FAQ

Une violation de données personnelles est définie à l’article 4(12) du RGPD comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données« .

Dès lors que vous êtes responsable de traitement ou sous-traitant, toute violation présentant un risque pour les droits et libertés des personnes doit être notifiée à la CNIL dans un délai de 72 heures après en avoir pris connaissance (article 33 RGPD). Si le risque est élevé, vous devez également en informer les personnes concernées sans délai injustifié (article 34 RGPD). L’absence de notification expose à des sanctions pouvant atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.

La directive NIS 2, transposée en droit français, impose aux entités essentielles et importantes un régime de notification en trois étapes :

• Alerte précoce : dans les 24 heures suivant la prise de connaissance de l’incident significatif.
• Notification d’incident : dans les 72 heures, avec une évaluation initiale de l’incident (nature, impact, indicateurs de compromission).
• Rapport final : dans un délai d’un mois, avec une description complète, l’analyse des causes et les mesures de remédiation.

Le non-respect de ces obligations expose les entités essentielles à des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.

Il n’existe pas d’obligation légale de payer une rançon, et les autorités françaises (ANSSI, CNIL, parquet) déconseillent fortement ce paiement, qui ne garantit pas la récupération des données et finance la criminalité organisée. Depuis la loi du 24 janvier 2023 (LOPMI), le paiement d’une rançon par une entreprise assurée est conditionné au dépôt d’une plainte dans un délai de 72 heures suivant la connaissance de l’attaque.

Mon rôle est de vous conseiller sur les implications juridiques d’un tel paiement (risque de violation des sanctions internationales si le groupe criminel est listé), de coordonner le dépôt de plainte dans les délais légaux, et de gérer simultanément les obligations de notification réglementaire.

Les premières heures sont déterminantes. Voici les actions prioritaires à mener en parallèle :

1. Ne pas éteindre les systèmes compromis sans avis technique : cela détruirait des preuves forensiques essentielles.
2. Isoler les systèmes affectés du reste du réseau pour contenir la propagation.
3. Documenter et préserver les preuves : captures d’écran, logs, journaux d’événements.
4. Contacter votre avocat pour qualifier l’incident et identifier vos obligations légales immédiates.
5. Alerter votre assureur cyber si vous disposez d’une police.
6. Ne pas communiquer publiquement avant d’avoir défini une stratégie de communication maîtrisée.

Je suis disponible pour une intervention d’urgence sous 24 à 48 heures.

Plusieurs actions juridiques complémentaires sont envisageables :

• Enquête interne sous secret professionnel pour identifier les faits, les données concernées et les personnes impliquées.
• Mesures conservatoires : préservation des preuves numériques (e-mails, logs d’accès, téléchargements), dans le respect du RGPD et du droit à la vie privée du salarié.
• Procédure disciplinaire pouvant aller jusqu’au licenciement pour faute grave, sous réserve du respect de la procédure contradictoire.
• Dépôt de plainte pénale pour abus de confiance (article 314-1 du Code pénal), violation du secret des affaires (loi du 30 juillet 2018), ou accès frauduleux à un système informatique (article 323-1 du Code pénal).
• Notification à la CNIL si des données personnelles ont été compromises dans le cadre de la fuite.