Lorsqu’un message part vers un mauvais destinataire, commencez par limiter l’exposition, alerter les responsables compétents et établir les faits. Ne confondez pas cette alerte interne avec une notification à la CNIL ou une information des personnes concernées.
Une erreur de destinataire peut constituer une violation de données personnelles. Sa qualification et les obligations qui en découlent dépendent du contenu, des faits et des rôles de chaque acteur.
Contenir l’incident sans détruire sa trace
Si le système permet de retirer un accès ou un partage, faites intervenir la personne habilitée. Une demande de rappel de courriel ou une confirmation de suppression ne prouve pas, à elle seule, que le contenu n’a pas été lu ou copié.
Évitez de retransmettre largement le message pour signaler l’erreur. Une alerte limitée peut donner la référence, l’heure et le type d’incident, puis orienter vers un espace de traitement autorisé.
Conservez les éléments nécessaires à l’enquête selon la procédure prévue. Supprimer toutes les traces pour « nettoyer » l’erreur empêcherait de comprendre sa portée et les actions déjà réalisées.
Réunir les faits utiles à l’évaluation
Notez l’heure d’envoi et celle de découverte, le canal, les catégories d’informations, le destinataire prévu et le destinataire effectif lorsque vous le connaissez. Précisez ce qui est confirmé et ce qui reste incertain.
Examinez notamment si l’accès peut être révoqué, si le destinataire était déjà habilité à voir ces données, si des informations sensibles sont concernées et combien de personnes peuvent être affectées. L’absence de preuve de lecture ne signifie pas absence de risque.
Exemple fictif. Un message de rendez-vous est adressé à un autre client au lieu du référent interne. Le nom, le contexte et le contenu doivent être évalués ensemble. Le fait que le message soit court ne suffit pas à conclure que l’incident est mineur.
Alerter selon les rôles réels
Le sous-traitant doit notifier au responsable du traitement une violation de données personnelles dans les meilleurs délais après en avoir pris connaissance. Il ne doit pas attendre d’avoir un dossier parfait pour enclencher cette relation. RGPD, article 33.
Le responsable du traitement examine la notification à l’autorité compétente : elle doit intervenir dans les meilleurs délais et, si possible, au plus tard 72 heures après prise de connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Un retard doit être motivé.
Les rôles doivent avoir été préparés dans le contrat et la procédure. Une permanence ne doit pas attribuer automatiquement toutes les décisions à son client ni notifier au nom d’une organisation sans mandat approprié.
Distinguer l’information des personnes
L’article 34 prévoit une communication aux personnes concernées lorsqu’un risque élevé est susceptible d’être engendré, avec des exceptions prévues par le texte. Cette décision est distincte de la notification à l’autorité. Articles 33 et 34.
Faites traiter l’évaluation par le responsable et ses interlocuteurs compétents, notamment le délégué à la protection des données lorsqu’il intervient. Le présent guide ne conclut pas à la nécessité ou à l’absence de notification pour un cas réel.
Préparez une communication factuelle si elle est décidée : ce qui s’est passé, les conséquences possibles connues et les mesures prises. Évitez les assurances absolues lorsqu’une incertitude demeure.
Corriger la cause et vérifier la mesure
Recherchez l’origine de l’erreur : homonymie, liste dépassée, saisie automatique, accès trop large ou mauvaise règle d’attribution. Une consigne générale « faire attention » ne corrige pas nécessairement le mécanisme.
Testez la correction avec des données fictives, puis documentez les faits, les effets et les mesures. Le RGPD impose de documenter les violations, y compris lorsque la notification n’est pas requise après évaluation.
Le guide du choix des canaux et celui des versions de consignes permettent ensuite d’améliorer le fonctionnement sans confondre correction opérationnelle et clôture des obligations liées à l’incident.
