Réagir à une demande ou à une fuite de données

La conformité se juge dans les moments qui comptent : quand une personne exerce ses droits, ou quand un incident survient. S'y être préparé transforme une situation stressante en démarche maîtrisée. L'improvisation, à l'inverse, aggrave tout.

Une demande d'exercice de droits

Face à une demande d'accès ou d'effacement, gardez le calme et la méthode : vérifiez l'identité, retrouvez les données concernées, répondez dans un délai raisonnable. Une réponse claire, même partielle mais justifiée, vaut mieux qu'un silence.

En cas de fuite

• identifier rapidement ce qui a fuité et l'ampleur ;
• prendre les mesures pour limiter les dégâts ;
• documenter l'incident et les actions menées ;
• informer les personnes concernées si le risque le justifie.

Tirer les leçons

Un incident bien géré est aussi une occasion de renforcer sa sécurité. On corrige la faille, on ajuste ses pratiques, on met à jour ses documents. La conformité progresse par ces retours d'expérience.

Préparer un plan avant l'incident

Le meilleur moment pour décider quoi faire lors d'une fuite est celui où rien ne se passe. Un plan d'une page suffit : qui prend la décision, qui contacte l'hébergeur ou le prestataire concerné, où sont les sauvegardes, comment on prévient les clients si nécessaire. Rangé à un endroit connu de tous, il évite de chercher des réponses dans la panique.

Les premières actions

1. couper l'accès concerné : changer les mots de passe, révoquer les clés, suspendre le compte ;
2. noter l'heure de la découverte et tout ce que l'on observe ;
3. contacter le prestataire concerné pour comprendre l'origine ;
4. évaluer les données touchées et les personnes potentiellement affectées ;
5. se renseigner sur les obligations de notification applicables à la situation.

Une conformité vivante

Bien réagir suppose de connaître ses traitements et de sécuriser ses données au quotidien. La préparation, encore une fois, fait toute la différence.