Fuite de données : les réflexes à apprendre aux collaborateurs avant l'incident

Le courriel part au mauvais client à 17 h 40. Le salarié s'en aperçoit, hésite, ne dit rien. Le RGPD laisse 72 heures pour notifier la CNIL, et la CNIL retient 6 167 notifications en 2025, hors deux incidents massifs, mais aucun de ces chiffres ne compte si l'information reste sur le bureau de celui qui a fait l'erreur. Vos collaborateurs ne gèrent pas la crise : ils décident si elle commence à temps. Voici ce qu'il faut leur apprendre avant l'incident, ce qui se joue dans chaque scénario et ce qu'une formation ne remplacera jamais.

Fuite de données : ce que chaque collaborateur doit savoir reconnaître

Le premier obstacle est un mot. Beaucoup de salariés associent la fuite de données à une attaque de pirates, visible dans la presse. L'article 4.12 du RGPD est bien plus large : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données.

Le mot « accidentelle » change tout. La CNIL classe 50 % des violations notifiées en 2025 en piratage, puis 13 % en envoi à un mauvais destinataire, 7 % en vol ou perte de matériel et 7 % en publication non intentionnelle. Un assistant qui joint le mauvais tableau, un commercial qui oublie son ordinateur dans le train ou un chef de projet qui rend public un dossier partagé ne pensent pas à une fuite. Ils pensent à une maladresse, donc à quelque chose qui se règle discrètement.

La seule définition utile aux équipes

N'enseignez pas l'article 4.12. Enseignez une phrase : des données sur des personnes sont allées où elles ne devaient pas aller, ont disparu, ont été modifiées, ou quelqu'un a pu y accéder sans droit. Si le salarié a un doute sur l'un de ces points, il signale. Il n'a ni à qualifier juridiquement l'incident ni à mesurer le risque. Ces deux décisions appartiennent à l'entreprise, et les obligations qui en découlent sont détaillées dans notre article sur les obligations légales en cas de violation de données.

Délai de notification : le retard se fabrique en interne

L'article 33 du RGPD impose de notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. Au-delà, la notification doit expliquer le retard. Cet article vise le responsable du traitement, pas le salarié. C'est pourtant le salarié qui détient le premier maillon.

Quand le compteur démarre-t-il ?

Le Comité européen de la protection des données (CEPD) considère que le responsable du traitement a pris connaissance de la violation lorsqu'il dispose d'un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles (lignes directrices 9/2022, point 31). Une courte enquête initiale est admise, à condition de commencer le plus tôt possible (point 34). Le CEPD ajoute qu'une violation détectée doit remonter au niveau de direction approprié (point 37).

Ces lignes directrices ne disent pas expressément si ce qu'apprend un simple salarié vaut connaissance par l'entreprise. Ne bâtissez pas votre défense sur cette zone grise. Le CEPD rappelle que le RGPD attend une organisation capable d'établir immédiatement qu'une violation a eu lieu (point 32), et un silence interne de plusieurs jours sera difficile à présenter comme un motif de retard acceptable.

Ce que la CNIL a répondu à « nous ne savions pas que c'en était une »

La délibération SAN-2025-008 du 18 septembre 2025 est instructive. Des salariés d'un grand magasin avaient conservé deux cartes SD contenant des enregistrements vidéo et sonores issus de caméras de test. L'entreprise l'avait appris quelques jours après les faits, survenus mi-septembre 2023, sans notifier ni inscrire l'incident au registre. Elle soutenait n'avoir compris la qualification de violation qu'au contact de la délégation de contrôle, fin novembre, et avoir notifié dans les 72 heures suivantes.

La formation restreinte a écarté l'argument : la qualification ne présentait « pas la moindre ambiguïté » (point 63), et l'entreprise n'apportait aucun élément justifiant le retard (point 66). Le manquement à l'article 33, paragraphes 1 et 5, figure parmi ceux qui fondent l'amende de 100 000 €, prononcée aussi pour d'autres griefs. Retenez la leçon : ne pas avoir reconnu une violation n'arrête pas le temps, et l'incident doit être inscrit au registre, même non notifié.

Un deuxième compteur, celui de l'assurance

Depuis le 24 avril 2023, l'article L12-10-1 du Code des assurances subordonne l'indemnisation prévue par un contrat d'assurance, pour les pertes causées par une atteinte à un système de traitement automatisé de données, à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte par la victime. Là encore, une alerte tardive peut compliquer la suite, cette fois sur le plan financier.

Prenons une PME de 80 salariés, scénario type. Vendredi à 17 h 40, une comptable reçoit l'appel d'un faux support informatique et lui dicte un code. Elle en parle lundi à 9 h. Soixante-trois heures se sont écoulées, et l'attaquant a eu le week-end. La discussion sur le point de départ exact des délais aura lieu plus tard, avec la CNIL et l'assureur, dans une position déjà défensive. Le même code signalé à 17 h 45 aurait pu permettre de couper l'accès dès le vendredi soir.

Point de vigilance. L'omnibus numérique pourrait porter le délai à 96 heures et réserver la notification à la CNIL aux violations présentant un risque élevé. C'est la position du Conseil dans son mandat de négociation du 21 octobre 2026 (document 14756/26), mais, au 2 novembre 2026, le Parlement n'a pas arrêté sa position et le texte reste en procédure. La règle applicable aujourd'hui reste 72 heures et le seuil du simple risque. Ne modifiez pas vos consignes par anticipation.

Les six réflexes à apprendre aux collaborateurs

Une consigne d'incident doit tenir sur une page et se comprendre sous stress. Le guide de sécurité de la CNIL recommande de diffuser à tous les utilisateurs la conduite à tenir et la liste des personnes à contacter. Le CEPD va plus loin dans ses recommandations : former les salariés à reconnaître une attaque réalisée, à retirer le poste du réseau et à la signaler immédiatement (lignes directrices 01/2021). Voici la version que je recommande.

1. Signaler tout de suite, même sans certitude. Un doute signalé pour rien coûte quelques minutes. Un incident réel signalé trois jours plus tard coûte bien davantage.
2. Utiliser un canal unique et connu. Un nom, un numéro de téléphone, une adresse. Le téléphone compte : si la messagerie est compromise, l'alerte ne peut pas y transiter.
3. Isoler sans détruire. Débrancher le poste du réseau ou couper le Wi-Fi. Ne pas l'éteindre : Cybermalveillance.gouv.fr rappelle que des preuves contenues dans la mémoire seraient effacées. Si un rançongiciel chiffre encore les données, une extinction conservatoire doit être envisagée, de préférence par une mise en veille prolongée, sur instruction de l'équipe technique.
4. Ne rien effacer. Ni le courriel piégé, ni le fichier reçu, ni l'historique. Ce sont des éléments d'investigation, et la CNIL conseille de conserver les preuves techniques à disposition des enquêteurs.
5. Noter les faits. Quoi, à quelle heure, quelles données, qui a été contacté. Ces notes nourrissent la documentation exigée par l'article 33.5.
6. Ne pas communiquer seul. Pas de message au client, pas de publication, pas de réponse à l'attaquant, sauf consigne de la personne désignée.

Ce dernier réflexe appelle une précision. Il organise la parole de l'entreprise, il n'a pas pour objet d'empêcher un salarié de saisir une autorité. La loi n° 2016-1691 du 9 décembre 2016 encadre les signalements et leur protection, et dans l'affaire du grand magasin citée plus haut, la CNIL a aussi été saisie par la plainte d'un salarié. Rédigez la consigne en conséquence.

Cinq scénarios à faire jouer aux équipes

Un réflexe s'apprend sur un cas réel de l'entreprise, avec ses outils et ses noms. Les cinq situations suivantes couvrent l'essentiel et se déclinent par métier.

Le courriel au mauvais destinataire

Le CEPD montre que le même geste produit des conséquences opposées. Une liste de 15 participants à une formation, envoyée par erreur à d'anciens participants, avec les noms, adresses électroniques et préférences alimentaires : risque jugé improbable, pas de notification, simple inscription au registre (cas 15). Un fichier de plus de 60 000 demandeurs d'emploi avec leur numéro de sécurité sociale joint à un courriel : risque élevé, notification à l'autorité et information des personnes (cas 14). Le salarié ne peut pas faire ce tri. Il ne doit pas non plus écrire aux destinataires de son propre chef. Le message de rattrapage recommandé par le CEPD, en copie cachée, avec excuses et demande de suppression, se décide avec le référent, et vite : dans le cas 15, le contact immédiat des destinataires compte comme facteur atténuant.

Le clic ou l'identifiant saisi sur une fausse page

Cybermalveillance.gouv.fr demande de changer immédiatement le mot de passe communiqué, sur le service visé et partout où il était réutilisé. Ajoutez une consigne : prévenir avant ou en même temps, jamais après s'être assuré que « tout va bien ». Le changement de mot de passe ne dit rien de ce qui s'est passé pendant l'intervalle.

Le faux support informatique

C'est le scénario de France Travail. D'après la délibération SAN-2026-003, les attaquants ont demandé une réinitialisation au support en se faisant passer pour des employés, puis ont contacté les conseillers en se faisant passer pour le support (point 12). La parade pratique est simple : raccrocher et rappeler le support au numéro habituel, ne jamais transmettre un code reçu, et signaler la tentative même lorsqu'elle a échoué.

L'ordinateur, le téléphone ou la clé perdus

La perte d'une clé USB non chiffrée doit en principe être notifiée, et le CEPD situe la prise de connaissance au moment où le responsable se rend compte de la perte (lignes directrices 9/2022, exemple 1). À l'inverse, le vol de tablettes chiffrées, protégées par mot de passe, sauvegardées et visées par une commande d'effacement à distance n'impose pas de notification, seulement l'inscription au registre (lignes directrices 01/2021, cas 10). Le salarié qui attend de retrouver son sac prive l'entreprise de l'effacement à distance. La règle tient en une ligne : on signale la perte dès qu'on la constate, on annonce ensuite qu'on a retrouvé le matériel.

Le prestataire qui prévient, ou le client qui s'étonne

L'article 33.2 oblige le sous-traitant à notifier la violation au responsable du traitement dans les meilleurs délais. Le CEPD considère qu'en principe le responsable a pris connaissance de la violation lorsque le sous-traitant l'en informe. Or cet avis arrive parfois chez un chef de projet ou dans une boîte commerciale. Il en va de même d'un client qui appelle pour dire qu'il a reçu les données d'un autre. Tous ces messages doivent partir vers le référent dans l'heure, quelle que soit la personne qui les reçoit.

Les pièges qui aggravent une fuite de données

Dans une crise, des fautes lourdes de conséquences peuvent venir de gens qui veulent bien faire. Quatre comportements méritent d'être nommés en session.

Faire le ménage. Supprimer le courriel piégé ou réinstaller le poste semble responsable. C'est détruire ce qui permettrait de mesurer l'étendue de l'incident, donc de savoir qui informer. Ce sont aussi les pièces qu'attendront les enquêteurs.

Mener sa propre enquête. Ouvrir la pièce jointe sur un autre poste, transférer le message à ses collègues pour les prévenir, tester le lien : autant de façons d'étendre le problème. Le transfert se fait vers le référent, selon la procédure, et l'alerte collective vient de lui.

Payer ou répondre. Un message de rançon ne se traite pas au niveau d'un salarié. Cybermalveillance.gouv.fr déconseille de payer, faute de certitude de récupérer les données ou d'éviter leur publication.

Rassurer le client à chaud. L'information des personnes obéit à l'article 34 et se juge sur son contenu. Dans la délibération SAN-2026-002 du 8 janvier 2026, 15 M€ pour manquements aux articles 32 et 34, la CNIL a jugé qu'une phrase affirmant que « toutes les mesures nécessaires ont été prises » était trop générale, et qu'un appel à la vigilance contre les courriels, SMS et appels frauduleux était trop vague (points 141 et 145). Si le message préparé par un opérateur télécom n'a pas suffi, l'improvisation d'un commercial au téléphone suffira encore moins. Donnez aux équipes de relation client une phrase d'attente validée, et rien d'autre.

Salarié à l'origine de la fuite : sanctionner ou faire remonter ?

Un collaborateur cache un incident pour une raison simple : il a peur. Toute la mécanique précédente dépend donc de ce que l'entreprise annonce sur ce point.

Juridiquement, le pouvoir disciplinaire existe, mais il est encadré. L'article L1331-1 du Code du travail définit la sanction, l'article L1332-4 enferme les poursuites dans un délai de deux mois à compter de la connaissance des faits. La responsabilité pécuniaire du salarié envers son employeur suppose une faute lourde (Cass. soc., 25 janvier 2017, n° 14-26.071). Faire payer le coût de l'incident à celui qui a cliqué n'est donc pas une option sérieuse. Les recherches menées n'ont pas identifié d'arrêt de la chambre sociale de la Cour de cassation tranchant le licenciement d'un salarié victime d'hameçonnage, et l'analyse dépend des faits : instructions données, formation reçue, répétition, intention. Un employeur qui n'a jamais formé ni donné de consigne aura vraisemblablement du mal à soutenir sa position.

Distinguer l'erreur de la dissimulation

La bonne ligne de conduite distingue deux gestes. L'erreur signalée rapidement n'entraîne pas de reproche, et cet engagement est écrit dans la consigne. La dissimulation volontaire, elle, peut être traitée sur le terrain disciplinaire. Ce message vaut mieux que n'importe quelle affiche, car il rend le signalement moins coûteux que le silence.

Côté entreprise, l'erreur du salarié n'est pas une sortie. Notre article sur la sensibilisation RGPD des collaborateurs et sa preuve explique pourquoi l'argument de l'erreur humaine ne suffit pas devant la CNIL. En outre, le registre doit retracer les faits, leurs effets et les mesures prises : il doit décrire une erreur, pas désigner un coupable.

France Travail : former ne remplace pas la sécurité technique

La tentation est grande de présenter la sensibilisation comme la réponse au problème. La délibération SAN-2026-003 du 22 janvier 2026 place le débat ailleurs. Face à une attaque par ingénierie sociale, France Travail a été sanctionné à hauteur de 5 M€ sur le fondement de l'article 32, et la lecture de la décision ne fait ressortir aucun grief de sensibilisation.

La CNIL y relève l'absence d'authentification multifacteur pour les comptes concernés, alors que ce risque figurait dans les analyses d'impact (point 71). France Travail soutenait que cette mesure aurait été inefficace contre l'ingénierie sociale. La formation restreinte a refusé le raisonnement : elle aurait rendu l'authentification des attaquants « extrêmement difficile » (point 72). Elle a retenu une négligence grave, les vulnérabilités étant connues dès la mise en œuvre du traitement (point 126).

La CNIL observe par ailleurs que près de 80 % des violations de grande ampleur constatées en 2024 ont été permises par l'usurpation d'un compte protégé uniquement par un mot de passe. Elle demande donc les deux : authentification multifacteur et sensibilisations régulières adaptées aux profils. Un salarié bien formé peut réduire le délai de détection. Il ne compense ni l'absence de double facteur, ni des habilitations trop larges, ni une journalisation défaillante.

La formation sert à détecter plus vite et à réagir correctement. Vendue comme une barrière de sécurité, elle crée un faux sentiment de protection et un dossier fragile.

Préparer l'incident : la consigne, l'exercice et la preuve

Pour la plupart des structures, le dispositif tient en trois pièces, ce qui le rend accessible à une startup ou une entreprise innovante sans service dédié.

Une fiche réflexe d'une page

Elle indique le référent et son suppléant, leurs numéros, les six réflexes, et les cas à signaler avec des exemples tirés de vos métiers. Prévoyez qui décroche le vendredi soir : c'est une question à trancher à l'avance. Rien n'impose de DPO pour désigner un référent, mais il faut un nom.

Un exercice court et répété

Le CEPD estime essentielle une formation centrée sur l'identification d'une violation et les actions à mener, à répéter régulièrement selon le traitement et la taille de l'organisme (lignes directrices 01/2021, point 12). Faites jouer les cinq scénarios par métier, mesurez le temps entre l'événement et l'appel au référent, puis corrigez la fiche. Pour le juridique, une mesure compte plus qu'un taux de présence : combien de temps faut-il à votre entreprise pour apprendre qu'elle a un problème ? Le contenu s'intègre à un programme de sensibilisation des collaborateurs aux risques numériques, et les prestataires ayant accès à vos données gagnent à y être associés.

Une trace exploitable

Conservez la fiche datée, les supports et la liste des participants. Le jour d'un contrôle, ils peuvent montrer que l'organisation existait avant l'incident. Le CEPD relève qu'il peut être utile, pour démontrer la conformité, de prouver que les salariés connaissent la procédure et savent réagir (lignes directrices 9/2022, point 128). Attention à l'effet inverse : une procédure jamais jouée ni respectée documente surtout votre écart à vos propres règles. France Travail en donne un exemple sur un autre terrain, avec des risques identifiés dans ses analyses d'impact et non traités.

Réagir à une fuite de données : tout se décide avant l'incident

Une fuite de données ne se prépare plus une fois le courriel parti. Les trois décisions à prendre cette semaine sont courtes : nommer un référent joignable, publier une page de consignes, annoncer que l'erreur signalée vite ne sera pas reprochée. Je peux relire votre fiche, animer une session à partir de vos cas d'usage et, si l'incident survient, intervenir dans le cadre de mon accompagnement violation de données et crise cyber. Si vous voulez vérifier ce que vos équipes feraient demain matin, échangeons sur votre situation.