Après une violation massive de données, un opérateur télécom informe ses clients par courriel. L’information existe. Le canal est direct. Un second niveau d’information est prévu via numéro vert et dispositif DPO.
Pourtant, la CNIL sanctionne.
Pourquoi ? Parce que l’article 34 du RGPD n’impose pas seulement de prévenir les personnes concernées. Il impose de leur donner une information utile, compréhensible et suffisamment concrète pour réduire le risque.
Le socle minimal à communiquer doit permettre d’identifier :
• la nature de la violation
• les catégories de données concernées
• les conséquences probables pour les personnes
• les mesures prises ou proposées par l’entreprise
• les mesures concrètes que les personnes peuvent adopter
• le point de contact utile, notamment DPO ou assistance dédiée
La nuance est importante.
Une entreprise peut envoyer un message rapidement, mettre en place un numéro vert, ouvrir un canal DPO, et malgré tout manquer à son obligation si l’information ne permet pas réellement aux personnes d’agir.
Cette affaire rappelle une réalité de gouvernance souvent sous-estimée : la gestion d’une violation ne se prépare pas le jour de l’incident. Elle se prépare avant, avec des modèles de notification, une cartographie des risques et une articulation claire entre juridique, DPO, cybersécurité et communication.
Sources :