Partir de la donnée exposée

À 8 h 12, un salarié signale un fichier client envoyé au mauvais destinataire. L’équipe technique peut bloquer un accès; le délégué à la protection des données demande quelles personnes sont concernées; la direction veut savoir s’il faut notifier. Le RGPD a rendu cette chaîne de questions impossible à repousser derrière un achat d’outil. Depuis mai 2018, la sécurité des données personnelles relie prévention, détection, qualification, documentation et communication. Cette lecture explique comment reconnaître une violation, pourquoi le délai de 72 heures commence avec la connaissance du fait et comment répartir les rôles avant l’incident. Elle distingue conformité documentaire et sécurité opérante, puis transforme le sujet en première mission achetable et en stratégie d’acquisition crédible. Le fil conducteur est simple: une donnée n’a de valeur de sécurité que si l’organisation sait où elle se trouve, ce qui peut lui arriver et qui doit décider lorsque le risque devient réel.

Le RGPD a déplacé l’achat de cybersécurité vers les risques pesant sur des données personnelles et sur les personnes. Les mesures doivent être adaptées au risque, documentées et reliées aux traitements, plutôt qu’achetées comme une accumulation d’outils.

Les articles 32 à 34 relient sécurité, violation, notification à l’autorité et information des personnes. La décision ne relève donc pas d’une seule équipe. Métier, sécurité, juridique, délégué à la protection des données, communication et direction doivent partager une même description des faits.

Cette approche ouvre un marché pour les prestataires capables d’orchestrer la preuve. Elle ne garantit pas que chaque organisation achètera un service externe: le besoin dépend des données, des compétences internes et du niveau de risque.

Une violation de données personnelles est une atteinte accidentelle ou illicite à la disponibilité, à l’intégrité ou à la confidentialité de données. Elle peut résulter d’une attaque, d’une erreur d’envoi, d’une perte d’équipement ou d’une publication involontaire.

Le terme ne désigne donc pas seulement une intrusion spectaculaire. Un fichier effacé sans restauration, une information altérée ou un accès accordé à la mauvaise personne peut relever de la définition. L’organisation doit d’abord établir les faits, puis évaluer les conséquences possibles pour les personnes.

La CNIL a reçu 17 483 notifications entre mai 2018 et mai 2023. Elle précise qu’un événement peut générer plusieurs notifications, notamment lorsqu’un prestataire touché informe plusieurs clients. Ce nombre n’est ni un décompte exhaustif des incidents ni un classement des secteurs les moins sûrs.

Le délai de 72 heures court à partir du moment où le responsable de traitement a connaissance d’une violation devant être notifiée. Il faut notifier dans les meilleurs délais, si possible sous 72 heures, puis compléter les informations si l’enquête continue.

La moitié des violations analysées par la CNIL ont été constatées en moins de dix heures, mais la moyenne atteignait 113 jours en raison de détections très tardives. La rapidité de notification ne compense donc pas une détection faible. L’organisation doit savoir faire remonter un signal, l’horodater et réunir une cellule de décision.

Le schéma guide l’enquête; il ne remplace pas l’analyse du responsable compétent sur les faits disponibles.

Le registre des traitements ne suffit pas s’il n’est pas relié aux systèmes, flux, sous-traitants, accès et mesures réelles. La sécurité opérante commence lorsqu’une équipe peut partir d’un traitement et retrouver les dépendances qui exposent les données.

Un traitement décrit une finalité et des catégories de données. Pour enquêter, il faut aussi connaître applications, bases, interfaces, sauvegardes, destinataires et responsables. Cette cartographie doit rester proportionnée: commencer par un service critique vaut mieux que tenter un inventaire universel jamais terminé.

La carte devient une preuve si elle a un propriétaire, une date et un processus de mise à jour. Sinon, elle photographie un système qui a déjà changé.

Les rôles se répartissent avant l’incident en attribuant détection, confinement, qualification juridique, décision, notification, communication et suivi. Le responsable de traitement conserve ses obligations même lorsqu’un sous-traitant ou un prestataire intervient.

Le contrat définit le délai et le contenu du signalement du sous-traitant. Le plan interne désigne le pilote, les remplaçants et les moyens de contact. Le délégué conseille; l’équipe de sécurité établit et traite les faits techniques; le métier évalue les usages et conséquences; la direction tranche selon la gouvernance définie.

La sécurité dès la conception change le projet en examinant données, finalités, accès, conservation et menaces avant le développement ou l’achat. Elle permet de réduire l’exposition par le choix d’architecture, pas seulement de corriger après la mise en service.

La CNIL recommande de penser la sécurité dès le lancement, d’appliquer des mesures minimales, de maintenir les systèmes à jour et d’informer régulièrement le personnel. La traduction dépend du contexte: minimiser une collecte, séparer des environnements, renforcer une authentification ou limiter une durée de conservation.

La revue doit garder un registre des décisions écartées et des risques acceptés. La conformité ne signifie pas zéro incident; elle demande une démarche adaptée, explicable et maintenue.

La valeur économique se présente par les décisions améliorées: exposition réduite, détection plus rapide, interruption limitée et preuves disponibles. Une estimation nationale ne peut pas devenir une économie garantie pour une entreprise ou un retour sur investissement automatique.

En 2025, la CNIL a publié une étude exploratoire estimant entre 90 et 219 millions d’euros les préjudices d’usurpation d’identité évités en France par l’effet de la communication des violations aux personnes. L’autorité précise le périmètre étroit de cette estimation et la nécessité de poursuivre les recherches.

Une entreprise construit son propre raisonnement avec scénarios, fréquence, impact et coût des mesures. Les fourchettes restent des hypothèses de décision. Elles ne servent pas à annoncer que le RGPD « rapporte » un montant donné.

La première mission achetable en moins de trente jours est un exercice de violation borné: un traitement prioritaire, une cartographie minimale, un scénario, les rôles, les décisions attendues et un plan de correction. Elle ne garantit aucune conformité globale.

Le périmètre doit être assez petit pour produire une décision, mais assez réaliste pour éprouver les dépendances. Un scénario utile nomme le traitement, les catégories de données, les systèmes, le responsable de traitement, les sous-traitants et l’instant où l’organisation estime avoir connaissance de la violation. Il demande ensuite qui rassemble les faits, qui apprécie le risque, qui décide de notifier et qui prépare une information aux personnes lorsque le niveau de risque le requiert.

Cette mission pourrait devenir achetable lorsqu’un contrat, un changement de système, un nouvel usage de données ou une exigence d’assurance crée un sponsor et une échéance. Le prix, le temps mobilisé, le taux d’achat et la marge restent à déterminer. Ces critères servent à conduire un premier test après validation humaine, et non à présenter une performance déjà observée.

Le payeur probable est la direction, la sécurité, la conformité ou le responsable d’un service exposé. Le livrable comprend le chronogramme observé, les informations manquantes, les responsabilités et les mesures prioritaires. Le format produit une preuve tangible sans nécessiter un programme cyber complet.

La suite peut porter sur la détection, les procédures, la sensibilisation, la revue des sous-traitants ou des exercices périodiques. La récurrence dépend des changements et risques réels. Prix, fréquence et capacité restent à déterminer.

Les comptes activables traitent des données importantes, connaissent un changement ou une exposition identifiable et disposent d’un responsable capable d’acheter une première étape. Le secteur seul ne prouve ni urgence ni budget.

Les signaux incluent nouvelle plateforme, croissance rapide, changement de sous-traitant, recrutement sécurité, incident public, contrôle ou acquisition. La CNIL observe une forte représentation des administrations, activités spécialisées, finance, assurance et santé dans les notifications, mais avertit que ces chiffres reflètent aussi la maturité de détection et de déclaration.

La page IT & cybersécurité rassemble les analyses publiées du secteur. Les lectures corrélées sont alimentées dynamiquement après validation.

Une campagne cyber utile part d’un processus concret, d’un changement ou d’une preuve attendue. Elle explique une décision et qualifie les écarts; elle n’exagère ni les sanctions ni la probabilité d’une attaque pour forcer un rendez-vous.

Le contenu répond aux questions de qualification. Les partenaires juridiques, assureurs, intégrateurs ou délégués apportent des signaux, avec des rôles explicites. Le courriel formule une hypothèse sobre; le téléphone vérifie traitement, déclencheur, propriétaire et échéance. Les événements permettent d’exercer la décision sans exposer de dossier réel.

Ces valeurs sont des repères de démonstration, pas des résultats. En production, le tableau utilise uniquement les motifs observés et anonymisés. Le pivot consiste à abandonner les angles qui attirent des demandes non achetables et approfondir ceux qui révèlent un responsable, une pièce et une décision.

La mission devient maintenue lorsque traitements, systèmes ou risques changent assez pour justifier des revues, exercices et contrôles périodiques. Chaque cycle doit montrer ce qui a changé, ce qui a été testé et quelle décision suit.

Le revenu récurrent n’est jamais annoncé comme acquis. Il dépend de la valeur de la revue et de la capacité du partenaire à traiter les corrections. Un client autonome peut internaliser; la réversibilité du service doit être prévue.

Le test d’éligibilité offert détermine si votre expertise cyber répond à une difficulté d’acquisition précise, si une première mission peut être achetée rapidement et si nos méthodes peuvent créer des synergies de développement responsables.

Nous examinons votre positionnement, vos preuves, vos segments, votre économie et votre capacité. L’analyse peut recommander une stratégie sur mesure, demander un cadrage supplémentaire ou conclure à l’absence de synergie actuelle. Elle ne promet ni client ni résultat cyber.

L’analyse RGPD et cybersécurité s’appuie sur la CNIL, le texte du RGPD et les publications officielles sur les violations et l’économie de la sécurité numérique. Les autorités sont citées; les URLs et dates de consultation restent dans le brief privé.

La procédure CNIL actuelle confirme la documentation interne de toute violation et, lorsque le risque pour les droits et libertés le justifie, une notification dans les meilleurs délais, si possible sous 72 heures. Son analyse économique publiée en 2025 présente des bénéfices agrégés et exploratoires du RGPD; elle ne chiffre ni le gain d’une entreprise particulière ni la valeur d’une mission. Le guide de sécurité 2026 sert de repère technique actuel. Ces trois niveaux — obligation, méthode et ordre de grandeur — restent séparés dans la lecture.

Les données agrégées ne doivent pas être transposées à une entreprise. Chaque qualification de violation et chaque mesure de sécurité dépend des faits et doit être validée par les responsables compétents.