Perte de papier : évaluer une violation de données
Dossier papier perdu : identifiez le contenu, les personnes et les copies disponibles pour agir et apprécier le risque RGPD.
Une pochette de dossiers disparaît entre deux sites. La réaction ne peut pas attendre que l’équipe sache si elle a été volée ou simplement égarée. Il faut reconstituer le contenu, organiser la recherche et examiner à la fois l’exposition des informations et la perte éventuelle de données nécessaires.
Retrouver le contenu sans diffuser davantage
Identifiez le lot à partir d’un bordereau, d’un agenda de transport ou des dossiers préparés. Évitez un message général contenant les noms et détails des personnes pour demander si quelqu’un a trouvé la pochette.
| Élément | Question utile |
|---|---|
| Contenu | Quelles pièces et catégories de données ? |
| Personnes | Identité, nombre approximatif et vulnérabilités pertinentes ? |
| Support | Pochette fermée, documents lisibles, étiquettes extérieures ? |
| Parcours | Dernier lieu connu, transport et personnes présentes ? |
| Copies | Existe-t-il des originaux ou copies fiables ailleurs ? |
| Mesures | Recherche, signalement au lieu, récupération et vérifications ? |
La perte d’un support ne nécessite pas une preuve de lecture par un tiers pour être examinée comme incident de données.
Vérifier le champ du RGPD
Les traitements non automatisés entrent dans le champ du règlement lorsqu’ils portent sur des données contenues ou appelées à figurer dans un fichier, selon l’Art. 2(1). Un dossier papier classé par client ou patient n’échappe donc pas au RGPD au seul motif qu’il est physique. L’Art. 4(12) inclut la perte et la divulgation non autorisée. Source : RGPD.
Le droit d’accès aux archives papier rappelle l’importance d’un classement qui permet de retrouver les données, notamment lorsque le contenu du lot doit être reconstitué.
Examiner confidentialité et disponibilité séparément
Une copie disponible peut éviter une interruption de service, mais elle ne réduit pas nécessairement le risque de lecture du dossier perdu. À l’inverse, une pochette récupérée sans exposition apparente peut avoir empêché une action urgente si elle contenait la seule information disponible.
Exemple hypothétique. Un dossier d’inscription est perdu avant une activité. La structure possède une copie des coordonnées, mais la pochette comprend aussi un justificatif sensible. La continuité est rétablie ; l’analyse de confidentialité reste nécessaire pour ce justificatif.
Évaluez les conséquences concrètes : usurpation, divulgation d’une situation personnelle, difficulté d’accès à un service ou impossibilité de faire valoir un droit. Le nombre de pages ne mesure pas, à lui seul, la gravité.
Documenter la récupération et ses limites
Si la pochette est retrouvée, notez où, par qui, dans quel état et après quel délai. Vérifiez les documents manquants et les informations disponibles sur leur manipulation. Une enveloppe intacte constitue un élément ; elle ne permet pas toujours d’affirmer qu’aucune copie n’a été faite.
Les Art. 33(1)/(5) imposent la notification selon le risque et la documentation de la violation. L’Art. 34 concerne le risque élevé pour les personnes, avec ses exceptions. La CNIL explique ces obligations. Si une notification est requise, la récupération tardive ne fait pas disparaître rétrospectivement les délais applicables.
Modifier le circuit physique
Examinez la nécessité de transporter les originaux, le volume, les contenants, la remise et la traçabilité. Le guide des imprimantes partagées permet aussi de traiter les pertes entre impression et récupération.
Prévoyez un interlocuteur pour les objets retrouvés et une consigne de signalement rapide. Numériser n’est pas une réponse automatique : cela crée d’autres accès et copies à encadrer. Conservez l’analyse et les corrections dans le registre des violations.
Ce qu’il faut retenir
- Reconstituez le contenu et le parcours du lot physique.
- Analysez séparément l’exposition et la perte de disponibilité.
- Une récupération ne dispense pas de documenter les faits et décisions.
FAQ
Le RGPD ne vise-t-il que les fichiers informatiques ?
Non. Il couvre aussi certains traitements non automatisés, notamment des données organisées dans un fichier papier selon l’Art. 2(1).
Une pochette retrouvée impose-t-elle toujours une notification ?
La décision dépend du risque établi à partir du contenu, des circonstances et des mesures. La documentation interne reste nécessaire lorsqu’une violation est caractérisée.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.