Comment prévenir ses clients après un incident ?

Après un incident, la tentation de se taire est forte : on espère que rien ne sortira, on craint de perdre la confiance. C'est un mauvais calcul. L'information vient de toute façon, et elle vaut toujours mieux venant de vous. Dans certains cas, elle est obligatoire.

Quand l'information est-elle obligatoire ?

Le RGPD distingue deux obligations. La première concerne l'autorité : une violation de données personnelles se notifie à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle n'engendre pas de risque pour les personnes. La seconde concerne les personnes elles-mêmes : lorsque la violation est susceptible d'engendrer un risque élevé pour elles, il faut les informer directement, dans les meilleurs délais.

Le risque élevé s'apprécie selon la nature des données et les conséquences possibles : usurpation d'identité, fraude, atteinte à la réputation, exposition d'informations sensibles. Notre article sur la violation de données personnelles détaille cette analyse et le registre à tenir.

Au-delà de l'obligation, prévenir se justifie chaque fois que vos clients doivent agir : changer un mot de passe, se méfier de messages usurpant votre nom, vérifier des coordonnées bancaires avant un paiement.

Ce que le message doit contenir

• Ce qui s'est passé, en une phrase compréhensible, avec la date de découverte.
• Quelles données sont concernées, et lesquelles ne le sont pas : cette précision évite les inquiétudes inutiles.
• Les conséquences possibles, dites franchement.
• Ce que vous avez fait : mesures prises, accès fermés, plainte déposée, autorité informée.
• Ce que la personne doit faire, en gestes concrets et numérotés.
• Un contact : adresse dédiée ou numéro réellement joignable, avec des horaires.

« Le [date], nous avons découvert qu'un accès non autorisé à notre messagerie avait pu exposer des échanges vous concernant, dont vos coordonnées et le contenu de nos messages. Les données bancaires ne sont pas concernées. Nous avons fermé cet accès, changé les mots de passe et déposé plainte. Par précaution, ne donnez suite à aucune demande de paiement ou de changement de coordonnées bancaires reçue de notre part depuis cette date sans nous appeler au [numéro]. »

Le canal et le moment

Les maladresses à éviter

• Minimiser puis devoir corriger : la seconde version détruit la confiance accordée à la première.
• Noyer l'information dans du vocabulaire technique pour la rendre inoffensive.
• Promettre que cela ne se reproduira jamais : annoncez plutôt des mesures précises.
• Envoyer un message qui ressemble lui-même à une tentative de fraude, avec un lien et un ton alarmiste.
• Laisser chaque personne de l'équipe improviser sa réponse : préparez quelques phrases communes.
• Oublier les partenaires connectés à vos systèmes, qui doivent vérifier leurs propres accès.

Préparer ce message à froid

Rédigez à l'avance un modèle, une liste des personnes à informer et la manière de les joindre sans dépendre des systèmes touchés. Désignez qui parle au nom de l'organisation. Ces éléments écrits font gagner des heures le jour venu, et évitent les phrases improvisées sous pression.

NexSecure aide à préparer ces documents et à qualifier l'incident au regard du RGPD dans le cadre de son accompagnement à la conformité RGPD.