Que faire en cas de fuite de données ? Le plan d'action complet pour les PME

Que faire en cas de fuite de données ? Le plan d'action complet pour les PME

Une fuite de données peut arriver à n'importe quelle entreprise. Un ordinateur portable volé, un e-mail contenant des données personnelles envoyé au mauvais destinataire ou une attaque par ransomware : en 2025, l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) a reçu plus de 25 000 notifications de violations de données. Pourtant, beaucoup de PME ne savent pas quoi faire le jour où cela leur arrive. Ce guide vous propose un plan d'action complet pour réagir vite, correctement et dans le respect de la loi lorsque l'inévitable se produit.

L'essentiel en bref (TL;DR)

• 72 heures : c'est le délai légal pour notifier une violation de données à l'autorité de protection des données (aux Pays-Bas, l'AP). Le dépasser expose à des amendes.
• Toutes les violations ne doivent pas être notifiées, mais vous devez toujours les consigner dans votre registre des violations.
• Le coût moyen d'une violation de données pour une PME se situe entre 95 000 et 165 000 €, amendes, remise en état et atteinte à la réputation comprises.
• Les amendes RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel. En pratique, les amendes infligées aux PME vont de 5 000 € à 830 000 €.
• Un plan de réponse aux violations de données divise par deux le temps moyen de rétablissement et réduit le coût total de 30 à 40 %.
• NIS2 ajoute des obligations de notification qui vont au-delà des exigences du RGPD.
• 80 % des violations de données peuvent être évitées grâce à des mesures de base comme la MFA, le chiffrement et la sensibilisation.

Qu'est-ce qu'une violation de données selon le RGPD ?

Selon le RGPD, une violation de données est toute atteinte à la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci. Il ne s'agit donc pas uniquement de pirates et de cyberattaques.

Exemples de violations de données :

• Un ordinateur portable contenant des données clients est volé
• Un e-mail contenant des données personnelles est envoyé au mauvais destinataire
• Un ransomware chiffre des systèmes contenant des données personnelles
• Un collaborateur perd une clé USB contenant des données du personnel
• Un espace de stockage cloud est accessible publiquement par erreur
• Un ancien système n'est pas effacé avant d'être mis au rebut et contient encore des données
• Un dossier papier est jeté sans passer par le broyeur

Point essentiel : une violation de données ne se limite pas à une fuite de données vers l'extérieur. La perte d'accès aux données (par exemple à cause d'un ransomware) ou leur modification non autorisée constituent aussi une violation.

Le plan d'urgence en 7 étapes en cas de violation de données

Lorsque vous découvrez une violation de données, suivez ce plan d'action. Chaque étape est cruciale et l'ordre compte.

Étape 1 : limiter les dégâts (premières minutes)

La priorité absolue est de stopper la fuite et de limiter les dommages supplémentaires.

Agir immédiatement :

• Isolez les systèmes touchés du réseau
• Bloquez les comptes compromis
• Changez les mots de passe des systèmes concernés
• Faites appel à votre partenaire informatique ou à votre prestataire de sécurité managée

En cas de cyberattaque :

• Déconnectez les appareils touchés du réseau, mais ne les éteignez pas (pour préserver les preuves)
• Activez votre plan de reprise après sinistre
• Si nécessaire, faites intervenir votre partenaire de réponse aux incidents

En cas de fuite physique (appareil volé) :

• Effacez l'appareil à distance via votre outil de MDM
• Vérifiez si le disque dur était chiffré
• Bloquez tous les comptes qui étaient connectés sur l'appareil

Étape 2 : évaluer l'ampleur (premières heures)

Vous devez établir rapidement et précisément ce qui s'est passé.

Répondez à ces questions :

• Quelles données personnelles sont concernées ? (noms, adresses, numéro d'identification national, données financières ?)
• Combien de personnes sont touchées ?
• Comment la fuite s'est-elle produite ? (défaillance technique, erreur humaine, attaque ?)
• Les données ont-elles été consultées, copiées ou détruites ?
• La fuite est-elle stoppée ou toujours en cours ?
• Les données étaient-elles chiffrées ?

Documentez tout : horaires, actions, constats. Vous en aurez besoin pour la notification et, le cas échéant, pour l'autorité de protection des données.

Étape 3 : déterminer l'obligation de notification (sous 24 heures)

Toutes les violations ne doivent pas être notifiées à l'AP, mais vous devez toujours les évaluer. Règle générale : si la violation présente un risque pour les droits et libertés des personnes concernées, vous devez la notifier.

Notifiez l'AP si :

• Des données personnelles sensibles sont concernées (médicales, pénales, numéro d'identification national, financières)
• Les données n'étaient pas chiffrées
• Un grand nombre de personnes est touché
• Les données peuvent être utilisées pour une usurpation d'identité
• Il s'agit d'une cyberattaque

La notification n'est peut-être pas nécessaire si :

• Les données étaient protégées par un chiffrement robuste et la clé n'a pas été compromise
• La fuite est restée limitée à un petit nombre de données bien circonscrit
• Les données n'ont pas été consultées par des tiers

Un doute ? Notifiez. L'AP se montre plus clémente envers les entreprises qui notifient de manière proactive qu'envers celles qui tentent d'éviter une notification.

Étape 4 : notifier l'autorité de protection des données (sous 72 heures)

Si vous avez établi que la violation doit être notifiée, vous devez le faire dans les 72 heures suivant sa découverte. Aux Pays-Bas, cela se fait via le formulaire de notification disponible sur le site web de l'AP.

La notification comprend au minimum :

• Une description de la nature de la violation
• Les catégories et le nombre approximatif de personnes concernées
• Les catégories et le nombre approximatif de données personnelles touchées
• Le nom et les coordonnées du délégué à la protection des données (DPO) ou d'un point de contact
• Une description des conséquences probables
• Une description des mesures prises et envisagées

Vous n'êtes pas obligé de disposer immédiatement de toutes les informations. Une notification initiale avec les faits disponibles suffit ; vous pourrez la compléter ultérieurement.

Étape 5 : informer les personnes concernées (si nécessaire)

Si la violation est susceptible d'engendrer un risque élevé pour les personnes concernées, vous devez aussi les informer directement. C'est obligatoire en cas de :

• Risque d'usurpation d'identité
• Préjudice financier
• Discrimination
• Atteinte à la réputation de la personne concernée
• Perte de confidentialité de données protégées par le secret professionnel

La communication aux personnes concernées précise :

• En termes clairs : que s'est-il passé ?
• Quelles données sont concernées ?
• Quelles sont les conséquences possibles ?
• Quelles mesures avez-vous prises ?
• Que peuvent faire les personnes concernées pour se protéger ?
• Les coordonnées à utiliser pour toute question

Soyez honnête, concret et empathique. N'essayez pas de minimiser l'incident.

Étape 6 : consigner l'incident dans le registre des violations (toujours)

Le RGPD impose à toute entreprise de tenir un registre des violations de données. Chaque violation doit y figurer, y compris celles qui ne doivent pas être notifiées à l'autorité.

Pour chaque incident, le registre contient :

• La date et l'heure de la découverte
• Une description de la violation
• Les données touchées et le nombre de personnes concernées
• L'évaluation du risque
• Les mesures prises
• Si une notification a été faite à l'autorité et/ou aux personnes concernées
• La justification si vous avez décidé de ne pas notifier

L'autorité peut demander ce registre lors d'un contrôle. Un registre bien tenu démontre que vous prenez la protection des données au sérieux.

Étape 7 : évaluer et s'améliorer (après l'incident)

Chaque violation de données est une occasion d'apprendre. Menez une évaluation approfondie après l'incident.

Questions d'évaluation :

• Comment la fuite s'est-elle produite et aurait-elle pu être évitée ?
• Avons-nous réagi assez vite ? Où avons-nous perdu du temps ?
• Le plan d'urgence a-t-il été efficace ? Que faut-il adapter ?
• Quelles mesures techniques ou organisationnelles faut-il renforcer ?
• Une formation complémentaire est-elle nécessaire ?

Consignez les enseignements tirés et adaptez votre politique de sécurité et votre plan d'urgence.

Prévention : comment éviter les violations de données

Mieux vaut prévenir que guérir. Les mesures suivantes réduisent considérablement le risque de violation de données.

Mesures techniques

La MFA (authentification multifacteur) est la mesure isolée la plus efficace. Elle bloque 99,9 % des attaques automatisées contre les comptes.

Le chiffrement des données sur les ordinateurs portables, appareils mobiles et clés USB garantit qu'un appareil volé ou perdu n'entraîne pas de violation de données, à condition que la clé de chiffrement n'ait pas été compromise.

La sécurité de la messagerie avec des règles DLP (Data Loss Prevention) empêche les collaborateurs d'envoyer par erreur des données sensibles par e-mail.

La gestion des correctifs empêche l'exploitation de vulnérabilités connues. Une infogérance proactive maintient tous vos systèmes à jour.

La sauvegarde et la reprise après sinistre vous permettent de vous rétablir rapidement après un ransomware ou une perte de données, sans payer de rançon.

Mesures organisationnelles

Une formation de sensibilisation pour tous les collaborateurs : reconnaître le phishing, manipuler les données en toute sécurité et signaler les incidents.

Une gestion des accès fondée sur le principe du besoin d'en connaître. Avec le zero trust, chaque collaborateur n'accède qu'aux données nécessaires à sa fonction.

Une politique « bureau propre » et « écran propre » (clear desk / clear screen) empêche l'accès physique aux informations sensibles.

Des accords de sous-traitance avec tous les tiers qui traitent des données personnelles pour le compte de votre organisation.

NIS2 et obligation de notification

La directive NIS2, qui entre en vigueur aux Pays-Bas à la mi-2026, ajoute des obligations de notification en plus des exigences du RGPD.

NIS2 impose :

• Une alerte précoce sous 24 heures après la détection d'un incident important
• Une notification d'incident sous 72 heures avec une évaluation initiale
• Un rapport final sous 1 mois comprenant une description détaillée, une analyse des causes et les mesures prises

Ces obligations s'appliquent aux organisations classées comme entités essentielles ou importantes au titre de NIS2, y compris à leurs fournisseurs.

Questions fréquentes

Dois-je notifier chaque violation de données à l'autorité de protection des données ?

Non, uniquement les violations qui présentent un risque pour les droits et libertés des personnes concernées. En revanche, vous devez consigner chaque violation, y compris celles qui ne doivent pas être notifiées, dans votre registre interne des violations. En cas de doute, notifiez : l'autorité néerlandaise (AP) apprécie les entreprises qui notifient de manière proactive.

Quelles amendes risque-t-on si l'on ne notifie pas une violation de données ?

Le RGPD autorise des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel. En pratique, les amendes infligées aux PME aux Pays-Bas sont plus faibles, mais elles augmentent. L'AP a prononcé des amendes de 5 000 € à 830 000 € pour des violations non notifiées ou notifiées trop tard.

En combien de temps dois-je réagir à une violation de données ?

Immédiatement. Le délai de notification de 72 heures commence au moment de la découverte. Mais au-delà de la notification, vous voulez limiter les dégâts le plus vite possible : chaque heure pendant laquelle la fuite reste ouverte augmente le préjudice potentiel.

Dois-je porter plainte auprès de la police ?

En cas de cybercriminalité (ransomware, piratage, phishing), porter plainte est vivement recommandé. Ce n'est pas obligatoire, mais cela aide à identifier les auteurs et peut être exigé par votre assureur. En cas de vol d'appareils, porter plainte est de toute façon judicieux.

Que faire si je ne sais pas si des données personnelles ont fuité ?

Si vous ne pouvez pas exclure que des données personnelles soient concernées, traitez l'incident comme une violation de données. Enquêtez le plus rapidement possible et documentez vos constats. Mieux vaut notifier une fois de trop qu'une fois de moins.

Puis-je souscrire une cyberassurance contre les conséquences ?

Oui, les cyberassurances couvrent souvent les frais de réponse aux incidents, l'assistance juridique, la communication aux personnes concernées et parfois même les amendes. La prime dépend de votre niveau de sécurité. De nombreux assureurs exigent au minimum la MFA et une stratégie de sauvegarde.

Préparez-vous dès maintenant

Une violation de données finira par vous toucher. La question n'est pas de savoir si, mais quand. Ce qui distingue un incident maîtrisé d'une crise d'entreprise, c'est la préparation.

Chez TRON Group, nous aidons les PME à élaborer un plan de réponse aux violations de données, à mettre en place des mesures préventives et à réagir rapidement lorsqu'un incident survient. De la sécurité managée à la réponse aux incidents : nous sommes là quand cela compte.

Vous voulez savoir dans quelle mesure votre organisation est prête à faire face à une violation de données ? Contactez-nous pour un échange sans engagement ou appelez-nous directement au +31 85 303 5869. Ensemble, nous veillons à ce que vous soyez prêt.