Lien public découvert : mesurer l'exposition des données
Dossier accessible par lien public : reconstituez la période d'exposition, les consultations connues et les limites des journaux.
Un dossier censé être réservé à des partenaires est accessible sans authentification. Personne ne sait si le lien a circulé. Fermer l’accès est prioritaire, mais la décision RGPD demande ensuite de distinguer l’exposition possible, les accès établis et les informations impossibles à reconstituer.
Fermer l’accès en gardant une trace utile
Révoquez le partage public ou appliquez les droits appropriés. Consignez l’heure et la configuration constatée. Préservez les journaux disponibles avant leur rotation, sans prolonger l’exposition pour réaliser une démonstration.
Évitez de transmettre le lien encore actif dans de nombreuses messageries pour signaler le problème. Utilisez une référence interne et limitez les captures aux personnes chargées de l’incident.
Construire une chronologie d’exposition
| Événement | Élément de preuve à rechercher |
|---|---|
| Création du dossier | Date et configuration initiale |
| Ouverture publique | Changement de permissions ou lien créé |
| Ajout de documents | Versions et catégories exposées au fil du temps |
| Diffusion du lien | Messages, pages ou invitations connues |
| Consultations | Journaux disponibles et leur couverture |
| Fermeture | Heure et contrôle du nouveau paramétrage |
Ne supposez pas que tous les documents présents aujourd’hui étaient accessibles depuis la création. À l’inverse, un document supprimé avant la découverte peut avoir été exposé pendant une partie de la période.
Qualifier ce que les journaux permettent d’affirmer
Un journal peut couvrir seulement les connexions authentifiées, ignorer un cache ou avoir une durée plus courte que l’exposition. Une adresse IP ne permet pas toujours d’identifier le lecteur. Consignez ces limites explicitement.
La CNIL recommande d’évaluer le risque et de gérer les violations sans attendre une enquête exhaustive. L’absence de trace d’accès ne doit pas être transformée en preuve de non-consultation lorsque le système n’enregistrait pas ces accès.
Le guide sur les journaux techniques aide à comprendre les champs disponibles, tout en évitant de créer pour l’enquête une collecte sans limites.
Évaluer les conséquences avec les incertitudes
Examinez les catégories de données, l’identifiabilité, les personnes vulnérables éventuelles, la durée, la visibilité du lien et les risques de réutilisation. Un lien difficile à deviner n’est pas une authentification ; sa confidentialité réelle doit être analysée.
Exemple hypothétique. Le lien a été inclus dans une page publique pendant une semaine, mais les journaux ne couvrent que deux jours. Le dossier de décision indique cette lacune et les données accessibles pendant la semaine ; il ne conclut pas à une absence d’accès sur les cinq jours non couverts.
Les Art. 33(1)/(4)/(5) encadrent notification, compléments progressifs et documentation. Si la violation présente un risque élevé, l’Art. 34 encadre l’information des personnes. Source : RGPD, chapitre IV.
Traiter les copies et les autres liens
Fermer le lien ne retire pas les téléchargements déjà réalisés. Recherchez les copies connues et les autres invitations au même espace. Le guide des liens de partage propose une organisation préventive pour les expirations et les propriétaires de liens.
Vérifiez enfin si le défaut provient d’un choix isolé ou d’un paramètre par défaut reproduit dans d’autres dossiers. La correction doit porter sur le périmètre réellement affecté, sans ouvrir davantage de données pendant les contrôles.
Consignez la chronologie, les décisions et les mesures dans le registre des violations. Si le nombre de personnes reste approximatif, indiquez la méthode de calcul et transmettez les compléments utiles sans retard indu lorsque la notification est requise.
Ce qu’il faut retenir
- Reconstituez les documents et permissions sur toute la période pertinente.
- Distinguez absence de trace et absence d’accès démontrée.
- La révocation du lien ne supprime pas les téléchargements antérieurs.
FAQ
Un lien non indexé est-il privé ?
Pas nécessairement. Toute personne qui l’obtient peut parfois accéder au dossier ; examinez le contrôle d’accès réellement appliqué.
Peut-on attendre les résultats complets de l’analyse ?
La notification requise suit le délai de l’Art. 33(1). Le paragraphe 4 permet de fournir progressivement les informations lorsque tout ne peut pas être communiqué en même temps.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.