Un export de réservations part au mauvais destinataire, un compte administrateur est compromis ou un téléphone professionnel disparaît. La première erreur serait de traiter l’événement comme un simple incident informatique. Dès lors que des données personnelles peuvent avoir été détruites, perdues, altérées, divulguées ou consultées sans autorisation, la société VTC doit ouvrir un processus de violation de données et raisonner sur les droits et libertés des personnes.
Le but n’est pas de promettre une résolution en 72 heures. Ce délai concerne, lorsqu’elle est requise, la notification à la CNIL après la prise de connaissance de la violation. La direction doit contenir l’incident, établir les faits disponibles, évaluer le risque, décider et conserver la trace, même lorsque la conclusion est de ne pas notifier.
Donner la décision à la direction, le pilotage au référent données
La direction générale reste responsable de la décision prise au nom du responsable du traitement. Le DPO, lorsqu’il existe, ou le référent données pilote le dossier. L’équipe technique contient l’incident et préserve les journaux ; le juridique qualifie les obligations ; la communication prépare un message compréhensible ; le responsable métier décrit les traitements touchés. Un prestataire peut exécuter une notification mandatée, mais la société ne lui abandonne ni l’analyse du risque ni la tenue du registre.
Une fiche de rôle indique, pour chaque action, qui décide, qui exécute, qui vérifie et qui doit être informé. Cette séparation évite qu’un technicien, concentré sur la remise en service, décide seul de l’information des clients. Elle complète le plan de continuité numérique VTC, qui organise la reprise d’activité mais ne remplace pas l’analyse RGPD.
Horodater la connaissance sans réécrire l’histoire
Le pilote ouvre un journal dès le premier signal sérieux. Il distingue l’heure du signalement, l’heure des premières vérifications et le moment où la société acquiert un degré de certitude raisonnable qu’une violation a touché des données personnelles. Il inscrit les sources, les décisions et les inconnues. Une ligne n’est jamais effacée : elle est complétée par une correction datée.
La preuve minimale rassemble la chronologie, les systèmes et traitements concernés, les catégories de personnes, les catégories et volumes approximatifs de données, les mesures de confinement et les destinataires possibles. Les captures, journaux techniques et courriels sont conservés dans un espace restreint. Le départ d’un salarié ou d’un prestataire impose de rapprocher cette enquête de la procédure de révocation des accès administrateur.
Évaluer disponibilité, intégrité et confidentialité
L’analyse ne se limite pas à une fuite. Une suppression sans sauvegarde peut compromettre la disponibilité ; une modification non maîtrisée, l’intégrité ; une consultation ou un envoi indu, la confidentialité. Le référent décrit ensuite les conséquences plausibles : fraude, usurpation, atteinte à la vie privée, exposition de trajets, perte de contrôle d’un compte ou impossibilité d’exercer un droit.
La grille de risque prend en compte la sensibilité, le volume, la facilité d’identifier les personnes, leur vulnérabilité, la durée d’exposition et les protections réellement actives. Un fichier chiffré n’est pas automatiquement sans risque : il faut établir que la clé n’a pas été compromise. Une sauvegarde restaurée peut réduire l’effet d’une perte, mais elle ne répond pas à une éventuelle divulgation.
Décider et notifier sans attendre un dossier parfait
Si l’analyse conclut à un risque pour les droits et libertés, la notification à la CNIL intervient dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance. Si toutes les informations ne sont pas disponibles, une notification initiale peut être complétée. Si le délai est dépassé, la notification requise reste à faire et le retard doit être expliqué.
La direction signe une décision courte : notifier ou non, niveau de risque retenu, faits déterminants, mesures en cours et prochaine revue. Le pilote conserve l’accusé du téléservice. En cas de risque élevé, l’information des personnes est préparée en termes clairs avec la nature de la violation, ses conséquences probables, le contact utile et les mesures de protection. Les exceptions à cette information sont analysées avec le DPO ou le conseil, jamais supposées.
Mesurer une décision, pas une vitesse de clôture
L’indicateur principal est le temps, en heures, entre la prise de connaissance qualifiée et la décision documentée de notifier ou non. Il est produit à chaque incident et revu trimestriellement par la direction. La cible interne peut être un dossier de décision prêt avant l’échéance applicable ; elle ne doit pas encourager une qualification superficielle.
Une alerte immédiate est déclenchée si le périmètre reste inconnu, si le journal technique risque d’être écrasé, si un sous-traitant tarde à répondre ou si l’échéance de notification approche sans décision signée. La direction choisit alors des moyens supplémentaires, une notification initiale ou l’appui d’un conseil. L’unité de suivi est l’heure ; la limite est que cet indicateur ne mesure ni la gravité ni l’efficacité réelle du confinement.
Maintenir le registre et tester le processus
Toutes les violations sont inscrites au registre interne, y compris celles qui ne sont pas notifiées. Une revue semestrielle recherche les causes répétées, les accès orphelins et les contrats de sous-traitance incomplets. Lors d’une acquisition, le dossier doit aussi être rapproché des garanties et traitements recensés dans l’acquisition d’un portefeuille clients VTC.
Un exercice annuel permet de tester l’alerte, la disponibilité des coordonnées, le circuit de décision et l’accès au téléservice. Il ne doit contenir aucune donnée personnelle réelle. Cette méthode organise la direction de l’incident ; elle ne remplace ni l’expertise de cybersécurité, ni l’analyse du DPO, ni un conseil juridique pour un traitement transfrontalier ou une situation à risque élevé.
Sources officielles
- CNIL — Violations de données personnelles : les règles à suivre
- CNIL — Notifier une violation de données personnelles
Sources vérifiées le 30 septembre 2026. Ce guide fournit un processus de direction et ne constitue pas une consultation juridique ou une analyse de cybersécurité personnalisée.