La fuite de données annoncée par courriel : le déroulé écrit

Mythe · Si c'était grave, ils n'enverraient pas un simple courriel. Je supprime.

Le mythe : « pas de courrier recommandé, pas de vrai problème » La page officielle de l'Union dit exactement l'inverse : quand la violation entraîne un risque sérieux, l'entreprise doit t'informer directement. Un courriel discret n'est pas un signal faible, c'est le canal prévu. Le supprimer, c'est jeter la pièce n° 1 d'un dossier qui vient de s'ouvrir tout seul.

« le responsable du traitement des données (la personne ou l'organe traitant vos données à caractère personnel) doit en informer l'autorité nationale chargée de la protection des données. Le responsable du traitement doit également vous informer directement si cette violation entraîne un risque grave pour vos données personnelles ou votre vie privée. »

Traduit en clair : ce message est une obligation légale qui t'est adressée. On classe une obligation légale, on ne la met pas à la corbeille.

Mythe · Ils parlent d'un « incident interne », pas d'un piratage : ce n'est pas une vraie fuite.

Le mythe : « une fuite, c'est forcément des pirates » Le règlement définit la violation de données bien plus largement qu'un piratage de film : la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé, de manière accidentelle ou illicite. Un ordinateur portable oublié dans un train entre dans la définition. Le mot « incident » ne fait sortir personne du texte.

« «violation de données à caractère personnel», une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données; »

Traduit en clair : pas besoin de pirates encapuchonnés. Une erreur interne, une perte, un accès de trop : la définition couvre tout cela, et les obligations qui vont avec s'appliquent.

Mythe · Ils devaient me prévenir MOI sous 72 heures : délai dépassé, indemnisation automatique.

Le mythe : « 72 heures pour me prévenir, sinon jackpot » Les 72 heures de l'article 33 chronomètrent la notification à l'autorité de contrôle, pas le courriel qui t'est adressé. Et le texte ne prévoit aucune indemnisation automatique : un retard vers l'autorité appelle des motifs, pas un chèque. Bâtir sa réclamation sur le mauvais délai, c'est offrir à l'entreprise la réponse la plus simple du monde : « ce délai ne vous concerne pas », et elle aura raison.

« Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. »

Traduit en clair : même en retard vers l'autorité, la sanction écrite est une justification à fournir, pas une somme qui tombe. Ta vraie carte est ailleurs : le contenu de l'alerte, et la réclamation dans ton pays.

Mythe · L'enquête est en cours : ils n'ont pas le droit de m'en dire plus, secret oblige.

Le mythe : « ils ne peuvent rien dire, c'est confidentiel » Le règlement a déjà arbitré entre la discrétion et ton information : la communication qui t'est adressée décrit la nature de la violation, en des termes clairs et simples, et contient au moins le point de contact, les conséquences probables et les mesures prises. Cette liste est le minimum légal, pas une faveur d'après-crise. Une entreprise qui invoque le secret pour la vider récite sa politique interne, pas le texte.

« 2. La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d). »

Traduit en clair : le contenu minimal de l'alerte est fixé par le règlement lui-même. Ce qui y manque se réclame, et l'entreprise ne peut pas t'opposer sa propre enquête.

Mythe · C'est un sujet technique, le jargon est inévitable : à moi de m'accrocher.

Le mythe : « une fuite, ça s'explique forcément en jargon » « En des termes clairs et simples » : quatre mots du règlement, placés exactement là, dans l'article qui décrit le courriel d'alerte. La clarté n'est pas un effort de style laissé à la bonne volonté de l'entreprise, c'est une exigence légale sur la forme du message. Un texte incompréhensible n'est pas un texte conforme, et tu peux demander une version lisible.

« La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel »

Traduit en clair : c'est à eux d'être compréhensibles, pas à toi d'être ingénieur. La loi impose la clarté du message au même titre que son contenu.

Mythe · Pas de courriel personnel = infraction, point. Elle exige réparation immédiate.

Le mythe : « pas de courriel pour moi, donc infraction certaine » Le texte prévoit noir sur blanc les cas où la communication individuelle n'est pas nécessaire : des mesures de protection comme le chiffrement appliquées aux données concernées, ou une communication publique aussi efficace quand écrire à chacun exigerait des efforts disproportionnés. S'indigner contre une exception écrite, c'est perdre l'argument suivant. La bonne question n'est pas « pourquoi pas moi ? », c'est « l'exception tient-elle ? », et cette question a un juge.

« 3. La communication à la personne concernée visée au paragraphe 1 n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie: a) le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement; »

Traduit en clair : des données correctement chiffrées peuvent dispenser du courriel individuel. L'exception existe, elle est précise, et elle se vérifie : autant le savoir avant d'écrire sa lettre.

Mythe · S'ils écrivent que c'était chiffré, c'est réglé : personne ne peut aller vérifier.

Le mythe : « leur communiqué a valeur de preuve » Un communiqué est une déclaration, pas une vérification. Or l'autorité nationale chargée de la protection des données a déjà été prévenue : la notification lui est due dès la violation. Elle connaît le dossier, elle peut confronter le communiqué aux faits, et elle peut exiger la communication individuelle si le risque était élevé. Renoncer parce que l'entreprise s'est déclarée irréprochable, c'est confondre l'accusé et le greffier.

« le responsable du traitement des données (la personne ou l'organe traitant vos données à caractère personnel) doit en informer l'autorité nationale chargée de la protection des données. »

Traduit en clair : l'autorité de ton pays est déjà dans la boucle, par obligation. Ce que l'entreprise affirme au public, elle doit pouvoir le prouver à quelqu'un qui a le pouvoir de vérifier.

Mythe · Sans préjudice chiffré et prouvé, aucune plainte n'est recevable. J'attends d'avoir perdu de l'argent.

Le mythe : « pour se plaindre, il faut d'abord une facture » La condition d'entrée n'est pas un préjudice, c'est une opinion motivée : tu estimes que tes droits n'ont pas été respectés, et tu peux déposer plainte directement auprès de ton autorité nationale, qui examinera et répondra dans un délai de trois mois. Attendre d'être volé pour signaler la porte ouverte, c'est se tromper d'ordre : la réclamation sert précisément à faire examiner le dossier avant la suite.

« Si vous estimez que vos droits en matière de protection des données n'ont pas été respectés, vous pouvez déposer plainte directement auprès de votre autorité nationale chargée de la protection des données, qui examinera votre plainte et vous répondra dans un délai de trois mois. »

Traduit en clair : « si vous estimez » suffit. Aucune perte à prouver pour franchir la porte de l'autorité.

Mythe · Ce genre de dossier n'aboutit jamais sans avocat ni action collective. Je passe.

Le mythe : « seule une armée d'avocats peut s'attaquer à une fuite » La réclamation auprès de l'autorité n'est pas un procès : c'est une procédure administrative que tu déclenches seul, et le texte oblige l'autorité à te tenir informé de l'état d'avancement et de l'issue, y compris de la possibilité d'un recours juridictionnel ensuite. L'action en justice reste une option, jamais un préalable. Le dossier que tu tiens, courriel vague compris, suffit pour commencer.

« 2. L'autorité de contrôle auprès de laquelle la réclamation a été introduite informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 78. »

Traduit en clair : une fois la réclamation déposée, l'autorité travaille et te rend compte. Tu n'as engagé ni frais, ni avocat, ni procès.