Notification de violation de données pour le partage de fichiers

L'article 33 du RGPD donne aux responsables du traitement 72 heures à compter de la prise de connaissance d'une violation de données à caractère personnel pour en notifier l'autorité de contrôle compétente, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes physiques. L'article 34 impose en outre la notification des personnes concernées lorsque le risque est élevé, sans délai excessif. Pour les plateformes de partage de fichiers, une violation peut signifier un lien de téléchargement exposé dans des journaux, un bucket S3 mal configuré, un compte administrateur compromis ou un ordinateur portable perdu contenant des caches non chiffrés. Dépasser le délai de 72 heures sans justification expose à des amendes au titre de l'article 83(4) pouvant atteindre 2 % du chiffre d'affaires mondial.

Ce qui constitue une « violation de données à caractère personnel »

L'article 4(12) la définit comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel, ou l'accès non autorisé à ces données. Les lignes directrices 9/2022 du CEPD (adoptées en octobre 2022, remplaçant le WP250) classent les violations en atteintes à la confidentialité (divulgation ou accès non autorisé), à l'intégrité (altération non autorisée) ou à la disponibilité (perte ou destruction). Un lien de transfert de fichiers accidentellement partagé sur Twitter public : atteinte à la confidentialité. Un ransomware chiffrant la base de données de transferts : atteinte à la disponibilité. Un initié modifiant des PDF de factures avant livraison : atteinte à l'intégrité. Les trois déclenchent l'analyse au titre de l'article 33.

Quand le délai de 72 heures commence à courir

Le délai commence lorsque le responsable du traitement « prend connaissance » — lorsqu'il existe un degré raisonnable de certitude qu'un incident de sécurité s'est produit et a conduit à une compromission. Le temps d'enquête avant d'atteindre ce niveau de certitude raisonnable ne compte pas dans le délai, mais vous ne pouvez pas retarder l'enquête pour gagner du temps. La CNIL et l'ICO ont tous deux sanctionné des responsables pour des délais d'enquête excessifs. Règle pratique : 24 heures depuis le premier signal (alerte SIEM, signalement d'un employé, notification externe) jusqu'à la décision de prise de connaissance. Si davantage de temps est nécessaire, documentez pourquoi. La notification des sous-traitants aux responsables du traitement est distincte — généralement 24 à 48 heures selon le CST.

Les violations qui ne nécessitent pas de notification

L'article 33(1) exclut les violations peu susceptibles d'engendrer un risque pour les droits et libertés. Le responsable décide sur la base d'une évaluation des risques. Les lignes directrices 9/2022 du CEPD donnent des exemples : données chiffrées volées avec un chiffrement fort et une clé non compromise (aucun risque de divulgation), perte momentanée de disponibilité avec récupération rapide et aucune corruption de données. Un service de transfert utilisant le chiffrement côté client AES-256-GCM dont les données chiffrées sont dérobées n'est pas confronté à une violation de la confidentialité, car le voleur ne détient que des données inutilisables. Documentez l'évaluation — les autorités de contrôle veulent voir le raisonnement, pas seulement la conclusion.

Le contenu de la notification au titre de l'article 33(3)

La notification à l'autorité de contrôle doit inclure : la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés, le nom et les coordonnées du DPO ou d'un autre point de contact, les conséquences probables, les mesures prises ou proposées pour remédier à la violation et en atténuer les effets. Si vous ne disposez pas de tous les faits dans les 72 heures, l'article 33(4) autorise une notification par phases. Déposez une notification initiale avec ce que vous savez, qualifiez-la de préliminaire, et complétez au fur et à mesure de l'enquête. La plupart des autorités de contrôle (CNIL, ICO, BfDI) proposent des portails en ligne avec des formulaires structurés.

Notification aux personnes concernées au titre de l'article 34

Lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes, l'article 34 impose de les notifier directement, dans un langage clair et simple. Exceptions prévues à l'article 34(3) : les données étaient chiffrées (de façon suffisamment robuste pour les rendre incompréhensibles), des mesures ultérieures rendent le risque élevé improbable, ou la notification individuelle nécessiterait un effort disproportionné (une communication publique se substitue alors). Pour une fuite de fichiers RH non chiffrés via un service de transfert, la notification directe est obligatoire. Pour une fuite de données chiffrées avec des clés non compromises, la notification n'est généralement pas requise — invoquez l'article 34(3)(a).

Construire un plan d'intervention sur les violations

Un plan opérationnel couvre : (1) les sources de détection (alertes SIEM, signalements d'utilisateurs, notifications externes) et les chaînes d'escalade ; (2) une liste de contrôle de triage pour classifier la gravité ; (3) les mesures de confinement (révoquer les clés, bloquer les IP, isoler les systèmes) ; (4) la préservation des preuves (images disque, exports de journaux) pour la forensique et les enquêtes réglementaires ; (5) un arbre de décision de notification lié aux critères de l'article 33 ; (6) des modèles de communication pour l'autorité de contrôle, les personnes concernées, les clients et le public ; (7) un bilan post-incident avec les enseignements documentés. Révisez le plan trimestriellement et testez-le annuellement avec un exercice sur table.

Les preuves qu'un régulateur demandera

La CNIL, l'ICO et le BfDI posent systématiquement les mêmes questions après une violation : chronologie de la détection et de la réponse, périmètre des données affectées, mesures techniques et organisationnelles en place avant la violation, mesures prises après, communications aux personnes concernées, et possibilité de prévention. Conservez ces éléments : journaux SIEM autour de la fenêtre temporelle de l'incident, journaux de modifications pour les systèmes affectés, journaux d'accès montrant une activité anormale, documentation de la posture de sécurité (Déclaration d'applicabilité ISO 27001, DPIA), et post-mortem détaillé. Les autorités sanctionnent sévèrement une journalisation incomplète — cela signale une faiblesse de sécurité plus générale.

Notifications sous-traitant vers responsable du traitement

Si votre service de transfert de fichiers est un sous-traitant, l'article 33(2) vous impose de notifier le responsable du traitement « sans délai excessif » après avoir pris connaissance d'une violation. La plupart des CST spécifient 24 à 48 heures. La notification du sous-traitant doit fournir au responsable suffisamment d'informations pour qu'il puisse lui-même déposer une notification au titre de l'article 33(1) : ce qui s'est passé, quand, le périmètre, les catégories de données affectées, la réponse initiale. C'est ensuite le responsable qui dépose la notification réglementaire. Un CST qui diffère la notification du sous-traitant au-delà de 48 heures ou qui oblige le responsable à en faire la demande avant de recevoir un avis n'est pas conforme.

Coordination transfrontalière des violations

Pour les responsables du traitement multinationaux, identifiez l'autorité de contrôle chef de file au titre de l'article 56 (l'autorité de l'établissement principal). Notifiez l'autorité chef de file, qui coordonne avec les autorités concernées via le mécanisme du guichet unique. Pour les responsables du traitement non établis dans l'UE mais offrant des biens ou services à des résidents européens, notifiez chaque autorité concernée dans les pays où résident les personnes affectées. Cette situation peut vite devenir ingérable — envisagez de désigner un représentant au titre de l'article 27 qui centralise les communications. Tenez à jour dans votre plan la liste des autorités de contrôle et leurs portails de notification des violations.

Remédiation et risque de sanction ultérieure

La notification ne clôt pas le dossier. L'article 83(2) fixe des facteurs pour les amendes, notamment le degré de responsabilité du responsable du traitement, les mesures préventives prises et la coopération. La remédiation post-violation — chiffrement renforcé, contrôles d'accès, révision de la DPIA, formation du personnel — réduit directement les amendes. Les orientations 2023 de la CNIL sur l'application en matière de violations citent des exemples où les amendes ont été divisées par deux pour des responsables ayant démontré une remédiation rapide et une transparence exemplaire. Des services disposant de contrôles architecturaux solides dès le départ (chiffrement côté client, conservation courte, CST documentés) — l'approche d'HexaTransfer — limitent à la fois la surface de violation et l'exposition aux amendes.

Un calendrier de conformité sur 72 heures

Heure 0 : signal de violation reçu. Heure 4 : triage initial terminé, responsable d'incident désigné. Heure 12 : évaluation du périmètre achevée, décision préliminaire au titre de l'article 33 prise. Heure 24 : le sous-traitant notifie les responsables du traitement (le cas échéant). Heure 48 : projet de notification au titre de l'article 33 revu par le DPO et les juristes. Heure 72 : notification déposée auprès de l'autorité chef de file. Jours 5-7 : notifications aux personnes concernées au titre de l'article 34 envoyées. Jour 30 : bilan post-incident publié en interne. Jour 90 : plan de remédiation achevé et documenté.

Notifiez tôt, notifiez souvent, et conservez une trace écrite irréprochable. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.