Notification aux personnes : éviter la seconde fuite
Informer les victimes d'une violation sans nouvelle fuite : vérifiez la liste, les contenus personnalisés, les canaux et les retours.
Une notification de violation contient parfois une liste de destinataires visible ou une pièce rattachée à la mauvaise personne. L’urgence de l’envoi ne réduit pas l’obligation de protéger les données. Le circuit de distribution doit être préparé avec autant de soin que le texte du message.
Séparer le contenu commun des informations individuelles
L’Art. 34(2) impose une communication claire comprenant les informations minimales requises. Il n’exige pas de joindre à chaque personne le fichier exposé ni la liste des autres personnes concernées. Les Art. 5(1)(c) et 32(1) imposent la minimisation et la sécurité du nouvel envoi. Source : RGPD.
Préparez un texte commun sur les faits, risques, mesures et contact. Réservez les précisions individuelles à un canal adapté, lorsqu’elles sont nécessaires et que le rattachement à la bonne personne est fiable.
Contrôler la population destinataire
| Contrôle | Erreur recherchée |
|---|---|
| Source de la liste | Population confondue avec tous les clients |
| Déduplication | Plusieurs messages contradictoires au même contact |
| Coordonnées | Adresse ancienne ou attribuée à une autre personne |
| Personnalisation | Champs ou pièces décalés d’une ligne |
| Visibilité | Destinataires affichés aux autres destinataires |
| Canal | Adresse partagée ou notification révélant un contexte sensible |
Une adresse correcte peut être consultée par plusieurs personnes. Le choix du canal doit tenir compte de ce que le message révèle par son objet, son expéditeur ou son aperçu.
Vérifier un lot avant diffusion
Travaillez avec des données fictives pour vérifier le mécanisme de personnalisation, puis contrôlez la correspondance de la population réelle dans un environnement restreint. Faites relire le résultat final, pas seulement le modèle.
Exemple hypothétique. Deux modèles distinguent les personnes dont les coordonnées ont été exposées et celles dont un justificatif a également été touché. Le contrôle doit vérifier que chaque destinataire reçoit le bon modèle ; un message plus alarmant n’est pas une manière acceptable de compenser un classement imprécis.
Le guide des erreurs d’identité dans les dossiers aide à repérer les rapprochements fragiles. Ne fusionnez pas deux destinataires sur la seule similitude du nom.
Utiliser un canal fiable et reconnaissable
Évitez les pièces jointes nominatives inutiles et les liens inhabituels qui ressemblent à de l’hameçonnage. Fournissez un moyen de retrouver l’information depuis un canal officiel connu. Ne demandez pas de mot de passe, de code d’authentification ou de paiement pour accéder à l’information sur la violation.
Un envoi groupé doit empêcher la divulgation de la liste. Le champ de copie cachée peut répondre à certains besoins simples, mais ne corrige pas les erreurs de personnalisation et n’est pas une garantie universelle adaptée à tout volume ou contenu.
Suivre les échecs et les réponses
Enregistrez les envois et les échecs connus, sans prétendre que la preuve de remise prouve la lecture. Déterminez le traitement des adresses invalides et les autres canaux appropriés. L’Art. 34(3)(c) encadre le recours à une communication publique en cas d’efforts disproportionnés ; cette exception ne doit pas être utilisée par simple commodité.
L’assistance après violation doit connaître les versions et les dates. Évitez qu’une réponse individuelle joigne par erreur la liste complète exportée pour l’envoi initial.
Si une erreur survient, appliquez la procédure du mauvais destinataire et analysez ce nouvel événement. La notification initiale de la première violation ne couvre pas automatiquement une divulgation créée par sa distribution.
Ce qu’il faut retenir
- La liste des personnes concernées est elle-même à protéger.
- Contrôlez le résultat de la personnalisation et le canal choisi.
- Suivez les échecs sans confondre envoi, remise et lecture.
FAQ
Faut-il envoyer toutes les données exposées dans le message ?
Non. La communication doit être claire et utile ; joindre un dossier complet peut accroître le risque. Les informations individuelles peuvent être accessibles par un circuit sécurisé adapté.
Une publication sur le site suffit-elle si les emails échouent ?
Il faut examiner les possibilités de contact et les conditions de l’Art. 34(3)(c). Quelques échecs d’envoi ne démontrent pas automatiquement des efforts disproportionnés.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.