Les conséquences d’une fuite de données pour le responsable de traitement dépassent l’amende de la CNIL : notification, indemnisation des personnes, risque pénal et perte de clients s’y ajoutent. Le règlement général sur la protection des données (RGPD) s’applique dès que des données personnelles sont touchées, quelle que soit la taille de la fuite.
Une fuite « limitée » reste donc une violation de données. Elle se documente, s’évalue et, selon le risque, se notifie.
L’amende administrative et ses critères
L’article 83 du RGPD fixe les plafonds. Les manquements aux obligations de sécurité et de notification exposent à une amende jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Les manquements aux principes de base du traitement ou aux droits des personnes montent jusqu’à 20 millions d’euros ou 4 %.
Le montant réel dépend des critères de l’article 83, paragraphe 2. Ils incluent la nature, la gravité et la durée du manquement, le nombre de personnes touchées et la catégorie des données. Le caractère délibéré ou négligent compte aussi. Comptent aussi les mesures prises pour atténuer le dommage, la coopération avec l’autorité et la façon dont elle a appris la violation. Une organisation qui a sécurisé ses traitements, réagi vite et notifié d’elle-même présente donc un dossier très différent.
Notifier la CNIL en 72 heures et informer les personnes
L’article 33 impose de notifier la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures après la prise de connaissance, sauf si la violation ne présente pas de risque pour les personnes. Si l’enquête n’est pas terminée, la CNIL accepte une notification en deux temps : une notification initiale, puis un complément. Au-delà de 72 heures, expliquez le retard dans la notification.
L’article 34 impose ensuite d’informer les personnes concernées quand le risque est élevé. Notre tutoriel pour notifier une violation de données détaille les deux démarches.
Ne pas notifier constitue un manquement distinct, sanctionné en plus de la fuite elle-même. De plus, toute violation se documente en interne, même celle que vous décidez de ne pas notifier.
Indemnisation des personnes : le préjudice moral suffit
L’article 82 du RGPD donne à toute personne qui subit un dommage matériel ou moral le droit d’obtenir réparation. Le 14 décembre 2023, la Cour de justice de l’Union européenne (CJUE) a précisé ce point dans l’affaire C-340/21. Ainsi, la crainte d’une utilisation abusive des données, éprouvée après une cyberattaque, peut à elle seule constituer un dommage moral.
Parmi les conséquences d’une fuite de données, l’indemnisation pèse donc lourd : un fichier exposé ouvre la porte à des demandes d’indemnisation, même sans perte financière prouvée. L’article 80 du RGPD permet aussi aux personnes de mandater une association pour agir en leur nom. Pour limiter ce risque, aidez les personnes notifiées à se protéger, comme l’explique notre article sur la communication d’une violation aux personnes concernées.
Le risque pénal
Le code pénal sanctionne aussi le défaut de sécurité et l’absence de notification. L’article 226-17 punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de traiter des données sans mettre en œuvre les mesures prévues aux articles 24, 25, 30 et 32 du RGPD, dont la sécurité. L’article 226-17-1 punit des mêmes peines l’absence de notification d’une violation à la CNIL ou aux personnes, en méconnaissance des articles 33 et 34.
Les personnes morales encourent aussi des peines complémentaires (article 226-24 du code pénal). Un défaut de sécurité connu et laissé sans suite expose donc l’organisme et les personnes qui décident du traitement, au-delà de la seule amende de la CNIL.
L’impact commercial, souvent sous-estimé
Les conséquences d’une fuite de données touchent aussi vos clients. Les personnes notifiées perdent confiance. Par exemple, un donneur d’ordre peut suspendre un contrat le temps d’un audit. Dans la santé, les ressources humaines ou la finance, la nature des données aggrave ce coût.
Une violation ne suppose pas une cyberattaque. Un courriel envoyé au mauvais destinataire, une base exposée sans mot de passe ou un accès laissé ouvert à un ancien salarié constituent aussi des violations. Le risque principal se trouve donc souvent dans l’organisation, plus que dans la technique.
Réduire les conséquences d’une fuite de données par la préparation
Les critères de l’article 83 récompensent la préparation. Avant l’incident, réunissez les éléments qui prouvent votre sérieux :
- Un registre des traitements à jour, qui dit quelles données le système touché contenait.
- Des mesures de sécurité documentées, avec leurs tests.
- Une procédure de gestion des violations prête à l’emploi, avec les rôles et les contacts.
- Des équipes formées à reconnaître et à signaler un incident.
- Un DPO joignable dès les premières heures pour évaluer le risque.
Le jour de l’incident, tenez un journal de décision : il montre à la CNIL ce que vous saviez, quand, et ce que vous avez décidé. DPO Suite, l’application de conformité de DPO PARTAGE, tient par exemple le registre des violations et la trace de ces décisions.
Sources
Les articles 33, 34, 80, 82 et 83 figurent dans le règlement (UE) 2016/679 (RGPD) sur EUR-Lex.
La CNIL décrit la notification en deux temps, et l’obligation de documenter chaque violation en interne, dans Notifier une violation de données personnelles.
Les articles 226-17, 226-17-1 et 226-24 du code pénal sont reproduits par la CNIL dans Les sanctions pénales.
La CJUE présente l’arrêt C-340/21 dans son communiqué Cybercriminalité : la crainte d’un potentiel usage abusif de données personnelles peut, à elle seule, constituer un dommage moral.
Questions fréquentes
Quelle amende en cas de fuite de données personnelles ?
L’amende peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour un manquement à la sécurité ou à la notification.
Elle monte jusqu’à 20 millions d’euros ou 4 % pour les manquements aux principes de base. Le montant réel dépend des critères de l’article 83, paragraphe 2, du RGPD.
Faut-il toujours notifier une fuite de données à la CNIL ?
Non, la notification s’impose sauf si la violation ne présente pas de risque pour les droits et libertés des personnes.
Toute violation doit en revanche être documentée en interne, y compris quand vous décidez de ne pas notifier.
Une personne peut-elle demander des dommages et intérêts après une fuite de données ?
Oui, l’article 82 du RGPD ouvre droit à réparation du dommage matériel ou moral.
Selon la CJUE (affaire C-340/21), la crainte d’une utilisation abusive des données peut, à elle seule, constituer un dommage moral.
Le dirigeant risque-t-il une sanction pénale après une fuite de données ?
Oui, le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le défaut de mesures de sécurité et l’absence de notification d’une violation.
Ces infractions figurent aux articles 226-17 et 226-17-1 du code pénal. Les personnes morales encourent aussi des peines complémentaires, prévues à l’article 226-24, en plus de l’amende.
Un email envoyé au mauvais destinataire est-il une fuite de données ?
Oui, la divulgation accidentelle de données personnelles à un tiers non autorisé constitue une violation de données.
Évaluez ensuite le risque selon la nature des données et le destinataire pour décider d’une notification.
