Une violation de données personnelles en PME exige de pouvoir identifier les données touchées, évaluer les risques et, lorsque la notification est nécessaire, alerter l’autorité compétente dans les meilleurs délais, si possible sous 72 heures après en avoir pris connaissance. Ce délai, prévu par l’article 33 du RGPD, se prépare dans les outils, pas seulement dans une procédure.
Un CRM incapable de retracer un export, un ERP utilisant des comptes partagés ou un prestataire injoignable compliquent cette réponse. L’objectif n’est pas de remplacer tout votre système informatique : il consiste à obtenir les bonnes preuves, les bons accès et une chaîne de décision utilisable en situation dégradée.
Ce guide explique comment adapter vos logiciels existants, choisir les développements utiles et cadrer un budget proportionné. Il distingue les obligations réglementaires des recommandations techniques proposées pour les mettre en pratique.
Quelles PME sont concernées, et depuis quand ?
Les obligations relatives aux violations concernent les organismes qui traitent des données personnelles, quelle que soit leur taille. Une startup ou une petite entreprise n’en est donc pas dispensée, comme le précise la CNIL dans ses règles sur les violations de données.
Le RGPD est applicable depuis le 25 mai 2018. Il ne s’agit pas d’une nouvelle échéance à attendre, mais d’une obligation déjà applicable.
Pour cadrer votre projet, distinguez deux positions :
- Votre PME utilise un CRM pour ses propres clients : elle détermine généralement pourquoi et comment les informations sont utilisées.
- Votre startup exploite un SaaS pour ses clients : elle peut traiter leurs données pour leur compte, tout en gérant séparément ses propres données commerciales.
Les responsabilités dépendent du traitement concerné. Le sous-traitant doit avertir le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Le guide de la CNIL destiné aux sous-traitants détaille cette articulation. Un même incident peut donc déclencher plusieurs circuits d’alerte.
Que faut-il réellement faire dans le délai de notification ?
Le délai réglementaire concerne la notification, pas la résolution complète de l’incident. Vous pouvez transmettre une première notification puis la compléter lorsque de nouvelles informations sont disponibles, selon les modalités du téléservice de la CNIL.
La décision dépend du risque pour les personnes, et pas seulement du dommage commercial subi par votre entreprise. Voici la logique présentée dans les règles officielles de la CNIL :
| Situation | Documentation interne | Notification à l’autorité | Information des personnes |
|---|---|---|---|
| Violation non susceptible d’engendrer un risque | Oui | Non | Non |
| Violation susceptible d’engendrer un risque | Oui | Oui | Pas systématiquement |
| Violation susceptible d’engendrer un risque élevé | Oui | Oui | Oui, sauf exception applicable |
Le point de départ n’est pas nécessairement la première alerte technique : la CNIL retient un degré de certitude raisonnable qu’un incident a affecté des données personnelles. Cette distinction ne doit pas devenir un prétexte pour différer les investigations. Consignez séparément l’heure du signalement, les vérifications et le moment de la prise de connaissance.
Une violation n’est pas uniquement un vol : elle peut également affecter la disponibilité ou l’intégrité des données. La fiche de la CNIL sur la gestion des incidents rappelle cette portée. Une suppression accidentelle mérite donc une qualification, même sans pirate identifié.
Préparer les outils en six étapes
1. Cartographier les données et leurs copies
Partez des usages, pas d’un inventaire de serveurs. Pour chaque processus sensible, notez les applications utilisées, les données manipulées, les destinataires et les copies créées.
Un dossier client peut circuler entre le CRM, l’ERP, un portail documentaire, une messagerie et un assistant IA. Dessinez ce parcours sur une page. Pour chaque application, identifiez une personne capable de répondre à cette question : « Quelles données ont pu être consultées, modifiées ou exportées ? »
Incluez les fichiers téléchargés, les environnements de test et les connecteurs. Un bon livrable associe chaque flux à un propriétaire métier, un référent technique et un moyen de couper l’échange.
2. Vérifier que les journaux répondent aux bonnes questions
La CNIL recommande de tracer les activités métier, les interventions techniques et les événements de sécurité, puis d’exploiter ces traces. Sa fiche « Tracer les opérations » constitue un point de départ pour examiner vos logiciels.
Demandez une démonstration sur des données fictives :
- Retrouver l’auteur et l’heure d’un export.
- Identifier le périmètre des dossiers concernés.
- Distinguer un utilisateur d’un compte d’intégration.
- Repérer une modification de droits ou un partage externe.
- Exporter les éléments utiles sans intervention exceptionnelle de l’éditeur.
Un journal indiquant seulement « export réussi » n’aide pas à mesurer le périmètre. À l’inverse, recopier les dossiers complets dans les traces crée une copie supplémentaire à protéger. Privilégiez les références d’enregistrements et les métadonnées nécessaires ; la CNIL déconseille la duplication excessive de données personnelles dans les journaux.
3. Prévoir des actions de confinement ciblées
Pour chaque application critique, préparez une fiche d’intervention : qui peut suspendre un compte, révoquer une clé d’accès, interrompre un connecteur ou désactiver un partage ? Testez ces actions sans attendre un incident.
Le confinement doit être coordonné avec la préservation des preuves. Le CERT-FR recommande notamment de mettre les journaux en sécurité et d’adapter les mesures d’endiguement à la situation.
Évitez donc le bouton unique « tout effacer ». Pour un logiciel métier sur mesure, prévoyez plutôt des fonctions distinctes : bloquer les nouveaux accès, conserver les événements existants et suspendre uniquement le flux suspect.
4. Construire un dossier d’incident exploitable
Le dossier d’incident doit permettre de préparer la notification : nature de la violation, catégories et volumes approximatifs concernés, conséquences probables, mesures prises et point de contact. Le service officiel de notification propose un document préparatoire utile pour structurer ce travail.
Ajoutez à ce socle des champs opérationnels : faits confirmés, hypothèses, sources des preuves, responsable de chaque action et prochaine décision attendue. Séparez explicitement « inconnu » de « aucun impact constaté ».
Pour commencer, un espace documentaire restreint et un outil de tickets correctement configuré peuvent suffire. L’enjeu est de disposer d’un dossier exportable, avec un historique compréhensible, pas d’acheter immédiatement une plateforme spécialisée.
5. Organiser l’alerte humaine et prestataire
Désignez un pilote d’incident et un remplaçant. Précisez qui investigue, qui évalue les conséquences pour les personnes, qui décide et qui communique. Préparez un canal de secours indépendant de la messagerie habituelle.
Vérifiez également les contrats : contact d’urgence, informations transmises, accès aux traces, assistance à l’investigation et modalités de coopération. Ces dispositions rendent concrète l’assistance prévue dans la relation de sous-traitance, décrite par le guide officiel de la CNIL.
Une adresse « support » seule ne suffit pas à organiser votre réponse. Demandez qui reçoit l’alerte, comment elle est escaladée et comment joindre votre interlocuteur si le portail client devient indisponible.
6. Faire une recette avec un incident fictif
Simulez, par exemple, un export CRM réalisé depuis un compte compromis. L’exercice doit partir d’un signalement incomplet, pas d’un scénario dont tous les participants connaissent déjà la réponse.
Demandez à l’équipe de retrouver les données potentiellement touchées, préserver les traces, suspendre les accès et préparer une décision argumentée. L’ANSSI propose des ressources pour organiser des exercices de crise cyber.
Transformez ensuite les difficultés observées en tâches : droits manquants, export inexploitable, contrat introuvable ou absence de remplaçant. Ce sont vos priorités d’évolution.
Quels changements prévoir dans le CRM, l’ERP, le site et l’IA ?
Les changements dépendent surtout des opérations possibles dans chaque outil et des preuves déjà disponibles. Commencez par vérifier les fonctions natives avant de développer un module supplémentaire.
| Outil | Contrôles à demander | Évolution à envisager |
|---|---|---|
| CRM | Historique des exports, partages, comptes et intégrations | Journal détaillé, permissions séparées, révocation des accès |
| ERP ou logiciel métier | Traçabilité des consultations sensibles, modifications et traitements automatiques | Comptes nominatifs, suivi des opérations, suspension ciblée des flux |
| Site ou portail client | Accès aux documents, séparation des espaces clients, liens de téléchargement | Contrôles d’autorisation, expiration des partages, traces applicatives |
| Assistant ou agent IA | Sources consultées, documents transmis, actions effectuées | Identité technique distincte, périmètre limité, arrêt des actions et connecteurs |
Ces éléments constituent une grille de conception, pas une liste universelle de fonctionnalités imposées par le RGPD. La traçabilité doit être adaptée au risque et à l’architecture, en cohérence avec les recommandations de journalisation de la CNIL.
Pour un projet d’adaptation d’ERP ou de CRM, formulez les exigences en scénarios vérifiables plutôt qu’en mentionnant simplement « conformité RGPD » dans le devis.
Pour une intégration d’intelligence artificielle, demandez notamment de pouvoir distinguer la réponse produite des actions réellement exécutées. Une conversation conservée ne prouve pas, à elle seule, quels documents ont été accessibles à l’agent.
Combien coûte la préparation des outils à une violation de données ?
Le coût dépend des fonctions manquantes, du nombre d’applications et de la qualité des accès techniques. Une configuration de l’existant et une instrumentation complète d’un ancien logiciel ne représentent pas le même chantier.
Les enveloppes suivantes sont des hypothèses de cadrage indicatives, hors taxes, et non des tarifs observés, des forfaits Novane ou une garantie de conformité. Elles concernent un périmètre limité, hors gestion d’une crise active.
| Option | Enveloppe indicative | Conditions et limites |
|---|---|---|
| Configurer l’existant et formaliser le dispositif | 1 500 à 4 000 € | Journaux déjà disponibles, peu d’applications, besoins surtout organisationnels |
| Ajouter un connecteur et un dossier d’incident centralisé | 4 000 à 12 000 € | Interfaces accessibles, périmètre de données maîtrisé, règles d’alerte ciblées |
| Instrumenter un logiciel métier sur mesure | 10 000 à 30 000 € ou davantage | Évolutions de traçabilité, permissions, export de preuves et tests de sécurité |
Si vous retenez un logiciel du marché, demandez un devis distinguant abonnement, accès aux journaux, configuration, stockage, accompagnement et réversibilité. Vérifiez surtout que l’outil récupère des événements utiles : une interface centrale ne corrige pas des traces absentes à la source.
Un connecteur convient lorsque les preuves existent mais restent dispersées. Un développement dans le logiciel métier existant devient pertinent lorsque l’application ne produit pas les informations nécessaires. Le remplacement complet mérite d’être étudié si le logiciel est devenu impossible à maintenir ou à faire évoluer.
Demandez enfin un coût d’exploitation : qui vérifie les alertes, maintient les connecteurs, contrôle les droits et rejoue les tests ? Sans responsable identifié, l’investissement initial risque de perdre son utilité.
Les erreurs qui rendent le dispositif inutilisable
Confondre absence de preuve et absence de fuite
Lorsque les traces sont insuffisantes, notez cette incertitude dans l’analyse. Ne concluez pas automatiquement que personne n’a consulté les données. La CNIL recommande précisément de prévoir une qualification de l’incident et une évaluation des risques.
Tout centraliser dans un espace trop accessible
Évitez de joindre une base clients complète au ticket d’incident. Préférez des références, des extraits limités et un espace de preuves restreint. Le dossier de crise ne doit pas multiplier inutilement les données exposées.
Attendre la fin de l’investigation pour préparer la notification
Préparez le dossier pendant les investigations. Le téléservice de la CNIL permet une notification initiale puis un complément ; si le délai applicable est dépassé, les motifs du retard doivent être expliqués.
Nettoyer les systèmes avant de préserver les éléments utiles
Une réinstallation précipitée peut compromettre l’investigation. Les consignes de Cybermalveillance.gouv.fr aux dirigeants recommandent de préserver les preuves et de tenir une chronologie des événements et actions.
Considérer la notification comme une protection contre toute sanction
Notifier ne règle pas les éventuels manquements de sécurité. Pour les obligations visées notamment aux articles 32 à 34, l’article 83 prévoit un plafond pouvant atteindre 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Il ne s’agit pas d’une amende automatique : les critères d’appréciation figurent dans le texte officiel sur les sanctions.
Questions fréquentes
Faut-il acheter un logiciel de gestion des violations ?
Pas nécessairement. L’article 33 impose de documenter les violations, mais ne prescrit pas un produit particulier. Un dispositif simple peut convenir s’il permet de conserver les faits, effets et mesures correctrices prévus par le RGPD, avec des accès maîtrisés et un historique exploitable.
Un dépôt de plainte remplace-t-il la notification à la CNIL ?
Non. Le dépôt de plainte et la notification poursuivent des objectifs différents. La démarche officielle de notification reste à effectuer lorsque ses conditions sont réunies.
Les données professionnelles de contacts B2B sont-elles concernées ?
Oui, lorsqu’elles se rapportent à une personne physique identifiée ou identifiable. Une adresse professionnelle nominative peut donc être une donnée personnelle, conformément à la définition du RGPD. Le caractère B2B du CRM ne suffit pas à exclure ces informations.
Une entreprise francophone hors de France doit-elle toujours notifier la CNIL ?
Non. L’application territoriale du RGPD et l’identification de l’autorité compétente sont deux vérifications distinctes. Les règles territoriales du RGPD peuvent notamment concerner certaines activités visant des personnes dans l’Union. Ne déduisez pas l’autorité compétente de la langue du logiciel ou du prestataire.
Commencer par une démonstration, pas par une refonte
Pour préparer votre PME à une violation de données, choisissez un scénario concret et demandez une démonstration : retrouver un export, identifier son périmètre, suspendre les accès et constituer le dossier d’incident. Les difficultés observées vous donneront un cahier des charges plus utile qu’une liste générique de fonctionnalités.
Vous hésitez entre configuration, connecteur et évolution sur mesure ? La séance de consulting IT offerte de Novane permet de faire le point sur vos outils et de prioriser les travaux techniques, en complément de votre DPO ou de votre conseil juridique pour les décisions réglementaires.
