Sous-traitant : alerter sans attendre tous les chiffres
Alerte initiale du sous-traitant : informez le client rapidement avec les faits disponibles, les incertitudes et les prochaines vérifications.
Un prestataire confirme une divulgation de données confiées, mais ignore encore le nombre exact de personnes. Attendre un rapport complet peut priver le client du temps nécessaire pour limiter les conséquences et remplir ses obligations. L’alerte initiale doit être courte, factuelle et utilisable.
Appliquer le bon délai
L’Art. 33(2) impose au sous-traitant d’informer le responsable de traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Il ne lui accorde pas un délai autonome de 72 heures avant de prévenir le client. Ce délai de l’Art. 33(1) concerne la notification du responsable à l’autorité compétente, dans les conditions prévues par le texte. Source : RGPD, chapitre IV.
Le contrat peut préciser un circuit et des exigences opérationnelles. Il ne doit pas servir à retarder l’alerte jusqu’à la réunion d’un comité ou à la validation d’un rapport final.
Identifier le client et le traitement concernés
Vérifiez les données traitées pour le compte du client et les contacts prévus. Une alerte adressée à une boîte commerciale peu consultée peut ne pas atteindre l’équipe capable d’agir. Prévoyez un relais et une confirmation de réception proportionnée à l’urgence.
Sur une plateforme commune, la procédure de coordination entre plusieurs clients permet de séparer les informations de chaque responsable.
Rédiger une première alerte structurée
| Rubrique | Contenu utile |
|---|---|
| Référence | Identifiant d’incident et contact joignable |
| Faits | Nature de l’atteinte confirmée et date de connaissance |
| Périmètre | Service et catégories de données identifiés |
| Incertitudes | Chiffres, période ou systèmes encore examinés |
| Mesures | Actions déjà réalisées et limites connues |
| Besoin client | Action urgente éventuellement nécessaire |
| Suite | Prochain point et éléments attendus |
Une trame peut commencer ainsi : « Nous vous informons d’une violation affectant [traitement]. À ce stade, nous avons confirmé [faits]. Les points [liste] restent en cours de vérification. Les mesures [liste] ont été réalisées à [heure]. Votre contact est [coordonnées]. »
Cette trame doit être adaptée aux faits. Si seule une suspicion existe encore, qualifiez-la comme telle tout en organisant les vérifications rapides nécessaires.
Donner des limites explicites aux chiffres
Indiquez si un volume concerne des comptes, personnes, documents ou lignes. Ne remplacez pas une valeur inconnue par zéro. Une fourchette peut être plus fidèle qu’un total précis fondé sur une extraction incomplète.
Exemple hypothétique. Le fournisseur sait qu’un dossier client a été affiché hors du périmètre autorisé. Il alerte sur ce fait confirmé, précise que les journaux sont en cours d’analyse et transmet ensuite le nombre de dossiers potentiellement exposés. Il n’attend pas ce second chiffre pour envoyer le premier message.
Le guide des faits à obtenir du fournisseur peut servir de grille commune entre les deux équipes. L’Art. 28(3)(f) prévoit cette assistance compte tenu des informations disponibles.
Mettre à jour sans brouiller les versions
Chaque complément doit rappeler la référence, distinguer les faits nouveaux et expliquer les corrections. Conservez les messages précédents pour retracer l’évolution de l’enquête. La CNIL illustre l’importance des informations du prestataire dans la gestion d’une compromission.
N’affirmez pas que le client n’a « rien à notifier » sans lui fournir les faits nécessaires à sa propre analyse. Le risque dépend de ses personnes, traitements et usages. Le guide sur les décisions en incertitude aide à documenter cette répartition.
Ce qu’il faut retenir
- Le sous-traitant alerte dans les meilleurs délais après prise de connaissance.
- Une quantification incomplète n’empêche pas une alerte utile.
- Les compléments doivent préserver la chronologie et les distinctions entre faits et hypothèses.
FAQ
Un prestataire peut-il attendre 72 heures pour prévenir le client ?
Ce n’est pas le délai fixé par l’Art. 33(2). L’obligation est d’informer dans les meilleurs délais ; le circuit contractuel doit permettre cette rapidité.
Qui décide d’informer les personnes ?
Le responsable de traitement porte l’obligation de l’Art. 34. Le prestataire l’assiste selon son rôle et les dispositions convenues, sans se substituer automatiquement à cette décision.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.