Violation de données chez votre client : les 72 heures qui engagent votre RC Pro DPO

Une violation de données ne ressemble jamais à ce que les formations laissent entendre. Dans la pratique observée, voici le déroulé typique d'un incident qui aboutit à une mise en cause du DPO externe.

Vendredi 21h47 — Un client e-commerce reçoit une alerte de son hébergeur : un accès anormal a été détecté sur la base de données. Le directeur technique vous appelle directement, court-circuitant le standard. Le DPO externe doit prendre la main immédiatement, sans information complète, et orienter les premières décisions.

Samedi matin — L'équipe technique du client confirme qu'une exfiltration a eu lieu. Volume estimé : 18 000 comptes clients avec e-mails, noms, mots de passe hachés et adresses postales. Le compteur des 72 heures de l'article 33 du RGPD a commencé à tourner dès la prise de connaissance, soit la veille au soir.

Trois moments où le DPO joue sa responsabilité :

• La qualification de la violation : faut-il notifier ? La règle est la notification systématique sauf risque nul, mais la qualification pratique demande un jugement fin sur la sensibilité des données et l'étendue de l'exfiltration.
• La rédaction de la notification CNIL : un dossier mal préparé déclenchera des questions et un risque de contrôle. Un dossier trop minimaliste sera reproché au DPO.
• La communication aux personnes concernées : l'article 34 du RGPD l'impose si la violation est susceptible d'engendrer un risque élevé. Un mauvais arbitrage ici expose à une sanction CNIL et à une mise en cause par le client.

L'article 39 du RGPD est rarement cité dans le détail. Il définit pourtant six missions, dont trois sont directement en cause lors d'une violation.

Mission d'information et de conseil

Vous devez informer le responsable de traitement de ses obligations, expliquer la portée de la notification 72 heures, et conseiller sur la décision de notifier ou non. Un conseil de ne pas notifier qui s'avère erroné est la première cause de mise en cause en contentieux DPO.

Mission de contrôle de la conformité

Vous devez vérifier que la documentation de la violation est tenue (article 33.5), que le registre des violations est mis à jour, et que les mesures correctives sont effectivement mises en œuvre. Un défaut dans ce contrôle a posteriori est facile à reprocher.

Mission de point de contact avec la CNIL

Vos coordonnées figurent dans la notification. Vous êtes la personne que la CNIL appellera pour des compléments. Une absence ou un défaut de réponse est imputable au DPO et reflète la qualité de la mission.

Une jurisprudence allemande de 2024 a posé un principe transposable : le DPO externe qui a conseillé à son client de ne pas notifier une violation, alors que les conditions de l'article 33 étaient réunies, engage sa responsabilité contractuelle pour la sanction administrative et le préjudice d'image subis par le client.

Reprenons le scénario du client e-commerce avec 18 000 comptes exfiltrés. Voici le coût réel observé sur ce type de dossier, et l'articulation entre les garanties.

Le point souvent oublié

Le DPO externe n'est pas couvert par la garantie cyber de son client. La garantie cyber du client couvre le responsable de traitement, ses préposés, et parfois ses sous-traitants au sens de l'article 28 du RGPD. Le DPO externe, par construction, est un tiers indépendant — il a sa propre RC Pro et, si elle est bien souscrite, sa propre garantie cyber pour les incidents touchant ses propres systèmes et l'accès aux données qu'il manipule.

1. Le conseil oral non tracé

Au téléphone, le samedi matin, vous conseillez de notifier — mais vous ne formalisez pas par e-mail. Trois mois plus tard, le client conteste vos préconisations. Sans trace écrite, vous êtes vulnérable. Réflexe : tout conseil donné pendant une crise doit être confirmé par e-mail dans la journée.

2. La qualification expéditive du risque

L'article 34 du RGPD impose la communication aux personnes en cas de risque élevé. Qualifier le risque comme faible pour éviter une communication coûteuse, sans documentation sérieuse, est la première cause de sanction CNIL et de mise en cause du DPO.

3. L'absence d'AIPD préalable sur le traitement concerné

Si le traitement victime de la violation aurait dû faire l'objet d'une analyse d'impact que vous n'avez jamais réalisée, le client pourra invoquer un manquement antérieur à votre mission, indépendant de la violation elle-même.

4. Le défaut de mise à jour du registre des violations

L'article 33.5 impose au responsable de traitement de documenter toute violation, y compris celles non notifiées. Un défaut sur ce registre est facilement reproché au DPO chargé de la conformité.

5. La notification déclenchée sans coordination avec l'assureur cyber du client

Beaucoup de polices cyber imposent une déclaration préalable à l'assureur, sous peine de déchéance partielle de garantie. Le DPO doit toujours vérifier cette exigence avant de notifier la CNIL.

La déclaration à votre propre assureur RC Pro ne doit pas attendre la fin de la crise. Toute mise en cause amiable, et même tout indice d'une mise en cause future (e-mail du client signalant un mécontentement, demande de remise commerciale liée à la violation, intervention d'un avocat du client), constitue un fait dommageable à déclarer.

Les délais classiques des polices RC Pro sont de 5 jours ouvrés. Au-delà, l'assureur peut opposer une déchéance partielle de garantie si le retard lui cause un préjudice (par exemple, l'impossibilité d'organiser la défense).

Documents à rassembler dès le déclenchement

• La lettre de mission DPO et ses avenants éventuels.
• Le compte rendu d'audit initial et le plan d'action signé du client.
• L'historique des e-mails et comptes rendus du dossier concerné par la violation.
• La notification CNIL telle qu'envoyée (avec date et heure d'envoi).
• Toute correspondance avec le client postérieure à la violation, y compris informelle.

Ces pièces, rassemblées à chaud, valent dix fois plus qu'une reconstitution a posteriori. Elles constituent la base sur laquelle l'avocat désigné par votre assureur construira la défense.

Le DPO externe qui s'en sort lors d'une violation suit trois principes simples mais exigeants.

1. Tracer chaque décision dans la minute. Un e-mail récapitulatif après chaque appel, un compte rendu écrit après chaque réunion de crise. Le coût d'opportunité est nul, le bénéfice en défense est massif.
2. Notifier par défaut, ne pas notifier par exception documentée. La CNIL sanctionne rarement une notification de précaution, elle sanctionne souvent l'absence de notification.
3. Déclarer le sinistre à l'assureur dès le premier signal de mise en cause. La RC Pro n'est utile que si elle est activée dans les délais.

Pour comprendre comment une RC Pro Insurio adaptée au DPO externe articule défense, frais d'investigation et garantie cyber, le devis personnalisé prend moins de cinq minutes.