La plupart des entreprises découvrent leur procédure de gestion de crise RGPD au moment même où elles en ont besoin, ce qui est déjà trop tard. Voici la méthode que nous appliquons chez nos clients, et les pièges qui font systématiquement dérailler la gestion d’un incident.
Que signifie le délai de 72 heures dans une violation de données ?
Le délai de 72 heures ne démarre pas au moment où l’incident se produit, mais au moment où l’entreprise en a connaissance. Cette nuance change tout dans la pratique, car un incident peut avoir eu lieu plusieurs jours ou plusieurs semaines avant d’être détecté, sans que le compteur ne soit pour autant déclenché plus tôt.
Le piège classique consiste à confondre date de l’incident et date de découverte. Nous avons vu des entreprises paniquer inutilement en pensant avoir déjà dépassé le délai, alors que la violation datait de plusieurs semaines mais venait seulement d’être identifiée par un audit interne ou une alerte technique tardive.
À l’inverse, certaines entreprises repoussent artificiellement le moment où elles considèrent avoir eu connaissance de l’incident, pour gagner du temps de réflexion. C’est une stratégie risquée, car la CNIL peut reconstituer la chronologie réelle à partir des logs techniques, des emails internes et des tickets de support. Un délai de connaissance manifestement sous estimé aggrave la sanction plus qu’il ne la limite, car il révèle une tentative de dissimulation plutôt qu’une simple négligence.
Il existe aussi une zone grise fréquente : le moment où un simple soupçon technique, une alerte automatique non confirmée, devient une connaissance effective au sens juridique. Nous conseillons de considérer que la connaissance débute dès qu’un signal suffisamment crédible existe, même avant confirmation complète, car attendre une certitude absolue avant de déclencher le compteur interne est une pratique que la CNIL ne valide pas.
La méthode en quatre phases que nous appliquons
Notre approche repose sur une séparation stricte entre quatre phases, chacune ayant son propre responsable et son propre livrable, pour éviter que tout ne retombe sur une seule personne débordée au pire moment.
La première phase est la détection et le confinement technique. Il s’agit de couper l’accès compromis, isoler le système touché, changer les identifiants exposés, et empêcher toute aggravation, avant même de réfléchir à la notification. Beaucoup d’entreprises commencent à rédiger un document CNIL alors que la fuite est encore active, ce qui est l’ordre des priorités inversé et laisse le risque continuer à s’étendre pendant qu’on rédige de la paperasse.
La seconde phase est la qualification juridique du risque, distincte de la phase technique. Un DSI qui a colmaté la brèche n’est pas forcément la bonne personne pour évaluer si le risque pour les personnes concernées est faible, élevé ou nul. Ce sont deux compétences différentes, technique et juridique, qui doivent se croiser sans que l’une n’attende l’autre pour avancer. Dans nos accompagnements, ces deux analyses tournent en parallèle dès la première heure, avec un point de synchronisation régulier plutôt qu’un enchaînement séquentiel qui gaspille un temps précieux.
La troisième phase est la rédaction de la notification, si elle s’avère nécessaire, avec un formalisme précis exigé par la CNIL : nature de la violation, catégories de données, volumes approximatifs, conséquences probables, mesures déjà engagées.
La quatrième phase, presque toujours négligée par les entreprises, est le retour d’expérience post incident. Il permet d’ajuster la procédure, de corriger les points de blocage identifiés, et de documenter les enseignements pour la prochaine fois, plutôt que de refermer le dossier et d’oublier ce qui a mal fonctionné.
Le piège du silence organisationnel
Le danger le plus fréquent que nous observons n’est pas l’absence de procédure écrite, mais le silence qui s’installe dans les premières heures parce que personne ne veut être celui qui déclenche l’alerte. Un salarié qui a cliqué sur un lien suspect, ou un prestataire qui a mal configuré un accès, hésite souvent à signaler l’incident par peur des conséquences, qu’elles soient disciplinaires ou simplement liées à l’embarras.
Ce silence coûte cher, car chaque heure perdue avant la détection interne réduit d’autant la marge de manœuvre sur les 72 heures, et complique la reconstitution précise de ce qui s’est réellement passé. Plus le signalement tarde, plus les traces techniques se diluent, ce qui rend l’analyse de risque moins fiable et la notification finale plus vague qu’elle ne devrait l’être.
La solution n’est pas punitive, elle est culturelle. Il s’agit d’instaurer un principe clair où signaler vite un incident, même causé par une erreur personnelle évidente, est valorisé plutôt que sanctionné. Les entreprises qui appliquent ce principe et le communiquent explicitement à leurs équipes détectent leurs incidents en moyenne beaucoup plus tôt que celles où la peur domine. Cela passe concrètement par un canal de signalement simple, connu de tous, et par l’absence de sanction automatique pour un salarié qui signale rapidement une erreur de sa propre initiative.
Le piège de la notification faite dans la précipitation
À l’inverse du silence, certaines entreprises tombent dans l’excès inverse : elles notifient dans la panique, sans avoir clarifié les faits, ce qui produit un dossier incomplet que la CNIL renvoie pour compléments. Ce va et vient donne une image de gestion de crise désorganisée et prolonge inutilement le dossier sur plusieurs semaines, alors qu’une préparation plus posée aurait permis de le clôturer en une seule fois.
La bonne pratique consiste à accepter qu’une notification puisse être transmise dans les délais tout en indiquant explicitement que l’analyse est encore en cours sur certains points précis, avec un engagement de complément à une date donnée. La CNIL valorise davantage une communication honnête sur l’état d’avancement qu’une notification prématurément close mais fausse ou incomplète sur des éléments essentiels.
Un autre excès fréquent consiste à sur communiquer par prudence, en notifiant systématiquement même lorsque le risque est manifestement négligeable, pensant que cela protège l’entreprise. Cette approche a un coût caché : elle dilue l’attention de la CNIL sur les dossiers réellement sensibles, et peut donner l’image d’une entreprise qui gère mal ses priorités plutôt qu’une entreprise rigoureuse.
La différence entre une procédure qui fonctionne et une procédure qui échoue en pratique
La différence tiens réellement à sa mise à l’épreuve effective. Une procédure qui n’est jamais testée va révéler ses failles au pire moment, lorsque l’incident est réel et que la pression est maximale, quand chaque minute compte et que l’improvisation coûte cher.
Nous organisons systématiquement des exercices de simulation, avec un scénario réaliste et un chronométrage effectif du temps de réaction à chaque étape. Ces exercices révèlent presque toujours les mêmes points de blocage : une personne clé injoignable au moment critique, une ambiguïté sur qui décide en dernier ressort quand deux avis divergent, ou un manque d’accès technique pour isoler rapidement un système compromis parce que les identifiants d’urgence ne sont pas centralisés.
Un point que ces simulations révèlent souvent, et qui surprend nos clients, est la difficulté à estimer rapidement le nombre exact de personnes concernées par une fuite. Sans un inventaire précis et à jour des bases de données touchées, cette estimation peut prendre plusieurs heures, alors qu’elle est pourtant un élément central de la notification CNIL. Documenter à l’avance la structure de ses principales bases de données fait gagner un temps considérable au moment où il compte vraiment.
