Disque en panne, données perdues : faut-il prévenir la CNIL ?

Le NAS du cabinet ne monte plus, le disque du poste comptable est tombé en panne et la dernière sauvegarde est trop ancienne. Vous pensez d’abord à récupérer vos fichiers, et c’est normal. Mais si ces fichiers contiennent des données de clients, de patients ou de salariés, une deuxième question se pose : cette panne doit-elle être signalée à la CNIL ?

Beaucoup de dirigeants associent la « violation de données » au piratage. Or le RGPD va plus loin, et une simple panne peut être concernée. Voici comment raisonner, sans dramatiser, tout en gardant à l’esprit que cet article ne remplace pas l’avis de votre délégué à la protection des données ou de votre conseil.

Une panne peut-elle être une violation de données ?

Oui, dans certains cas. La CNIL retient deux conditions : vous traitez des données personnelles, et ces données ont subi une perte de disponibilité, d’intégrité ou de confidentialité, de manière accidentelle ou illicite. Le mot « accidentelle » compte : il n’est pas nécessaire qu’un tiers soit intervenu.

Ainsi, un fichier clients devenu inaccessible parce qu’un disque a lâché peut constituer une perte de disponibilité. Reste à savoir si elle doit être notifiée : tout dépend du risque pour les personnes concernées.

Notifier ou seulement documenter ?

La CNIL distingue trois niveaux, à évaluer selon votre situation :

• Dans tous les cas, documentez l’incident en interne. Consignez la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées.
• S’il existe un risque pour les droits et libertés des personnes, notifiez la CNIL. La notification doit intervenir dans les meilleurs délais et, si possible, dans les 72 heures après la découverte. Passé ce délai, vous devez expliquer les raisons du retard.
• Si le risque est élevé, informez aussi les personnes concernées. En cas de doute, vous pouvez notifier la CNIL, qui vous indiquera si cette information est nécessaire.

Concrètement, l’évaluation change beaucoup selon les faits. Un disque en panne dont le contenu est restauré le jour même depuis une sauvegarde saine ne pose pas la même question qu’un dossier médical perdu pour de bon, ou qu’un fichier de paie indisponible au moment de verser les salaires. Regardez la nature des données, le nombre de personnes, la durée de l’indisponibilité et les conséquences pour ces personnes.

Pourquoi le délai commence tôt

Une récupération peut demander du temps, et vous ne saurez pas toujours dans les 72 heures si les données reviendront. La CNIL prévoit ce cas : si vous n’avez pas toutes les informations à temps, vous pouvez faire une notification initiale, puis la compléter. N’attendez donc pas le résultat du laboratoire pour commencer votre analyse.

Les bons gestes le jour de la panne

1. Arrêtez le support. Ne relancez pas de reconstruction de RAID, de formatage ou de logiciel de réparation. Chaque tentative peut réduire les chances de récupérer les données.
2. Notez l’heure et les faits. Quand la panne a-t-elle été constatée, par qui, quels messages sont apparus, qu’a-t-on déjà tenté ? Ces notes servent à la fois au diagnostic et à votre documentation.
3. Listez ce que le support contenait. Quels logiciels, quels dossiers, quelles catégories de personnes ?
4. Vérifiez vos sauvegardes sans écraser. Regardez ce qui existe, à quelle date, et surtout ne laissez pas un nouveau cycle remplacer la dernière copie utile.
5. Prévenez votre référent. Délégué à la protection des données, dirigeant ou prestataire informatique : quelqu’un doit porter la décision de notifier ou non.
6. Si une attaque est possible, traitez-la comme telle. Un rançongiciel ou une intrusion ne se résume pas à une perte d’accès : les données ont pu être copiées. La CNIL conseille dans ce cas de déposer plainte.

Confier un disque à un laboratoire : à quoi penser

Pour récupérer les fichiers, un laboratoire doit accéder au support. Si celui-ci contient des données personnelles, ce transfert s’intègre à vos obligations : vous restez responsable de ces données et le prestataire qui les traite pour votre compte agit en principe comme sous-traitant, ce qui suppose un cadre contractuel. Abordez ces points avant l’envoi :

• Précisez dès le premier contact que le support contient des données personnelles ou sensibles.
• Demandez comment sont assurées la confidentialité et la conservation des données, et ce qu’il advient des copies de travail une fois le dossier terminé.
• Limitez la demande aux dossiers vraiment utiles, en indiquant vos fichiers prioritaires.
• Gardez une trace de la remise du support : date, numéro de série, destinataire.
• Si le support est chiffré, signalez-le et gardez la clé disponible, sans l’écrire sur le disque ou dans le colis.

Le déroulement d’une récupération commence justement par les symptômes, le support concerné et les fichiers prioritaires. Lorsque c’est possible, nous travaillons sur une image du support afin de préserver l’original. Notre page RAID et NAS détaille le cas des systèmes partagés, souvent au cœur de ces situations. Aucune récupération ne peut être garantie avant le diagnostic : tenez-en compte dans votre évaluation du risque.

Après l’incident

Une fois la crise passée, reprenez votre documentation pour noter ce qui a été récupéré. Puis corrigez la cause : une sauvegarde absente, trop ancienne ou jamais testée se répare avant la panne suivante. Si un support de votre entreprise vient de tomber en panne, décrivez-nous la situation avant toute nouvelle tentative.