. L'information individuelle des personnes concernées s'impose lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Avec des données en clair et identifiantes, ce risque est généralement caractérisé. Si le support était correctement chiffré et la clé non compromise, l'obligation d'informer les personnes peut tomber.
La notification à la CNIL doit intervenir dans un délai de 72 heures après que vous avez eu connaissance de la violation. Ce délai court dès le constat, avant même que vous ayez fini d'évaluer l'étendue de la fuite. C'est pourquoi disposer d'un dispositif de réponse prêt à l'emploi, souvent inclus dans une assurance cyber, fait une vraie différence.
Non. Une multirisque professionnelle indemnise le vol du matériel, mais elle ne prend pas en charge la gestion de la violation de données : analyse forensique, frais de notification, défense face à la CNIL ou aux clients. C'est précisément le périmètre d'une assurance cyber, qui se concentre sur les conséquences informationnelles et juridiques de l'incident.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Bureau affecté à des prestations numériques — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Bureau affecté à des prestations numériques →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.