Si ça part quand même

Ça arrive. On colle un fichier avant d’avoir réfléchi, on partage une conversation qui contenait un extrait de dossier, on découvre qu’un connecteur donnait accès à toute la messagerie.

Ce qui suit est la seule fiche que j’espère que tu ne liras qu’une fois.

La première heure

Ne supprime pas tout de suite. Le réflexe est de faire disparaître la conversation. Prends d’abord une capture d’écran de ce qui a été transmis : sans elle, personne ne pourra évaluer la gravité, et l’évaluation est obligatoire.

Note les faits. Quoi exactement, quand, dans quel outil, sous quel compte, combien de personnes concernées, quelles catégories de données. Cinq lignes suffisent, écrites tout de suite plutôt que reconstituées de mémoire trois jours plus tard.

Préviens. Ton responsable, et le délégué à la protection des données s’il existe. Dans l’heure. C’est le point qui compte le plus, et on y revient plus bas.

Puis limite. Supprime la conversation, révoque les liens de partage, retire les connecteurs, change les accès si des identifiants étaient concernés.

Et écris ce qui a été fait, avec les horaires. Cette chronologie sera demandée.

Ne gère pas ça seul

Même si tu penses que ce n’est pas grave. Même si tu as tout supprimé. Même, et surtout, si tu as honte.

L’évaluation de la gravité n’est pas de ton ressort, et une erreur signalée tôt se traite. Une erreur découverte trois semaines plus tard ne se traite plus.

Ce que l’organisation doit évaluer

Tu n’as pas à le faire, et le savoir t’aide à fournir les bonnes informations.

L’organisation doit déterminer s’il s’agit d’une violation de données personnelles, apprécier le risque pour les personnes concernées, décider s’il faut notifier l’autorité de contrôle, décider s’il faut informer les personnes, et consigner l’incident dans un registre interne.

Deux repères utiles. La notification à l’autorité de contrôle, quand elle est requise, obéit à un délai court, de l’ordre de soixante-douze heures après la prise de connaissance. Et cette consignation interne est due même quand aucune notification n’est nécessaire.

Vérifie ces éléments sur cnil.fr, qui publie une procédure claire et à jour. Je te donne les repères, pas le détail juridique.

C’est précisément pour ça que le délai de ton signalement compte : le compteur ne part pas de ton erreur, il part du moment où l’organisation en a connaissance.

Ce qui aggrave

Quatre comportements, tous compréhensibles, tous coûteux.

Attendre. Le seul vrai problème. Une heure de retard n’a pas d’importance, trois semaines changent tout.

Supprimer avant de documenter. On ne peut plus évaluer ce qu’on ne peut plus décrire.

Minimiser dans le signalement. « J’ai juste collé un petit truc » empêche une évaluation correcte. Dis exactement ce qui est parti.

Décider seul qu’il n’y a pas de risque. Ce n’est ni ton rôle ni ta compétence, et ce n’est pas une marque de sérieux.

Ce qui n’aggrave pas

Avoir fait l’erreur.

Les organisations qui sanctionnent le signalement obtiennent du silence, donc des incidents découverts tard, donc des conséquences bien pires. C’est mécanique, et c’est constamment vérifié.

Si tu encadres une équipe, dis-le explicitement et répète-le : signaler une erreur ne sera jamais reproché. Une phrase, et elle change le comportement réel.

Les cas particuliers

Un mot de passe est parti. Change-le immédiatement, ainsi que tous ceux qui lui ressemblent, puis signale. Ici l’ordre s’inverse : la limitation passe avant.

Des données de santé sont parties. Signale tout de suite, sans attendre d’avoir tout compris. Ces catégories appellent une réaction plus rapide.

Ça concerne des mineurs. Même chose, et préviens l’établissement ou la structure responsable.

C’est un collègue qui l’a fait. Dis-lui, calmement, et accompagne-le pour le signalement. Le faire à sa place sans lui en parler abîme durablement la confiance, et la prochaine fois personne ne te dira rien.

La fiche à garder

À recopier là où tu la retrouveras sous stress.

SI DES DONNÉES SONT PARTIES

1. CAPTURE       je documente avant de supprimer
2. NOTE          quoi, quand, où, combien de personnes, quelles données
3. PRÉVIENS      [nom] · [contact] · dans l'heure
4. LIMITE        supprimer, révoquer les partages, couper les connecteurs
5. CHRONOLOGIE   j'écris ce que j'ai fait, avec les horaires

Ne pas attendre. Ne pas minimiser. Ne pas décider seul de la gravité.

Dix minutes de pratique

Remplis la fiche ci-dessus avec le vrai nom et le vrai contact de la personne à prévenir chez toi. Si tu ne sais pas qui c’est, c’est ta question du jour.

Fais un exercice à blanc, mentalement : tu viens de coller un fichier de deux cents clients. Que fais-tu, dans quel ordre, et qui appelles-tu ? Chronomètre ton hésitation. C’est elle qu’il faut supprimer.

Puis, si tu encadres une équipe, dis la phrase sur le signalement sans reproche. À voix haute, à des gens. C’est l’étape qui rend tout le reste applicable.

Vérifie ta compréhension

Question : tu as collé par erreur un extrait de fichier client, tu t’en rends compte immédiatement et tu supprimes la conversation. Faut-il quand même signaler ?

Réponse : oui. La suppression côté interface ne garantit pas que la donnée a disparu des serveurs, et surtout l’évaluation du risque ne relève pas de toi. L’organisation doit apprécier s’il s’agit d’une violation, si elle doit être notifiée, et la consigner dans son registre. Le délai applicable court à partir du moment où elle en a connaissance, ce qui rend ton signalement immédiat déterminant.

Place aux ateliers, puis au bilan.