Le RGPD (règlement général sur la protection des données) est souvent perçu comme l'affaire des juristes et du délégué à la protection des données. Pourtant, c'est fréquemment l'analyste de sécurité qui déclenche le compte à rebours : c'est lui qui, en traitant une alerte, découvre qu'un compte a été compromis, qu'une base est exposée ou qu'un poste contenait des données de clients. Cet article explique ce qu'est le RGPD, puis comment l'intégrer concrètement à deux moments : le traitement d'une alerte et l'investigation forensique. Il présente les bonnes questions, les délais, et ce qu'il faut éviter de faire soi-même avec des données personnelles.
Précision : cet article est une aide pratique pour les équipes techniques, pas un conseil juridique. La qualification d'une violation et la décision de notifier relèvent de l'organisation, avec son délégué à la protection des données (DPO) et son service juridique. Voir aussi notre article sur le rôle de la CNIL.
Le RGPD en bref
Le RGPD est le règlement européen 2016/679, applicable depuis mai 2018. Il encadre tout traitement de données à caractère personnel, c'est-à-dire toute information se rapportant à une personne identifiée ou identifiable : nom, adresse e-mail, adresse IP, identifiant de connexion, numéro de téléphone, données de santé, etc. Le texte officiel est consultable sur EUR-Lex.
Les acteurs à connaître :
| Rôle | Définition | Exemple |
|---|---|---|
| Responsable de traitement | Décide des finalités et des moyens du traitement | L'entreprise qui gère ses clients |
| Sous-traitant | Traite les données pour le compte du responsable | Hébergeur, éditeur SaaS, prestataire de SOC |
| DPO | Conseille et contrôle la conformité | Délégué à la protection des données |
| Personne concernée | Individu dont les données sont traitées | Client, salarié, candidat |
| Autorité de contrôle | Supervise l'application du règlement | La CNIL en France |
Les principes qui comptent pour un analyste
L'article 5 fixe les principes du traitement. Trois touchent directement votre travail :
- Minimisation : ne collecter et n'utiliser que ce qui est nécessaire ;
- Limitation de la conservation : ne pas garder les données plus longtemps que nécessaire ;
- Intégrité et confidentialité : protéger les données contre l'accès non autorisé, la perte ou l'altération. L'article 32 impose des mesures de sécurité adaptées au risque.
Les sanctions peuvent atteindre, selon l'infraction, 10 ou 20 millions d'euros, ou 2 % ou 4 % du chiffre d'affaires annuel mondial (article 83). Ce sont des plafonds, pas des montants systématiques.
Le concept clé : la violation de données personnelles
L'article 4 définit la violation de données à caractère personnel : une atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles. On la classe selon trois dimensions :
| Type | Ce qui est atteint | Exemple |
|---|---|---|
| Confidentialité | Accès ou divulgation non autorisés | Base de clients exfiltrée, e-mail envoyé au mauvais destinataire |
| Intégrité | Altération non voulue | Données modifiées par un attaquant |
| Disponibilité | Perte d'accès ou destruction | Rançongiciel qui chiffre le fichier clients |
Deux points surprennent souvent : un rançongiciel sans exfiltration prouvée peut déjà être une violation (perte de disponibilité), et une violation n'est pas forcément une attaque : une erreur humaine suffit.
Les délais et obligations
| Obligation | Article | Qui | Délai |
|---|---|---|---|
| Notifier l'autorité (la CNIL) | 33 | Responsable de traitement | 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes |
| Informer les personnes concernées | 34 | Responsable de traitement | Dans les meilleurs délais, si le risque est élevé |
| Alerter le responsable de traitement | 33 | Sous-traitant | Dans les meilleurs délais après en avoir pris connaissance |
| Documenter toute violation | 33 | Responsable de traitement | Toujours, y compris celles non notifiées |
La notification se fait via le téléservice de la CNIL. Point important : si toutes les informations ne sont pas connues à 72 heures, la notification peut être faite par étapes ; l'absence de certitude ne justifie pas d'attendre.
Quand le compte à rebours démarre-t-il ?
Le délai court à partir du moment où le responsable de traitement a connaissance de la violation. Les lignes directrices européennes sur la notification considèrent qu'il en a connaissance lorsqu'il a un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles. Pratiquement : dès que votre analyse établit qu'il est probable que des données aient été touchées, l'information doit remonter, sans attendre la fin de l'enquête. Une alerte non traitée ou classée sans analyse ne suspend pas l'obligation.
Dans le traitement d'une alerte : les cinq questions
Face à une alerte, l'analyste traite déjà la gravité technique. Le RGPD ajoute une grille de lecture courte, à poser pendant le triage et à noter dans le ticket :
- Y a-t-il des données personnelles dans le périmètre ? Serveur de fichiers RH, base clients, boîte e-mail, poste d'un service comptable, journaux avec identifiants.
- Lesquelles, et de qui ? Clients, salariés, mineurs, données sensibles (santé, opinions, biométrie, données bancaires) : la sensibilité augmente le risque.
- Quelle atteinte ? Confidentialité, intégrité, disponibilité, ou plusieurs.
- Quel volume et quelle exposition ? Nombre approximatif de personnes, données chiffrées ou non, accès confirmé ou seulement possible.
- Qui est le responsable de traitement ? Votre organisation, ou un client si vous êtes sous-traitant, auquel cas le délai d'alerte vous concerne directement.
Si la réponse à la première question est « oui » et qu'un accès non autorisé est plausible, escaladez vers la personne désignée (responsable de la sécurité, DPO, cellule de crise) avec ces éléments. Ne décidez pas seul de notifier ou de ne pas notifier : votre rôle est de fournir des faits datés et sourcés.
Ce que vous notez dans le ticket
- Horodatage de la détection et de la première hypothèse de compromission ;
- Systèmes et comptes concernés ;
- Catégories de données et de personnes potentiellement touchées ;
- Faits établis et hypothèses, clairement séparés ;
- Mesures de confinement prises et leur heure ;
- Personnes informées et heure de l'information.
Ces éléments alimentent directement le registre des violations et une éventuelle notification. Nos mémos de clôture d'alerte aident à structurer cette trace.
Pendant l'investigation forensique
L'investigation vise à établir ce qui s'est passé, quand, comment et quelles données ont été touchées. C'est là que se joue l'essentiel de la réponse au RGPD : sans forensique, impossible de dire si des données ont réellement été consultées ou exfiltrées.
Répondre aux questions dont la DPO et la CNIL auront besoin
| Question | Sources techniques typiques |
|---|---|
| Quand l'intrusion a-t-elle commencé ? | Journaux d'authentification, EDR, artefacts système |
| Quels comptes et systèmes ont été atteints ? | Journaux, traces de mouvement latéral |
| Des données ont-elles été lues, copiées ou exfiltrées ? | Journaux réseau, proxy, accès aux fichiers, volumes sortants |
| Quelles catégories de données et combien de personnes ? | Inventaire des données sur les systèmes concernés |
| La menace est-elle contenue ? | Nouvelle surveillance, absence de persistance |
| Les données étaient-elles chiffrées ? | Configuration de chiffrement, gestion des clés |
Distinguez toujours accès possible, accès prouvé et exfiltration prouvée. La CNIL comme les personnes concernées ne sont pas dans la même situation dans ces trois cas. Documentez aussi ce que vous ne pouvez pas établir (journaux absents, écrasés) : c'est une information utile, pas un aveu de faiblesse.
Vous manipulez vous-même des données personnelles
Un point souvent oublié : l'investigation est elle-même un traitement de données personnelles. Les images disques, les journaux, les boîtes e-mail extraites et les captures mémoire en contiennent, et vous devez les protéger comme telles.
- Nécessité : n'exportez que ce dont l'enquête a besoin (période, comptes, systèmes) plutôt qu'une copie totale « au cas où ».
- Accès restreint : limitez l'accès aux preuves aux personnes qui en ont besoin, avec un journal des accès.
- Chiffrement : stockez et transférez les images et les extractions chiffrées.
- Chaîne de conservation : documentez qui a eu quoi et quand, ce qui sert aussi la valeur probatoire (voir notre guide sur le choix d'un logiciel forensique Windows).
- Durée de conservation : définissez à l'avance combien de temps garder les preuves et supprimez-les ensuite, sauf procédure judiciaire en cours.
- Pas de fuite par l'outil : évitez de déposer des fichiers ou des échantillons contenant des données personnelles sur des services en ligne tiers, ou dans des outils d'IA publics ; voir notre article sur l'IA et les fuites de données. Préférez des outils locaux ou des outils validés par l'organisation.
- Vie privée des salariés : un poste professionnel peut contenir des contenus privés. Limitez-vous à l'objet de l'enquête, et respectez le cadre interne (charte informatique, règles applicables aux fichiers identifiés comme personnels). En cas de doute, demandez au DPO ou aux ressources humaines avant d'ouvrir.
- Sous-traitants : si vous confiez l'analyse à un prestataire, vérifiez qu'un contrat encadre son rôle (article 28).
Le bon réflexe sur les échantillons
Quand vous analysez un fichier suspect reçu d'un client, vérifiez qu'il ne contient pas de données personnelles avant de l'envoyer à un service tiers. Un document Office de facturation est un exemple classique : le programme malveillant est dans la macro, mais les données du client sont dans le fichier.
Après l'incident
- Consigner la violation dans le registre, notifiée ou non, avec les faits, les effets et les mesures prises (article 33, paragraphe 5).
- Évaluer si une analyse d'impact (AIPD) ou le registre des traitements doit être mis à jour.
- Corriger les causes : droits d'accès, chiffrement, journalisation, sensibilisation.
- Faire un bilan avec les équipes, comme le décrit la phase finale de l'ISO 27035.
Erreurs fréquentes
- Attendre la fin de l'enquête pour prévenir le DPO : le compte à rebours a déjà démarré.
- Confondre « aucune preuve d'exfiltration » et « aucune exfiltration » : sans journaux, l'absence de preuve n'est pas une preuve d'absence.
- Minimiser un rançongiciel en le traitant comme une simple panne.
- Ne pas noter les faits au moment où ils sont connus : les dates sont reconstituées après coup et contestées.
- Copier des données sur un poste personnel ou un espace non contrôlé pour « travailler plus vite ».
- Oublier son rôle de sous-traitant : le client attend une alerte rapide, pas un rapport final.
- Décider seul de ne pas notifier alors que c'est une décision de l'organisation.
Qui fait quoi
La répartition des rôles est celle de la gestion d'incident en général (voir l'article sur les différences entre CERT, CSIRT, SOC et SecOps). L'analyste détecte, qualifie techniquement et documente ; le responsable de traitement décide de la notification ; le DPO conseille et suit ; le juridique et la communication préparent les échanges avec les autorités et les personnes.
Aide-mémoire de l'analyste
- Des données personnelles sont-elles dans le périmètre ? Lesquelles, de qui ?
- Type d'atteinte : confidentialité, intégrité, disponibilité
- Heure de détection, heure de la première suspicion de compromission
- Faits établis séparés des hypothèses
- DPO et responsable sécurité informés, heure notée
- Preuves collectées au minimum nécessaire, chiffrées, accès journalisé
- Aucun échantillon avec données personnelles envoyé à un service tiers
- Éléments transmis pour le registre et la notification éventuelle
- Durée de conservation des preuves définie
En résumé
Le RGPD ne demande pas à l'analyste de devenir juriste, mais de repérer tôt la présence de données personnelles, de remonter des faits datés et de manipuler les preuves avec les mêmes précautions que les données qu'elles contiennent. Le délai de 72 heures court dès que l'organisation a un degré raisonnable de certitude : la rapidité et la qualité de votre trace conditionnent tout le reste. Une équipe qui a préparé ces réflexes avant l'incident notifie mieux, protège mieux les personnes concernées et se justifie plus facilement devant l'autorité de contrôle.