En bref : celui qui doit ou veut informer ses clients après une violation de données décide d'abord, avec le délégué à la protection des données et l'avocat, s'il existe une obligation au titre de l'art. 34 du RGPD, et clarifie si des clients professionnels sont eux-mêmes responsables du traitement. Suivent alors les groupes de clients, des canaux sûrs, un service client préparé et un message de clôture. Les messages ne contiennent aucun lien de connexion, afin de ne pas servir de modèle au phishing. Cette page est une information générale et ne constitue pas un conseil juridique.
Le courriel que tout le monde redoute
Le serveur est nettoyé, la faille fermée, l'analyse forensique a livré de premiers résultats. Une question est maintenant sur la table, que de nombreux dirigeants préféreraient éviter : devons-nous le dire à nos clients ? Et si oui, comment, sans causer plus de dégâts que l'incident lui-même ?
La situation autour de PHP2Shell a posé cette question à nouveau à de nombreuses entreprises, même sans intrusion. Des sites étaient hors ligne par précaution, des clients se renseignaient, et les fraudeurs exploitent, d'expérience, de telles situations pour de faux messages. La manière dont la communication de crise est structurée en principe, dans quel ordre et avec quels contenus, est décrite dans La communication de crise après une attaque. Cet article va un cran plus loin : la décision, les groupes de clients et la mise en œuvre pratique.
Informer les clients après une violation de données : obligation ou décision ?
L'art. 34 du RGPD exige d'informer les personnes concernées dans les meilleurs délais lorsqu'une violation de la protection des données à caractère personnel est susceptible d'engendrer un risque élevé pour leurs droits et libertés. La notification décrit la nature de la violation en termes clairs et simples et contient au moins un point de contact, les conséquences probables et les mesures prises ou envisagées.
L'art. 34, par. 3 mentionne des exceptions : lorsque les données sont par exemple inaccessibles aux personnes non autorisées grâce au chiffrement, lorsque des mesures ultérieures éliminent vraisemblablement le risque élevé, ou lorsque la notification exigerait des efforts disproportionnés ; une communication publique la remplace alors. Savoir si l'une de ces exceptions s'applique est une évaluation juridique au cas par cas. Elle relève du délégué à la protection des données et de l'avocat, tout comme la notification à l'autorité de contrôle, voir Obligation de notification RGPD : 72 heures après l'incident.
Même sans obligation, une information peut être judicieuse. Les clients qui apprennent l'incident par une autre source perdent plus vite confiance que ceux qui l'apprennent de vous.
Reste la question du moment. Celui qui informe trop tôt devra peut-être corriger ses déclarations. Celui qui attend trop longtemps risque que des clients subissent entre-temps un dommage, par exemple par du phishing avec des adresses divulguées. Un compromis éprouvé : communiquer tôt ce qui est établi et ce que les clients peuvent faire eux-mêmes, et annoncer expressément que d'autres informations suivront. « Dans les meilleurs délais » au sens de l'art. 34 ne signifie pas attendre la fin de l'enquête.
Quels clients atteindre, et comment
Tous les clients n'ont pas besoin du même message. Distinguez au moins trois groupes :
| Groupe de clients | Votre rôle | Ce que cela signifie pour l'information |
|---|---|---|
| Particuliers avec compte ou commande | le plus souvent responsable du traitement | examiner la notification selon l'art. 34, langage compréhensible, recommandations concrètes |
| Clients professionnels dont vous utilisez les données pour vos propres finalités | le plus souvent responsable du traitement | information factuelle aux interlocuteurs désignés, mise en perspective de leurs propres obligations |
| Clients professionnels pour lesquels vous traitez des données pour leur compte | sous-traitant | information dans les meilleurs délais selon l'art. 33, par. 2, soutien pour leurs notifications |
Le troisième groupe est souvent oublié. Si vous exploitez par exemple des boutiques ou des portails pour des clients, ceux-ci sont en règle générale eux-mêmes responsables du traitement et doivent remplir leurs propres obligations de notification. Pour cela, ils ont besoin de vos informations rapidement et de façon complète.
Choisir les canaux sans encourager le phishing
Le canal le plus sûr est celui que les clients connaissent déjà. Ont fait leurs preuves :
- E-mail depuis l'adresse d'expéditeur habituelle, sans lien de connexion ni pièce jointe, avec la consigne d'ouvrir soi-même le site web.
- Avis après la connexion dans le compte client, dès que le système fonctionne de nouveau en sécurité.
- Avis sur le site web, comme complément public ou, là où l'art. 34, par. 3 le prévoit, comme communication publique.
- Courrier postal pour les clients sans adresse e-mail à jour ou pour des données particulièrement sensibles.
- Téléphone et service client comme point de contact pour les questions, avec un numéro que les clients connaissent déjà par votre site ou votre facture.
Indiquez expressément dans chaque message que vous ne demandez jamais, par e-mail ou par téléphone, de mots de passe, de codes ou de données de paiement. Après des incidents connus, les fraudeurs envoient volontiers des messages qui ressemblent aux vôtres.
De la décision au message de clôture
Voici à quoi peut ressembler la procédure en pratique :
- Consigner les faits : ce qui est établi, ce qui est probable, ce qui est inconnu. Seul ce qui est établi sort de l'entreprise.
- Obtenir l'évaluation juridique : obligation selon l'art. 34, rôle vis-à-vis des clients professionnels, coordination avec la notification à l'autorité.
- Fixer les groupes de clients et les canaux, tirer la liste de diffusion de votre propre système, pas d'une copie éventuellement manipulée.
- Préparer le service client : questions et réponses internes, éléments de langage clairs, transmission des cas difficiles à un service désigné.
- Formuler des recommandations pour les clients : par exemple changer de mot de passe si des identifiants pouvaient être concernés, et se méfier des messages suspects.
- Envoyer et documenter : qui a été informé, quand, par quel canal.
- Faire le suivi : communiquer les nouvelles informations et envoyer un message de clôture lorsque l'enquête est terminée.
Celui qui a défini les voies de contact en interne au préalable gagne beaucoup de temps, voir Contacts d'urgence : qui faut-il prévenir, et quand ?. Les étapes techniques qui devraient précéder l'information sont résumées dans la liste de contrôle après un piratage.
Comment PHP SOS aide-t-il concrètement ?
- Nous livrons les faits techniques de l'incident sous une forme permettant au délégué à la protection des données et à l'avocat d'évaluer les obligations.
- Nous vérifions l'exactitude technique de vos messages aux clients et qu'ils ne donnent aucun indice aux attaquants.
- Nous nous assurons que les listes de diffusion et les comptes clients proviennent d'un système nettoyé avant que vous n'envoyiez.
- Via la réponse aux incidents, nous fournissons les éléments pour les messages de suivi et de clôture au rythme convenu.
Conclusion : une bonne information des clients est juridiquement vérifiée, répartie par groupes, envoyée par des canaux sûrs et menée à son terme. Cette page est une information générale et ne constitue pas un conseil juridique ; vous prenez la décision au cas par cas avec le délégué à la protection des données et un avocat.
Questions fréquentes
Quand dois-je informer les clients après une violation de données ?
Selon l'art. 34 du RGPD, lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. Il existe des exceptions, par exemple en cas de chiffrement efficace des données. L'évaluation se fait avec le délégué à la protection des données et l'avocat ; cette page ne constitue pas un conseil juridique.
Que faire si je traite des données pour le compte de mes clients professionnels ?
Vos clients sont alors le plus souvent eux-mêmes responsables du traitement. Selon l'art. 33, par. 2 du RGPD, le sous-traitant informe le responsable du traitement dans les meilleurs délais après avoir pris connaissance d'une violation. La notification à l'autorité et aux personnes concernées reste l'affaire de votre client.
Puis-je informer des clients alors qu'il n'y a pas d'obligation ?
Oui. Une information volontaire peut être judicieuse, par exemple si le site a été mis hors ligne par précaution à cause de PHP2Shell ou si des clients posent des questions. L'important est de ne citer que des faits établis et de ne pas donner trop vite le signal de fin d'alerte.
Comment éviter que des fraudeurs imitent mon message ?
Renoncez dans le message aux liens de connexion et aux pièces jointes, renvoyez à votre site connu et indiquez expressément par quels canaux vous ne demandez jamais de mots de passe ni de données de paiement.