Exercice RGPD : simuler une alerte fournisseur
Simulez une alerte fournisseur RGPD : scénario progressif, rôles, décisions de notification et débriefing des informations manquantes.
Un prestataire signale un accès suspect sans connaître les clients concernés. Cette situation se prête à un exercice sur table : l’équipe doit organiser les questions, les mesures et les décisions avec des informations incomplètes. Le but est de vérifier la capacité à agir, puis de corriger les blocages observés.
Définir le périmètre de la simulation
Choisissez un service fictif inspiré de votre organisation, avec des catégories de données plausibles et des contacts d’exercice. Associez le métier, la DSI, le DPO ou référent, le juridique et la personne habilitée à décider. Désignez un animateur qui fournit les informations successives.
L’Art. 32(1)(d) vise une procédure destinée à tester, analyser et évaluer régulièrement l’efficacité des mesures de sécurité. Il ne prescrit pas ce scénario ni une fréquence universelle d’exercice RGPD. La CNIL recommande de préparer la gestion des incidents et violations.
Utiliser un scénario progressif
Les temps suivants servent à l’animation ; ils ne constituent pas des délais légaux.
| Temps fictif | Information remise | Décision attendue |
|---|---|---|
| T0 | Le fournisseur détecte un accès suspect | Activer les rôles et demander des faits précis |
| T+30 minutes | Des données de plusieurs clients pourraient être visibles | Identifier les traitements et mesures de limitation |
| T+60 minutes | Certains journaux manquent | Documenter l’incertitude et les recherches prioritaires |
| T+90 minutes | Un échantillon confirme une divulgation | Qualifier la prise de connaissance et le risque |
| T+120 minutes | Le périmètre augmente | Mettre à jour les décisions et préparer un complément |
Ajoutez une difficulté réaliste, par exemple un contact prestataire indisponible ou une liste de sous-traitants incomplète. Évitez d’accumuler des surprises sans rapport avec le service choisi.
Faire produire des livrables concrets
À chaque étape, demandez une fiche de faits, la liste des informations manquantes, une décision motivée et un responsable de la prochaine action. L’équipe doit distinguer faits confirmés, hypothèses et mesures de précaution.
Le guide des informations à obtenir du fournisseur fournit une trame de questions. La cartographie de la chaîne de sous-traitance permet d’identifier les autres intervenants dont les faits sont nécessaires.
Préparez une ébauche de notification et un message aux personnes lorsque le scénario le justifie. Ils restent des documents d’exercice dans un circuit clairement identifié, afin d’éviter de déclencher une alerte réelle ou d’envoyer des informations fictives à une autorité.
Évaluer les décisions avec les bons critères
L’Art. 33(2) impose au sous-traitant d’informer le responsable dans les meilleurs délais après avoir pris connaissance d’une violation. Le responsable examine l’Art. 33(1), puis l’Art. 34 en cas de risque élevé. Le paragraphe 4 de l’Art. 33 permet des informations échelonnées sans retard indu. Source : RGPD, chapitre IV.
L’exercice doit donc vérifier que l’équipe n’attend pas tous les chiffres pour prendre position. Il doit aussi vérifier qu’elle ne transforme pas toute suspicion technique en fait certain sans analyse.
Débriefer les obstacles observés
Pour chaque difficulté, décrivez l’effet : délai perdu, absence de décideur, données introuvables, message contradictoire ou accès aux preuves insuffisant. Attribuez une correction, une échéance et un critère observable de résolution.
Exemple hypothétique. Le contrat indique une ancienne adresse d’alerte. La correction comprend la mise à jour des coordonnées et une vérification de réception, pas seulement l’ajout d’une ligne dans le compte rendu.
Classez les actions avec la méthode de priorisation des non-conformités. Une simulation réussie n’est pas celle où personne ne rencontre de difficulté ; c’est celle dont les difficultés conduisent à des corrections vérifiables.
Utilisez le même suivi d’actions que dans un retour d’expérience après incident RGPD : responsable, échéance, preuve de correction et vérification de l’efficacité. Un exercice terminé ne prouve pas que ses enseignements ont été appliqués.
Ce qu’il faut retenir
- Le scénario doit produire des décisions et des documents utilisables.
- Les délais d’animation se distinguent des délais du RGPD.
- Chaque blocage observé doit avoir un responsable et une correction vérifiable.
FAQ
Faut-il utiliser de vraies données clients ?
Non pour ce type d’exercice. Des données fictives cohérentes permettent de travailler les décisions sans exposer des dossiers réels.
Le DPO doit-il décider seul de la notification ?
Le responsable de traitement porte les obligations. Le DPO conseille et accompagne selon ses missions ; l’organisation doit identifier les personnes habilitées à décider et transmettre.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.