72 heures : anatomie d'une notification de violation ratée

Reconstituons un sinistre type, fréquent chez les DPO externes. Les noms sont fictifs, mais le scénario, lui, est documenté des dizaines de fois dans les retours d'expérience de la profession.

Un vendredi de juin, à 18h47, le responsable informatique d'une PME cliente — une société de e-commerce de 40 salariés — envoie un courriel au DPO externe : un prestataire a signalé qu'un export de la base clients (12 000 enregistrements, dont coordonnées et historiques d'achat) se trouvait accessible sur un serveur mal configuré. Le DPO, en déplacement, ne consulte sa boîte que le lundi matin.

À ce moment précis, une question juridique décisive est déjà tranchée à son insu : quand court le délai de 72 heures ? L'article 33 du RGPD le fait partir de la prise de connaissance de la violation par le responsable de traitement. Or l'entreprise, elle, a eu connaissance des faits le vendredi soir. Le compteur tournait depuis le week-end.

L'article 33 du RGPD est limpide dans sa lettre : la notification à la CNIL doit intervenir « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Si le délai est dépassé, la notification doit être accompagnée des motifs du retard.

Le point sensible, c'est la notion de « prise de connaissance ». Les lignes directrices européennes considèrent qu'une organisation a « pris connaissance » dès qu'elle a un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles. Une simple alerte non vérifiée ne suffit pas toujours à déclencher le compteur — mais un export confirmé comme exposé, si.

Pour le DPO, l'enjeu est double :

• Il doit être joignable et réactif, car le délai ne s'arrête pas le week-end.
• Il doit aider à qualifier le moment exact de la prise de connaissance, car c'est cette date qui fonde la régularité — ou non — de la notification.

Dans notre scénario, le DPO découvre le lundi qu'il dispose en réalité de quelques heures, et non de trois jours. La notification partira finalement le mardi soir, soit largement au-delà des 72 heures décomptées depuis le vendredi.

La CNIL, saisie de la notification tardive et alertée par plusieurs plaintes de clients du e-commerçant, ouvre un contrôle. L'entreprise écope d'une sanction au titre du manquement à l'obligation de notification dans les délais, aggravée par l'insuffisance des mesures de sécurité.

Le dirigeant se retourne alors vers son DPO externe. Ses griefs :

• « Vous n'étiez pas joignable » au moment critique, alors que votre mission incluait la gestion des violations.
• « Vous n'aviez pas mis en place de procédure d'escalade » permettant à l'entreprise de réagir en votre absence.
• « Votre registre ne mentionnait pas ce traitement », ce qui a retardé l'évaluation de la gravité.

Le cœur du litige n'est pas la fuite elle-même — elle relève de la sécurité informatique du client — mais la chaîne de réaction que le DPO était censé avoir armée.

C'est précisément le type de mise en cause où le DPO doit pouvoir démontrer ses diligences : avait-il fourni une procédure de notification ? Avait-il formé les équipes ? Avait-il documenté ses recommandations sur la sécurité ?

Voici comment se décompose, de façon réaliste, le coût d'un tel sinistre pour le DPO mis en cause. Les montants sont indicatifs et varient selon les dossiers.

Au total, un sinistre de ce type peut représenter plusieurs dizaines de milliers d'euros pour un professionnel qui, souvent, exerce en solo ou en très petite structure. C'est sans rapport avec une cotisation d'assurance, qui se chiffre en quelques dizaines d'euros par mois.

Le poste le plus sous-estimé n'est d'ailleurs pas dans le tableau : c'est le temps de gestion de crise. Pendant les semaines que dure l'instruction, le DPO mis en cause cesse de prospecter, reporte ses autres missions et consacre des journées entières à reconstituer des courriels, retrouver des comptes rendus et préparer ses échanges avec l'avocat. Pour un indépendant facturé à la journée, cette immobilisation se chiffre vite à plusieurs milliers d'euros de manque à gagner, qui s'ajoutent à la facture visible.

Plusieurs garde-fous, simples à mettre en place, auraient changé l'issue :

1. Une procédure de notification écrite remise au client, précisant qui alerte qui, dans quel délai, et comment qualifier la gravité.
2. Un canal d'astreinte ou un suppléant, pour qu'une violation détectée un vendredi soir ne reste pas sans réponse jusqu'au lundi.
3. Un registre tenu à jour recensant tous les traitements, y compris les exports et sauvegardes, afin d'évaluer immédiatement la gravité.
4. Des traces écrites des formations et recommandations sécurité données au client, qui démontrent les diligences du DPO.

Et, en dernier ressort, une couverture assurantielle. Une assurance cyber adossée à la RC Pro permet de financer la défense, d'indemniser le préjudice imputable au conseil et de couvrir les frais lorsque c'est votre propre infrastructure ou vos propres données clients qui sont touchées. Les garanties dédiées au métier sont détaillées sur la page DPO / consultant en RGPD.

La leçon de ce sinistre tient en une phrase : une violation de données ne prévient pas, et le délai de 72 heures ne se négocie pas. Le DPO qui attend la première fuite pour découvrir qu'il n'a ni procédure, ni astreinte, ni traces de ses recommandations, se retrouve en position de faiblesse au pire moment.

Le métier de DPO est aussi un métier de gestion de crise. Anticiper le scénario du vendredi soir, l'écrire, le tester avec le client, et s'assurer d'une couverture financière adaptée : c'est cette préparation qui distingue le professionnel qui traverse le sinistre de celui qui en sort ruiné.