Les conséquences d'une fuite de données CEJMA
Obligations de notification et sanctions de la CNIL
Petite vérification
Avant de commencer, vérifiez si vous savez encore répondre à ces 3 questions très simples, sur la séance précédente consacrée aux données à caractère personnel :
- qu'est-ce qu'une donnée à caractère personnel (DCP) ?
- qu'est-ce qu'une donnée sensible, au sens du RGPD, et citer un exemple ?
- à quoi sert un registre des traitements ?
📌 Réponse attendue
TP pour réfléchir et résoudre des problèmes
Votre défi pour aujourd'hui consiste à gérer, pour le Club ÉtoileSport, les suites d'une fuite de données bien réelle
Le Club ÉtoileSport et l'incident étudié dans ce TP sont fictifs, construits pour l'exercice.
Étape 1 — Décider s'il faut notifier la CNIL
Le risque identifié lors de la séance précédente vient de se concrétiser : un bénévole a perdu, dans les transports, une clé USB contenant l'export complet du fichier des adhérents du Club ÉtoileSport (nom, prénom, email, certificat médical).
Le club doit-il notifier cette fuite à la CNIL ? Si oui, sous quel délai ?
📌 Réponse attendue
Étape 2 — Rédiger le contenu minimal de la notification
Une notification à la CNIL doit obligatoirement contenir 4 éléments. Pour chacun, rédigez une phrase adaptée au cas du Club ÉtoileSport.
| Élément obligatoire | Contenu pour le Club ÉtoileSport |
|---|---|
| Nature de la violation | |
| Catégories et nombre approximatif de personnes et de données concernées | |
| Conséquences probables de la violation | |
| Mesures prises ou proposées pour y remédier |
📌 Réponse attendue
Étape 3 — Décider si les adhérents doivent être informés individuellement
Au-delà de la CNIL, le club doit-il aussi informer individuellement chaque adhérent concerné par cette fuite ? Justifiez votre réponse.
📌 Réponse attendue
Étape 4 — Réagir à un cas pratique
Le président du club vous propose de ne pas notifier la CNIL : « la clé USB est probablement perdue, pas volée, et je ne veux pas faire de vagues pour un simple incident ». Que lui répondez-vous ?
Étape 5 — Proposer des mesures pour l'avenir (pour aller plus loin)
Le manuel Cybersécurité BTS SIO 1re année (Delagrave) consacre tout son chapitre 2 (« Appliquer et diffuser la réglementation liée aux données à caractère personnel », p. 21) à la mise en conformité technique et organisationnelle d'une organisation après l'identification de risques sur ses données personnelles.
Proposez 2 mesures concrètes (une technique, une organisationnelle) pour que ce type d'incident ne se reproduise plus au Club ÉtoileSport.
📌 Réponse attendue
Restitution orale
Un étudiant (ou un binôme) vient présenter au tableau sa notification à la CNIL et sa réponse au président du club.
- Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
- Qui passe : un(e) étudiant(e) (ou un binôme) désigné(e) par l'enseignant.
- Support : le travail réalisé pendant le TP, aucune préparation supplémentaire n'est nécessaire.
- Ce qui est attendu :
- présenter les 4 éléments de la notification CNIL construite à l'étape 2 ;
- expliquer la réponse donnée au président du club à l'étape 4 ;
- répondre aux questions de la classe.
Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.
📌 Une solution
Notions théoriques
Vous venez de vivre, sur un cas fictif, exactement ce que doit gérer une organisation victime d'une vraie fuite de données.
L'obligation de notifier la CNIL : l'article 33 du RGPD
Toute organisation victime d'une violation de données à caractère personnel susceptible d'engendrer un risque pour les personnes concernées doit notifier cette violation à la CNIL, dans un délai de 72 heures après en avoir eu connaissance.
Un délai dépassé doit être justifié : la notification peut être faite « par étapes », en commençant par les informations déjà connues, plutôt que d'attendre d'avoir toutes les réponses pour notifier hors délai.
La notification doit obligatoirement contenir 4 éléments, que vous avez déjà rédigés à l'étape 2 du TP :
- la nature de la violation ;
- les catégories et le nombre approximatif de personnes et de données concernées ;
- les conséquences probables de la violation ;
- les mesures prises ou proposées pour y remédier.
L'obligation d'informer les personnes concernées : l'article 34 du RGPD
Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (données de santé, données financières, grand nombre de personnes concernées...), l'organisation doit aussi informer individuellement chaque personne concernée, en plus de la CNIL. Vous avez déjà appliqué ce critère à l'étape 3 du TP.
Le critère n'est jamais « est-ce grave pour l'organisation ? », mais toujours « est-ce grave pour les personnes concernées ? ». C'est ce qui explique que deux fuites de taille comparable puissent avoir des conséquences légales très différentes, selon la nature des données perdues.
Les sanctions de la CNIL
En cas de manquement au RGPD (absence de notification, mesures de sécurité insuffisantes, conservation excessive des données...), la CNIL peut prononcer plusieurs types de sanctions, du simple rappel à l'ordre jusqu'à une amende administrative pouvant atteindre 20 millions d'euros, ou 4 % du chiffre d'affaires mondial annuel de l'organisation, selon le montant le plus élevé.
Vous avez déjà vu un exemple réel de ces sanctions dans la toute première séance de l'année : les amendes de 15 millions d'euros et 26 millions d'euros prononcées contre Free et Free Mobile, notamment pour un manque de robustesse des dispositifs d'authentification et une conservation excessive des données d'anciens clients.
Pourquoi la conformité réduit le risque de sanction
Le registre des traitements construit la séance précédente, et la notification rédigée aujourd'hui, ne sont pas de simples formalités administratives : une organisation qui peut démontrer qu'elle suit ses obligations (registre à jour, notification rapide et complète) limite très concrètement le montant d'une sanction éventuelle, la CNIL tenant compte du degré de coopération et de bonne foi de l'organisation dans sa décision.