Une cyberattaque ne se limite pas à une interruption d’activité. Lorsque des données personnelles sont concernées, l’organisation doit aussi qualifier les conséquences pour les personnes et coordonner sa réponse. Le DPO, lorsqu’il est désigné, les équipes de sécurité, la direction et la communication ont besoin d’un dispositif préparé.
Une violation de données ne se réduit pas à une fuite
La CNIL rappelle qu’une violation peut concerner la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles. La préparation doit donc examiner la disponibilité et l’intégrité, en plus de la confidentialité. Source : CNIL, « Sécurité : gérer les incidents et les violations », guide de sécurité 2024, consulté le 15 octobre 2026.
Documentation et notification : distinguer les décisions
Les violations doivent être documentées en interne. Lorsqu’une violation présente un risque pour les droits et libertés des personnes, le responsable de traitement doit la notifier à l’autorité compétente dans les meilleurs délais et, si possible, dans les 72 heures suivant sa prise de connaissance. L’information des personnes concernées répond à un seuil de risque élevé, sous réserve des exceptions prévues par le RGPD. Source : CNIL, « Notifier une violation de données personnelles », page publiée le 24 mai 2018, consultée le 15 octobre 2026.
Préparer les moyens de coordination avant l’incident
Construisez un scénario avec les acteurs concernés et vérifiez :
- Les coordonnées du DPO ou du point de contact, du RSSI, des responsables métiers et des prestataires
- Le canal à utiliser si la messagerie habituelle est indisponible ou ne peut plus être utilisée en confiance
- Le lieu de conservation des procédures et des informations utiles à l’analyse
- Les responsabilités pour qualifier les faits, évaluer les risques, valider les messages et suivre les décisions
- La manière de consigner les faits confirmés, les incertitudes, les horaires et les mesures prises
Un exercice pour vérifier la circulation de l’information
Simulez une indisponibilité de la messagerie au moment où une violation est suspectée. Les personnes utiles peuvent-elles être jointes ? Le point de contact dispose-t-il des informations nécessaires ? Les décisions sont-elles partagées avec les bons destinataires ? Utilisez des données fictives pour tester l’organisation sans exposer de dossiers réels.
Où intervient Shadline ?
Shadline apporte un environnement de communication et d’accès aux documents essentiels indépendant des outils habituels. Il peut soutenir la coordination des équipes concernées. Le périmètre des données, les droits d’accès et les procédures sont à définir avec votre organisation.
La qualification juridique, l’évaluation des risques et les décisions de notification relèvent des responsables compétents. Shadline ne réalise pas automatiquement ces démarches et ne constitue pas, à lui seul, une garantie de conformité RGPD.
NIS2 et RGPD : articuler les deux préparations
Les objectifs sont distincts, mais les acteurs et les moyens de coordination peuvent se recouper. Un exercice commun permet de vérifier qui gère les impacts opérationnels, qui analyse les conséquences sur les données personnelles et comment les informations sont partagées. Voir également notre article sur NIS2 et la continuité d’activité.
Préparation réglementaire : NIS2 et continuité d’activité · RGPD et violation de données