Fuite de données personnelles : stratégie de communication et obligations CNIL

Lecture rapide

En cas de publication de données exfiltrées, l’entité doit d’abord reconnaître publiquement un incident potentiel et lancer la qualification des données. Si elles lui appartiennent, elle confirme l’exfiltration, présente ses excuses, précise s’il s’agit de données propres ou de données de clients traitées comme sous-traitant, et indique les démarches engagées (alerte ANSSI, plainte, notification CNIL via notifications.cnil.fr). Elle informe qu’une analyse détaillée est en cours et qu’un retour sera fait aux personnes concernées.

Analyse juridique

1. Communiquer en cas d’exfiltration de données personnelles

1. La séquence décrite complète la Fiche 5 du guide de l’ANSSI sur la stratégie de communication de crise cyber en cas d’exfiltration de données personnelles. Lorsque des données sont publiées par un attaquant et présentées comme appartenant à une entité, celle-ci doit structurer sa communication en plusieurs temps, en articulant qualification technique, information des autorités et information des personnes concernées.

2. Après une première communication reconnaissant la prise de connaissance d’un potentiel incident et l’ouverture d’une qualification des données, une deuxième communication doit confirmer ou démentir l’appartenance des données à l’entité. Si les données exfiltrées appartiennent effectivement à l’entité, il convient de confirmer l’exfiltration et la publication de données personnelles, d’exprimer un mot d’excuse vis-à-vis du dommage occasionné et de préciser si les données concernent l’entité elle-même ou des données de clients stockées en qualité de sous-traitant.

2. Obligations vis-à-vis des autorités et des personnes concernées

3. La communication doit détailler les mesures prises vis-à-vis des autorités : alerte de l’incident à l’ANSSI, dépôt de plainte auprès des services de police ou de gendarmerie spécialisés, notification initiale et/ou complémentaire à la CNIL. Pour réaliser une notification, l’entité est invitée à utiliser le site notifications.cnil.fr/notifications et peut adresser ses questions à l’adresse violations@cnil.fr. Il est également important d’indiquer qu’une qualification précise des données est en cours pour déterminer leur nature et que les personnes concernées seront informées le cas échéant.

4. En cas de risque élevé pour les droits et libertés des personnes physiques, l’entité victime doit informer individuellement les personnes concernées « dans les meilleurs délais », conformément à l’article 34 du RGPD. L’information individuelle est le principe, la communication publique n’étant admise qu’à titre de dérogation dans des cas limitativement prévus. La communication doit permettre aux personnes de vérifier la légitimité de l’information reçue et de comprendre les mesures de protection à adopter.

3. Articulation entre remédiation technique et transparence maîtrisée

5. La démarche recommandée par l’ANSSI vise à concilier la remédiation technique (éjection de l’attaquant, renforcement de la sécurité du système d’information) avec une transparence maîtrisée vis-à-vis des autorités, des médias et des personnes concernées. La communication doit rester factuelle, véridique et progressive, en évitant de divulguer des informations susceptibles de faciliter l’adaptation de l’attaquant ou de compromettre les actions d’enquête et de remédiation.

6. En structurant la communication autour de ces étapes – reconnaissance de l’incident, confirmation de l’exfiltration, notification aux autorités, information des personnes – l’entité montre qu’elle prend au sérieux la protection des données personnelles et qu’elle agit en conformité avec le cadre réglementaire, tout en préservant au mieux sa réputation et la confiance de ses parties prenantes.

Pour en savoir plus

7. Pour approfondir les obligations de notification et d’information en cas de violation de données personnelles, ainsi que les recommandations de l’ANSSI en matière de remédiation et de communication de crise cyber, les ressources suivantes peuvent être consultées :

8. Plateforme de notification des violations de données personnelles (CNIL)

9. Contact CNIL pour les questions relatives aux violations de données (violations@cnil.fr)

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.