Datenpanne

Un ordinateur portable disparaît lors d’un déménagement, une caisse d’anciens appareils reste ouverte dans le couloir, un disque dur est revendu sans avoir été effacé : la question se pose vite de savoir s’il s’agit d’une violation de données et si vous devez la notifier. Cette entrée du glossaire explique ce que le RGPD entend par violation de données, quels délais s’appliquent et pourquoi l’informatique mise au rebut est en particulier un déclencheur typique.

Qu’est-ce qu’une violation de données selon l’art. 33 du RGPD ?

De RGPD ne parle pas de « Datenpanne », mais d’une « violation de données à caractère personnel ». L’art. 4, point 12, du RGPD la définit comme une violation de la sécurité entraînant la destruction, la perte, l’altération ou la divulgation non autorisée de, ou l’accès non autorisé aux données à caractère personnel . Peu importe que la cause soit une attaque, une négligence ou une défaillance technique.

Les spécialistes distinguent trois types :

• Atteinte à la confidentialité : Des personnes non autorisées peuvent consulter des données, par exemple parce qu’un disque dur non effacé tombe en des mains étrangères.
• Atteinte à l’intégrité : Des données sont modifiées sans autorisation.
• Atteinte à la disponibilité : Des données sont perdues ou définitivement inaccessibles, par exemple parce que l’unique support de stockage manque.

L’art. 33 du RGPD régit la notification à l’autorité de contrôle, l’art. 34 du RGPD la communication aux personnes concernées.

Que cela signifie-t-il pour le matériel informatique mis au rebut ?

Tant que les données n’ont pas été effacées de façon vérifiable, tout ancien appareil est un support de données à protéger. Les violations de données typiques liées à la mise au rebut sont les suivantes :

• Un appareil est perdu entre le poste de travail, l’entrepôt et le prestataire.
• Des disques durs, SSD ou smartphones sont vendus, donnés ou éliminés sans effacement certifié.
• Des copieurs, serveurs ou stockages réseau sont oubliés alors qu’ils contiennent des supports de données internes.
• Des anciens appareils restent entreposés en libre accès pendant des semaines avant d’être enlevés.

La nécessité d’une notification dépend du risque. Si un ordinateur portable perdu était chiffré selon l’état de l’art, par exemple avec BitLockeret que la clé n’est pas compromise, le risque peut être faible. La communication aux personnes concernées peut alors être omise en vertu de l’art. 34, § 3, du RGPD. Vous devez toutefois effectuer et documenter cette évaluation au cas par cas.

Obligations et délais en un coup d’œil

Qui ?	Quoi ?	Délai / base
Responsable du traitement	Notification à l’autorité de contrôle compétente, sauf si la violation n’est pas susceptible d’engendrer un risque	Dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance (art. 33, § 1)
sous-traitant	Notification au responsable du traitement, par exemple un prestataire de logistique ou d’effacement	Dans les meilleurs délais (art. 33, § 2)
Responsable du traitement	Communication aux personnes concernées en cas de risque élevé probable	Dans les meilleurs délais (art. 34)
Responsable du traitement	Documentation interne de chaque violation avec les faits, les effets et les mesures correctives, même si aucune notification n’était nécessaire	En continu (art. 33, § 5)

La notification doit décrire au minimum la nature de la violation, le nombre approximatif de personnes concernées et d’enregistrements, un point de contact, les conséquences probables et les mesures prises (art. 33, § 3). Si des informations manquent, vous pouvez les fournir de manière échelonnée. Si le délai de 72 heures est dépassé, le retard doit être motivé.

Erreurs typiques dans le traitement des violations de données

• Pas de liste d’appareils : sans Liste d’inventaire avec numéros de série, il est impossible de dire quel appareil manque et quelles données s’y trouvaient.
• Lacunes dans la remise : sans Chaîne de traçabilité on ne sait pas où un appareil a été perdu.
• Évaluation tardive : La question « notifier ou non ? » n’est posée qu’après plusieurs jours, car personne n’en est responsable.
• Documentation manquante : Les violations sans obligation de notification doivent elles aussi figurer dans le registre interne. Cela fait partie de l’ Obligation de rendre compte.
• Se fier à la réinitialisation : Une réinitialisation d’usine sans preuve ne vaut pas effacement justifié.

Exemple pratique : une caisse manque à l’appel

Un exemple simplifié montre comment une violation se produit et comment vous réagissez.

1. Une entreprise rassemble 40 anciens ordinateurs portables à la cave. Une partie des appareils est chiffrée, l’autre non.
2. Lors de l’enlèvement, le chauffeur ne compte que des cartons, pas des appareils. Plus tard, cinq ordinateurs portables manquent.
3. Le service informatique compare les numéros de série avec la liste d’appareils : deux des appareils manquants n’étaient pas chiffrés et contenaient des données du personnel.
4. La déléguée à la protection des données évalue le risque, l’entreprise notifie la violation dans les 72 heures et documente les mesures.
5. À l’avenir, les appareils sont scellés avant l’enlèvement et remis par numéro de série.

Avec une remise précise par numéro de série, la perte aurait été remarquée immédiatement, et avec un chiffrement systématique, le risque aurait été nettement plus faible.

Éviter les violations de données : la mise au rebut avec Second IT

Second IT enlève le matériel mis au rebut avec sa propre logistique sécurisée : trajets directs sans entrepôt intermédiaire, suivi GPS, scellement inviolable et transport assuré. À la réception, chaque appareil est contrôlé pour tous les supports de stockage et enregistré par numéro de série, y compris les clés USB oubliées ou les disques durs cachés. Le traitement a lieu dans des zones avec contrôle d’accès et vidéosurveillance. L’effacement est réalisé avec Blancco, avec un certificat d’effacement signé numériquement pour chaque appareil. En savoir plus sur Sécurité des données chez Second IT.

Distinction avec les termes voisins

Tout incident de sécurité informatique n’est pas une violation de données au sens du RGPD. L’essentiel est de savoir si des données à caractère personnel sont concernées. Inversement, l’art. 32 du RGPD exige que de telles violations soient évitées par des mesures techniques et organisationnelles dès l’origine. Pour les entités relevant de NIS2 , des obligations de notification supplémentaires pour les incidents de sécurité importants envers le BSI peuvent exister (état au 10/2026). Quiconque enfreint ses obligations de notification risque une Amende RGPD. Notre guide explique comment éliminer des supports de données avec une documentation rigoureuse dès le départ Éliminer des supports de données conformément au RGPD. Les données qui sommeillent sur les anciens disques durs sont présentées dans l’article L’ADN de l’entreprise sur les disques durs.

Cette entrée donne un aperçu général et ne remplace pas un conseil juridique au cas par cas.

Questions fréquentes sur les violations de données

Un ordinateur portable d’entreprise perdu est-il toujours une violation de données à notifier ?

Pas toujours. Une violation doit être notifiée si elle est susceptible d’engendrer un risque pour les personnes concernées. Si l’appareil était chiffré selon l’état de l’art et que la clé est en sécurité, le risque peut être faible. Vous devez toutefois documenter dans tous les cas l’évaluation et son résultat.

À partir de quand les 72 heures courent-elles ?

Le délai commence dès que le responsable du traitement sait avec un degré de certitude suffisant qu’une violation s’est produite. Un premier examen visant à déterminer s’il y a bien une violation est admissible, mais ne doit pas être prolongé indûment. Vous pouvez fournir les détails manquants ultérieurement.

Qui notifie si la violation se produit chez le prestataire ?

En tant que sous-traitant, le prestataire est tenu de vous informer dans les meilleurs délais. La notification à l’autorité de contrôle reste toutefois de votre responsabilité en tant que responsable du traitement. Réglez donc les canaux de notification et les délais dans le contrat de sous-traitance.

La vente d’un ancien appareil non effacé est-elle une violation de données ?

Oui, si des données à caractère personnel s’y trouvent et que des personnes non autorisées peuvent y accéder. Cela vaut aussi lorsque les données ont « seulement » été formatées ou déplacées vers la corbeille, car de telles données peuvent souvent être récupérées.

Dois-je aussi consigner les violations sans obligation de notification ?

Oui. Selon l’art. 33, § 5, du RGPD, vous documentez chaque violation avec les faits, les effets et les mesures correctives. L’autorité de contrôle peut consulter cette documentation.