Organisation de crise violation de données notre TUTO DPO FRANCE – DPO SUITE

Organisation de crise violation de données  : Le guide de l’ANSSI organise la crise autour d’une cellule stratégique qui décide et de cellules opérationnelles qui agissent. Le DPO n’appartient à aucune des deux au sens où il ne décide ni n’exécute. Il informe, conseille, contrôle et sert de point de contact avec la CNIL. Ce parcours suit les 18 fiches du guide et montre, pour chacune, où s’arrête son rôle.

Parcours

Module 00

Le rôle du DPO, avant d’ouvrir le guide

Le guide « Crise d’origine cyber : les clés d’une gestion opérationnelle et stratégique » (ANSSI-PA-089, version 1.0, décembre 2021) a été écrit avec le Club des directeurs de sécurité et de sûreté des entreprises, à partir des retours d’expérience de Bouygues Construction, de l’Hôpital Nord-Ouest de Villefranche-sur-Saône et de CMA CGM. Il est publié sous Licence ouverte Etalab : on peut le citer et le réutiliser avec mention de la source.

Il définit la crise d’origine cyber comme une déstabilisation immédiate et majeure du fonctionnement courant, causée par une ou plusieurs actions malveillantes sur les services numériques. Il en relève cinq traits : impact immédiat et remédiation longue, propagation possible à d’autres organisations, menace qui s’adapte aux mesures prises, incertitude sur le périmètre compromis, difficulté à comprendre les objectifs de l’attaquant.

Le cadre fixé par le RGPD

Le rôle du DPO pendant une crise découle des mêmes articles qu’en temps normal. La crise ne crée aucune mission supplémentaire et n’autorise pas à sortir des missions existantes.

La Cour de justice de l’Union européenne a rappelé, dans l’arrêt X-FAB Dresden du 9 février 2023 (C-453/21), qu’un DPO ne peut se voir confier des tâches qui le conduiraient à déterminer les finalités et les moyens d’un traitement. Diriger une cellule de crise, arbitrer la restauration des systèmes ou choisir un outil de contournement revient à déterminer des moyens de traitement.

La phrase du guide à corriger

« En cas de violation des données personnelles (règlement général sur la protection des données), une notification de l’incident est réalisée par le délégué à la protection des données. »

ANSSI, fiche 11, objectif 3, volet stratégique

L’article 33 confie la notification au responsable du traitement. Le DPO apparaît dans la notification comme point de contact (article 33, paragraphe 3, b). Lors de la mise en place de la procédure, il recommande à la direction de désigner la personne qui déposera la notification et son suppléant, par exemple au service juridique, à la direction générale ou auprès du RSSI. Il relit le projet avant dépôt et consigne son avis.

Module 01 · fiches 1 à 7

Se préparer à affronter une crise cyber

La première partie du guide part d’un constat : on n’improvise pas une réponse au milieu d’une catastrophe. Pour le DPO, la préparation consiste à vérifier que l’organisme a prévu ce dont il aura besoin pour respecter le RGPD en crise, et à formuler des recommandations écrites quand ce n’est pas le cas. La mise en œuvre revient aux équipes concernées.

Fiche 1 · Connaître et maîtriser ses systèmes d’information

« Il est indispensable d’avoir une vision à jour des actifs numériques, dont ceux liés aux activités critiques ou hébergeant des données sensibles ou réglementées. »

CMA CGM, cité dans le guide, fiche 1

Une question permet au DPO de tester la préparation lors de son contrôle annuel : si le serveur de fichiers RH est chiffré à 5 heures du matin, l’organisme peut-il dire en dix minutes quelles personnes et quelles données sont concernées ? La réponse négative donne lieu à une recommandation écrite.

Fiche 2 · Un socle de résilience numérique

Fiche 3 · Une stratégie de communication de crise

Le DPO attire aussi l’attention sur la cohérence entre la communication médiatique et la notification : affirmer publiquement « aucune donnée n’a été dérobée » pendant l’enquête crée un écart que la CNIL relèvera si elle contrôle.

Fiche 4 · L’organisation de crise

Le guide décrit une cellule stratégique (directeur de crise, management de l’information, appui à la conduite, communication), une cellule opérationnelle cyber et IT, et des cellules complémentaires selon les besoins. Le DPO n’apparaît pas dans le schéma.

Fiche 5 · Les capacités de réponse à incident

Le guide conseille de prévoir des prestataires de réponse à incident, de préférence qualifiés par l’ANSSI (PRIS), au moyen de contrats-cadres et d’accords de non-divulgation. Ces prestataires accèdent aux disques, aux messageries et aux journaux : ils sont sous-traitants au sens de l’article 28. Le DPO donne son avis sur le projet de contrat-cadre et vérifie qu’il comporte les clauses de l’article 28, le lieu de traitement des copies et leur sort en fin de mission. Le choix du prestataire et la négociation appartiennent à l’organisme.

Fiche 6 · Des polices d’assurance adaptées

Le guide invite à vérifier en amont ce que couvre le contrat. Le choix de l’assureur, l’étendue de la couverture et les conditions d’indemnisation relèvent de la direction, du risk manager et du service juridique. Le DPO n’y intervient pas. Un seul point le concerne : l’assureur et ses experts reçoivent des éléments de l’enquête contenant des données personnelles. Lors de son contrôle du registre, il vérifie que ce destinataire y figure.

Fiche 7 · S’entraîner

Le guide recommande une stratégie d’exercices pluriannuelle. Le DPO peut recommander qu’un exercice comporte un volet violation de données (revendication sur un site de fuite, sous-traitant qui prévient tardivement) et y participer dans son rôle réel de conseiller. L’exercice montre si la direction sait prendre et signer la décision de notification dans le délai, et si le DPO est prévenu à temps.

« Des fiches réflexes ne servent à rien si personne ne les comprend. »

CMA CGM, cité dans le guide, fiche 7

Phase 1 · fiches 8 à 11

Alerter, mobiliser et endiguer

La première phase vise à arrêter la propagation et à installer le dispositif de crise. Pour le DPO, elle commence par un appel : être informé tôt conditionne tout le reste de son conseil.

Fiches 8 et 9 · Activer et piloter

Le comité européen de la protection des données (lignes directrices 9/2022) fixe le départ des 72 heures au moment où l’organisme acquiert une certitude raisonnable qu’un incident de sécurité a compromis des données personnelles. Une courte période d’enquête est admise, l’attente de la fin des investigations ne l’est pas. Les lignes directrices 01/2021 traitent plusieurs cas de rançongiciels : sans exfiltration, l’indisponibilité de données de santé présente le plus souvent un risque qui conduit à notifier.

Couper un système compromis protège les données : le DPO n’a aucune raison de s’y opposer. S’il estime qu’une réinstallation hâtive détruirait des traces nécessaires pour évaluer la violation, il le dit à la cellule, qui arbitre.

« Le paiement de la rançon doit être évité, car il entretient le système frauduleux et ne garantit pas la récupération des données. »

ANSSI, fiche 9

La décision de payer ou non appartient à la direction, et le DPO ne se prononce pas sur son opportunité. Si on lui demande quelles en seraient les conséquences au regard du RGPD, il répond sur ce seul terrain : payer n’efface ni la violation ni les obligations de notification et d’information, et la promesse d’un attaquant de détruire des copies ne réduit pas le risque pour les personnes.

Fiche 10 · Soutenir les équipes

Le guide insiste sur les rotations, le suivi des heures, la logistique et les accès 24 h sur 24. Ces mesures relèvent des ressources humaines et de la logistique. Le DPO se borne à rappeler, si on le consulte, que les listes nominatives de prestataires et les données de suivi des heures entrent dans les traitements existants et suivent leurs durées de conservation.

Fiche 11 · Activer les réseaux de soutien et déclarer

Le guide confie la centralisation des déclarations à la cellule stratégique. Le tableau suivant indique qui décide et ce que le DPO apporte. Les délais NIS2 dépendent du statut de l’organisme et de l’état de la transposition française, que l’organisme vérifie au moment de la crise.

L’article 33, paragraphe 4, autorise une notification par étapes. Le DPO peut recommander une notification initiale dans les 72 heures, complétée ensuite, plutôt qu’une notification complète tardive.

Phase 2 · fiches 12 à 14

Maintenir la confiance et comprendre l’attaque

La deuxième phase combine communication, investigation et mode dégradé. Les informations issues de l’enquête arrivent par étapes, et le conseil du DPO sur l’information des personnes évolue avec elles.

Fiche 12 · Communiquer efficacement

L’article 34 prévoit trois cas où la communication aux personnes n’est pas exigée : données rendues incompréhensibles (chiffrement solide, clé non compromise), mesures ultérieures rendant le risque élevé improbable, efforts disproportionnés, auxquels se substitue alors une communication publique. La CNIL peut exiger l’information si elle estime le risque élevé. Avec des données de santé ou des pièces d’identité publiées, le DPO aura rarement d’arguments pour conseiller de s’en dispenser.

Fiche 13 · Conduire l’investigation numérique

Le guide confie l’investigation aux équipes cyber et au prestataire, et prévient que le « patient 0 » ne sera peut-être jamais identifié. Le DPO ne pilote pas l’enquête et ne donne pas d’instructions au prestataire. Il indique à la cellule, qui relaie, les informations nécessaires pour compléter la notification :

• existence, date et volume d’une exfiltration ;
• partages, bases et messageries que l’attaquant a pu lire ;
• atteinte éventuelle aux sauvegardes ;
• ancienneté de l’intrusion, qui élargit la période de données concernées.

Quand un échantillon est publié sur un site de fuite, le DPO peut recommander que son analyse passe par le prestataire, dans un environnement maîtrisé, plutôt que par un téléchargement sur un poste interne.

« Le partage progressif des résultats des investigations a été indispensable pour que les managers se représentent les effets de la crise sur l’activité métier. »

CMA CGM, cité dans le guide, fiche 14

Fiche 14 · Le mode de fonctionnement dégradé

Le guide prévoit des solutions de contournement : nuage, prestataire, papier, moyens personnels. Elles sont choisies par les métiers et la DSI et suivies dans le registre des dérogations que la fiche 4 confie à l’organisation de crise. Le DPO, lorsqu’il en a connaissance, formule un avis : données traitées, localisation, durée limitée, sort des données à la fin. Il signale en particulier les « moyens personnels » (messageries privées, adresses électroniques grand public) qui font circuler des données hors de tout encadrement.

Dans un service de santé au travail, le retour au papier concerne des dossiers de salariés suivis. Le DPO rappelle à la direction le besoin de règles de rangement, d’accès, de ressaisie et de destruction ; leur mise en place revient aux responsables des services.

Phase 3 · fiches 15 et 16

Relancer les activités et durcir les systèmes

La troisième phase consiste à reprendre le contrôle, reconstruire un « cœur de confiance » et remettre en production par priorité (P0 à P3). Le guide demande que toute dérogation aux règles de sécurité soit portée à la connaissance de la cellule stratégique et fasse l’objet d’une acceptation formelle du risque.

Après une communication aux personnes, les demandes « mes données font-elles partie de la fuite ? » arrivent. Le délai de l’article 12 continue de courir : un mois, prolongeable de deux mois si la personne en est informée dans le premier mois. Le DPO peut recommander qu’un circuit de réponse soit prévu ; le traitement des demandes reste celui de l’organisme.

« Pour rétablir au plus vite l’activité, nous avons dû faire preuve de souplesse, toutefois jamais sans garde-fou pour éviter une nouvelle compromission. »

Bouygues Construction, cité dans le guide, fiche 13

Phase 4 · fiches 17 et 18

Sortir de la crise et capitaliser

La sortie de crise intervient quand les activités essentielles reprennent normalement, même si la reconstruction se poursuit. Le guide cite parmi les actions de sortie l’identification et la réalisation des obligations réglementaires de déclaration post-crise. Pour le DPO, la phase 4 est celle du contrôle.

Fiche 17 · Ce que le DPO vérifie à la clôture

Ces actions incombent à l’organisme. Le DPO vérifie qu’elles ont été réalisées et le consigne :

• une notification complémentaire ou de clôture a été adressée à la CNIL avec les éléments définitifs ;
• la documentation interne de la violation exigée par l’article 33, paragraphe 5, est complète : faits, effets, mesures correctrices ;
• le sort des copies remises au prestataire et à l’assureur a été réglé ;
• les documents papier du mode dégradé ont été ressaisis puis détruits, les outils de contournement fermés ;
• le registre, les contrats et les analyses d’impact touchés par la crise ont été mis à jour.

Fiche 18 · Le retour d’expérience

Le guide prévoit un RETEX en deux temps, terminé au plus tard 30 jours après la fin de la crise, mené par une équipe désignée par la cellule stratégique. Il précise que le RETEX n’est pas un audit. Le DPO y est interrogé et peut demander que figurent parmi les questions :

• le délai entre la détection et son information ;
• la capacité du registre à répondre à la question « quelles personnes, quelles données » ;
• le délai entre son avis et la décision de notifier ;
• la compréhension des messages par les personnes concernées ;
• les contournements adoptés sans avis préalable.

Le DPO rend compte de la violation, de ses avis et de leur suivi dans son rapport annuel à la direction. Ce rapport mentionne aussi les cas où ses recommandations n’ont pas été suivies.

Mise en situation

Six moments, une semaine de crise

Vous êtes DPO externe d’un service de prévention et de santé au travail interentreprises : 180 salariés, 4 000 entreprises adhérentes, 60 000 salariés suivis. La cellule stratégique est dirigée par la directrice générale. Chaque choix entraîne une conséquence. Certaines réponses vous font sortir de votre rôle : elles ont un coût, même quand elles semblent efficaces.

Points de contrôle

Ce que le DPO vérifie avant la crise

L’annexe 1 du guide liste la boîte à outils de crise de l’organisme. Voici les points que le DPO contrôle, de préférence lors de son audit annuel. Chaque point manquant donne lieu à une recommandation écrite à la direction.

• ☐La procédure de crise prévoit l’information du DPO dès qu’un incident touche des données personnelles
• ☐La place du DPO dans le dispositif est écrite : conseiller, sans voix décisionnelle, avec accès à la main courante
• ☐Le numéro du DPO et de son suppléant figure dans l’annuaire de crise hors ligne
• ☐Une personne et un suppléant sont désignés pour préparer et déposer la notification à la CNIL
• ☐Le circuit de décision sur la notification est défini (qui signe, dans quel délai)
• ☐Le registre des traitements reste consultable si le réseau de l’organisme est chiffré (copie hors ligne ou outil hébergé hors du SI, comme DPO SUITE)
• ☐La liste des sous-traitants comporte un contact d’urgence et le délai contractuel de notification d’une violation
• ☐Les messages types aux personnes prévus par la communication comportent les mentions de l’article 34
• ☐Le contrat du prestataire de réponse à incident comporte les clauses de l’article 28 et règle le sort des copies
• ☐Le PCA prévoit des règles de confidentialité pour le mode papier
• ☐Les moyens de communication de secours ont été soumis à l’avis du DPO
• ☐Un registre des violations existe et est tenu par l’organisme (article 33.5)
• ☐Un circuit de réponse aux demandes d’accès consécutives à une fuite est prévu
• ☐Au moins un exercice de crise a comporté un volet violation de données

DPO SUITE

Préparer la prochaine crise avec DPO SUITE

DPO SUITE a été créée par des DPO, pour des DPO et pour les organismes qu’ils accompagnent. Elle part d’une idée simple : la conformité se pilote par la direction, et chacun y tient son rôle. L’organisme tient ses registres, enregistre ses incidents et ses demandes. Le DPO dispose de son propre accès pour conseiller, contrôler et rendre compte.

Appliqué à la crise cyber, cela donne un registre consultable quand le réseau est tombé, un incident documenté dès la première heure avec ses échéances, des avis du DPO horodatés, et un rapport annuel qui reprend la crise sans la reconstituer de mémoire. Une centaine de DPO l’utilisent déjà.