====== 🚨 Fuite ou perte de données : que faire ? ======

^📌 Fiche Express|
|**🎯 Objectif :** Réagir vite et bien quand des données personnelles sont perdues, envoyées à la mauvaise personne ou exposées.|
|**👥 Qui :** Tout membre du bureau, du CA ou organisateur qui constate un incident. Le ou la président·e décide de la suite, avec le ou la secrétaire (référent RGPD).|
|**⏱️ Délai :** 72 heures après la découverte pour notifier la CNIL, si l'incident présente un risque pour les personnes.|
|**📝 Trace :** Tout incident est noté dans l'onglet « Violations » du registre RGPD (Drive du bureau), **même s'il n'est pas notifié**.|
|**🔗 À lire aussi :** [[fonctionnement:rgpd|RGPD : ce que fait l'APEL avec vos données]]|

----

===== 🧐 C'est quoi, une violation de données ? =====

Toute situation où des données personnelles sont **perdues, détruites, modifiées, divulguées ou consultées** par quelqu'un qui n'aurait pas dû y avoir accès, par accident ou par malveillance. Exemples concrets :

  * un email envoyé à toutes les familles avec les adresses **en copie visible** (CC au lieu de CCI) ;
  * une liste d'adhérents ou de bénévoles envoyée **au mauvais destinataire** ;
  * un **lien de partage** Drive ou Google Photos laissé ouvert à « toute personne disposant du lien » ;
  * un **ordinateur ou un téléphone perdu** qui contient des listes ;
  * un **compte piraté** (Gmail, HelloAsso, WhatsApp, admin d'une application) ;
  * un fichier de l'association **accessible publiquement** sur le site.

----

===== 🛠️ Les 6 étapes =====

=== 1. Prévenir tout de suite ===

Écrire ou appeler le ou la président·e et le ou la secrétaire, ou écrire à **bureau@apelstjosephwattrelos.fr**. Ne pas attendre d'avoir tous les détails : l'horloge des 72 heures tourne dès la découverte.

=== 2. Limiter les dégâts ===

  * retirer le partage, le fichier ou la page en cause ;
  * changer les mots de passe et révoquer les clés d'accès concernés ;
  * demander au destinataire d'un envoi erroné de **supprimer** le message et de le confirmer par écrit ;
  * conserver les éléments utiles pour comprendre (date, capture d'écran), sans recopier les données elles-mêmes.

=== 3. Évaluer le risque ===

^Question^À noter^
|Quelles données ?|Noms, emails, téléphones, adresses, commandes, informations sur les enfants…|
|Combien de personnes ?|Ordre de grandeur suffit.|
|Pendant combien de temps ?|Date de début probable, date de découverte, date de correction.|
|Qui a pu y accéder ?|Une personne identifiée, un groupe, n'importe qui sur Internet ?|
|Quelles conséquences ?|Démarchage, hameçonnage, usurpation, atteinte à la vie privée, information sensible sur un enfant…|

=== 4. Décider des notifications ===

^Niveau de risque^Exemple^Que faire ?^
|**Peu probable**|Email envoyé par erreur à un membre du bureau, aussitôt supprimé.|Noter dans le registre. Pas de notification.|
|**Risque**|Liste d'emails de familles exposée ou envoyée à l'extérieur.|**Notifier la CNIL sous 72 h** via le [[https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles|téléservice de la CNIL]]. Une notification incomplète peut être complétée ensuite.|
|**Risque élevé**|Données sur des enfants, coordonnées complètes, identifiants de comptes exposés publiquement.|Notifier la CNIL **et informer les personnes concernées**, en termes simples : ce qui s'est passé, ce qui a été fait, ce qu'elles peuvent faire.|

La décision revient au ou à la président·e. Si le risque est retenu « peu probable », on écrit **pourquoi** dans le registre.

=== 5. Noter dans le registre ===

Dans l'onglet « Violations » du registre RGPD : date de découverte, durée, description, données et personnes concernées, conséquences probables, mesures prises, décision de notification et sa justification. **C'est obligatoire pour tout incident**, notifié ou non (article 33.5 du RGPD).

=== 6. Corriger la cause ===

Comprendre comment c'est arrivé et l'empêcher de se reproduire : réglage d'un outil, correction d'une application, rappel d'une bonne pratique au CA.

----

===== ✅ Bonnes pratiques pour éviter les incidents =====

  * Emails groupés aux familles : **toujours en CCI**, ou depuis les applications (Bénévoles, HelloBoard).
  * Pas de liste d'adhérents ou de bénévoles en pièce jointe : partager un lien Drive réservé au bureau.
  * Pas de copie des listes sur un ordinateur personnel.
  * Liens de partage Drive et Photos : **restreints aux personnes invitées**, jamais « toute personne disposant du lien ».
  * Comptes de l'association (Gmail, HelloAsso, Drive) : mots de passe changés à chaque renouvellement du bureau.
  * Aucune photo d'enfant publiée sur le site ni sur WhatsApp.