L’article 34 du RGPD impose au responsable du traitement d’informer directement les personnes concernées lorsqu’une violation de données est susceptible d’engendrer un risque élevé pour leurs droits et libertés, dans les meilleurs délais et en termes clairs : nature de la violation, contact, conséquences probables et mesures prises. L’information n’est pas due si les données étaient protégées (chiffrement), si des mesures ont écarté le risque élevé, ou si elle exigerait des efforts disproportionnés, auquel cas une communication publique la remplace.
L’essentiel
- Seuil : risque élevé, plus exigeant que celui de la notification à la CNIL (risque simple).
- Information directe, individuelle, en langage clair, sans délai indu ; la CNIL peut l’ordonner.
- Trois exemptions : données rendues incompréhensibles, risque élevé écarté par des mesures ultérieures, efforts disproportionnés (communication publique à la place).
- Objectif : permettre aux personnes de se protéger (changer un mot de passe, surveiller un compte, se méfier d’un hameçonnage).
Ce que dit l’article 34
| Paragraphe | Ce que dit le texte |
|---|---|
| 34.1 – Principe | Lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable la lui communique dans les meilleurs délais. |
| 34.2 – Contenu | La communication décrit, en des termes clairs et simples, la nature de la violation et contient au moins les coordonnées du contact, les conséquences probables et les mesures prises ou proposées (article 33.3, points b, c et d). |
| 34.3 – Exemptions | La communication n’est pas nécessaire si : (a) des mesures de protection rendent les données incompréhensibles pour toute personne non autorisée, comme le chiffrement ; (b) des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se matérialiser ; (c) elle exigerait des efforts disproportionnés, auquel cas une communication publique ou une mesure similaire est mise en œuvre. |
| 34.4 – Pouvoir de l’autorité | Si le responsable n’a pas déjà informé les personnes, l’autorité de contrôle peut l’exiger ou constater qu’une exemption s’applique. |
Ce que cela change pour une PME
Évaluer le risque élevé
Identifiants et mots de passe, données bancaires, données de santé, données de mineurs, informations permettant une usurpation d’identité ou un chantage : leur divulgation crée en général un risque élevé. La perte d’un fichier de coordonnées professionnelles, sans autre donnée, en général non. L’évaluation se fait avec celle de l’article 33, dans la même fiche de qualification.
Informer vite et utilement
Le message dit ce qui s’est passé, ce que la personne risque et ce qu’elle doit faire : changer son mot de passe, surveiller ses relevés, ne pas répondre à des messages suspects. Il donne un contact. Il évite le jargon et les formules qui minimisent.
Choisir le canal
E-mail individuel en priorité ; courrier pour les personnes sans adresse électronique ; message dans l’espace client ; communication publique (site, presse) seulement si l’information individuelle est impossible ou disproportionnée, par exemple quand les coordonnées elles-mêmes ont été perdues.
Coordonner avec la notification à la CNIL
La notification sous 72 heures indique si les personnes ont été informées ; si elles ne l’ont pas été, la CNIL peut l’exiger. Informer les personnes avant la CNIL est possible et parfois préférable lorsque le risque d’hameçonnage est immédiat.
Préparer le message avant l’incident
Un modèle d’e-mail prêt, validé par la direction, se personnalise en vingt minutes le jour venu. Le guide se préparer à une fuite de données contient la procédure complète, et notre revue semestrielle des fuites de données analyse les causes des incidents majeurs pour en tirer des mesures.
Ce que la CNIL a sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| Slimpay, 28 décembre 2021 | 180 000 euros | Données de 12 millions de personnes accessibles sur un serveur non sécurisé pendant cinq ans ; la CNIL retient notamment l’absence d’information des personnes concernées malgré le risque élevé (article 34), avec des manquements à la sécurité et à la sous-traitance. |
| Dedalus Biologie, 15 avril 2022 | 1,5 million d’euros (toutes causes) | Fuite de données médicales ; la CNIL a par ailleurs rappelé aux laboratoires concernés leur obligation d’informer les patients, le risque élevé étant caractérisé par la nature des données. |
Dans l’affaire Slimpay, l’entreprise avait notifié la CNIL mais pas les personnes ; c’est précisément ce manquement à l’article 34 qui a été sanctionné, indépendamment de la notification.
Les questions que je pose en audit
- Avez-vous un modèle de message d’information des personnes, prêt à personnaliser ?
- Qui décide d’informer, et sur quels critères ?
- Pouvez-vous contacter rapidement toutes les personnes concernées par un traitement donné, et par quel canal ?
- Vos données les plus sensibles (identifiants, données bancaires, santé) sont-elles chiffrées, ce qui pourrait vous dispenser d’informer ?
- Comment coordonnez-vous l’information des personnes avec vos prestataires impliqués dans l’incident ?
- Qui répond aux questions des personnes après le message ?
Prêt à l’emploi : le message d’information des personnes
Objet : Information importante concernant vos données personnelles
« Madame, Monsieur, nous vous informons qu’un incident de sécurité survenu le [date] a affecté certaines de vos données personnelles détenues par [entreprise]. [Description en une phrase : par exemple, un accès non autorisé à notre base clients.] Les données concernées sont : [liste précise]. [Les données bancaires / mots de passe n’étaient pas concernés / étaient chiffrés.]
Ce que cela peut impliquer pour vous : [conséquences probables, par exemple des tentatives d’hameçonnage utilisant votre nom et votre adresse]. Ce que nous vous recommandons : [actions concrètes : changer votre mot de passe sur notre service et sur tout site où vous l’utilisez, ne pas répondre à des messages vous demandant des informations, surveiller vos relevés].
Ce que nous avons fait : [mesures : accès fermé, mots de passe réinitialisés, notification à la CNIL le [date], enquête en cours]. Pour toute question, contactez [nom ou fonction] à [adresse e-mail] ou [téléphone]. Nous vous présentons nos excuses pour cet incident. »
Et en Suisse ?
La nLPD prévoit à son article 24, alinéa 4, que le responsable informe la personne concernée lorsque c’est nécessaire à sa protection ou que le PFPDT le demande, avec des exceptions comparables (intérêt prépondérant d’un tiers, efforts disproportionnés, communication publique). Notre fiche sur l’annonce des violations sous la nLPD en donne le détail.
Ce que je constate en mission. Informer les personnes est l’étape que les dirigeants redoutent le plus, et c’est pourtant celle qui protège le mieux l’entreprise : un client prévenu par vous se méfie des faux messages qui suivront, alors qu’un client qui l’apprend par la presse ou par un hameçonnage réussi porte plainte. Dans mes missions, le message est préparé à froid, validé par la direction, et personne n’a à l’écrire sous pression.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Faut-il informer les personnes avant la CNIL ?
Le règlement ne fixe pas d’ordre. Lorsque le risque est immédiat (identifiants compromis), informer les personnes sans attendre est la bonne pratique ; la notification à la CNIL suit dans les 72 heures.
Faut-il informer si l’on n’est pas sûr que les données ont été consultées ?
Oui dès que l’accès non autorisé est vraisemblable et que les données créent un risque élevé. L’incertitude se dit dans le message ; elle ne dispense pas d’informer.
Peut-on informer par une simple publication sur le site ?
Seulement lorsque l’information individuelle exige des efforts disproportionnés, par exemple en l’absence de coordonnées fiables ; dans les autres cas, l’information est individuelle.
Préparer vos messages et votre procédure
Le modèle de message, la fiche de qualification et la procédure font partie des livrables de notre audit RGPD ; dans le cadre d’un abonnement DPO externalisé, nous gérons la crise avec vous.
Check-list RGPD : Êtes-vous prêt à notifier un incident de données ?
Sources
- Règlement (UE) 2016/679
- CNIL – Violations de données : informer les personnes
- CNIL – Les sanctions prononcées
