Notification ratée à 72 h : un sinistre à 90 000 € pour un DPO

Imaginons un cas réaliste, reconstitué à partir de configurations fréquemment rencontrées. Une PME de e-commerce, 40 salariés, 18 M€ de chiffre d'affaires, a externalisé sa fonction de DPO auprès d'un consultant indépendant certifié CNIL, pour 950 € par mois. Un contrat classique : tenue du registre, conseil, point trimestriel, et une clause d'assistance en cas d'incident.

Un vendredi à 18 h, le responsable informatique découvre qu'un connecteur d'export mal configuré a rendu accessible, pendant onze jours, un fichier contenant les coordonnées et historiques d'achat de 62 000 clients. Il envoie un e-mail au DPO et part en week-end, considérant que « le DPO s'en occupera ».

Le DPO, lui, est en déplacement personnel. Il ne lit l'e-mail que le lundi matin. Le compteur des 72 heures, lui, a démarré le vendredi à 18 h.

L'article 33 du RGPD est limpide : le responsable de traitement notifie la violation à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Ce délai est en heures calendaires : il intègre les samedis, dimanches et jours fériés.

« Prendre connaissance », au sens de la CNIL, c'est le moment où l'organisation a un degré raisonnable de certitude qu'un incident de sécurité a compromis des données. Ici, c'est le vendredi 18 h, quand le responsable informatique constate la fuite. Le fait que le DPO n'ait lu l'e-mail que le lundi ne décale pas le point de départ : c'est l'organisation, pas la personne du DPO, qui est réputée informée.

La notification aurait dû partir au plus tard le lundi à 18 h. Elle est finalement transmise le mardi à 16 h, soit près de 24 heures hors délai, avec une justification de retard peu convaincante.

Le retard, en soi, n'est pas toujours sanctionné lourdement. Mais combiné à l'ampleur de la fuite et à l'absence de mesures de sécurité élémentaires, il pèse dans l'appréciation de la CNIL.

Il existe une porte de sortie que le DPO aurait dû connaître et activer : la notification en deux temps. L'article 33 autorise, lorsque toutes les informations ne sont pas encore disponibles, à transmettre une notification initiale dans les 72 heures puis à la compléter ensuite. Autrement dit, l'argument « on ne savait pas encore tout » n'excuse pas l'absence de notification : il fallait notifier ce qui était connu et compléter après. En ne le faisant pas, le DPO a privé son client de la seule manœuvre qui aurait préservé sa bonne foi.

Le lundi matin, deux décisions se prennent dans l'urgence. La première est correcte : notifier la CNIL. La seconde est l'erreur fatale.

Le DPO, voulant rassurer son client, l'aide à rédiger une notification qui minimise la gravité : il y indique que les données « ne comportent pas de coordonnées bancaires » et que « le risque pour les personnes est limité ». Sur cette base, le client décide de ne pas informer individuellement les 62 000 personnes concernées, alors que l'article 34 l'impose lorsque la violation est susceptible d'engendrer un risque élevé.

Or l'historique d'achat couplé aux coordonnées constitue un risque réel (profilage, hameçonnage ciblé). Plusieurs clients finaux, victimes de tentatives d'escroquerie dans les semaines suivantes, portent plainte. La CNIL ouvre un contrôle.

Le conseil de ne pas informer les personnes — donné par le DPO — devient le cœur du dossier. Ce n'est plus seulement un retard : c'est un conseil erroné sur l'analyse du risque, qui est précisément le terrain de la responsabilité professionnelle.

Voici l'addition supportée par le client, puis répercutée en partie sur le DPO via une action en responsabilité :

Le client engage une action contre son DPO en réparation du préjudice lié au conseil de non-notification aux personnes. Même si la responsabilité finit partagée, le DPO indépendant n'a, sans assurance, ni la trésorerie pour avancer sa défense, ni les reins pour absorber une condamnation partielle.

Mettons ces chiffres en perspective. Le DPO facturait sa mission 950 € par mois, soit 11 400 € par an. Une seule mise en cause, même résolue par un partage de responsabilité à hauteur de 30 %, représenterait pour lui une charge de l'ordre de 27 000 € de dommages et intérêts, à laquelle s'ajoutent ses propres frais de défense. C'est près de trois années de chiffre d'affaires sur ce client effacées par un seul sinistre. Pour une prime de RC Pro qui se chiffre en quelques centaines d'euros par an, l'asymétrie économique est flagrante : l'assurance n'est pas un coût de confort, c'est la condition de survie de l'activité.

Trois leviers, dont aucun n'est coûteux, auraient désamorcé ce sinistre :

• Une procédure d'astreinte écrite. Un protocole de gestion d'incident prévoyant un canal d'alerte joignable (téléphone, pas seulement e-mail) et un suppléant en cas d'absence du DPO. Le délai des 72 h aurait été tenu.
• Un avis prudent sur l'information des personnes. En cas de doute sur le « risque élevé », la doctrine est d'informer. Le DPO a choisi de rassurer plutôt que de protéger : une note d'analyse écrite recommandant l'information aurait inversé la responsabilité.
• Une couverture assurantielle adaptée. La garantie cyber prend en charge les frais d'expertise forensique, de notification et de gestion de crise, tandis que la RC Pro DPO couvre la mise en cause de votre conseil et vos frais de défense. La combinaison des deux est l'architecture pertinente pour qui accompagne des organisations manipulant de gros volumes de données.

Une violation de données n'est pas un événement théorique du registre : c'est un moment de crise où le DPO devient, de fait, le pilote. Chaque décision prise sous la pression des 72 heures — notifier ou non, informer ou non les personnes, qualifier le risque — est une décision susceptible d'être relue, des mois plus tard, par un avocat et un juge.

Le sinistre que nous avons reconstitué n'a rien d'extraordinaire : ni grand groupe, ni cyberattaque sophistiquée, juste un connecteur mal configuré et un enchaînement d'erreurs humaines. C'est exactement le profil de dossier qui frappe les PME accompagnées par des DPO externalisés.

Retrouvez le détail des garanties adaptées à votre activité sur la fiche DPO certifié CNIL. Mieux vaut avoir cadré sa couverture un mardi calme qu'un vendredi à 18 h.