| 📌 Fiche Express |
|---|
| 🎯 Objectif : Réagir vite et bien quand des données personnelles sont perdues, envoyées à la mauvaise personne ou exposées. |
| 👥 Qui : Tout membre du bureau, du CA ou organisateur qui constate un incident. Le ou la président·e décide de la suite, avec le ou la secrétaire (référent RGPD). |
| ⏱️ Délai : 72 heures après la découverte pour notifier la CNIL, si l'incident présente un risque pour les personnes. |
| 📝 Trace : Tout incident est noté dans l'onglet « Violations » du registre RGPD (Drive du bureau), même s'il n'est pas notifié. |
| 🔗 À lire aussi : RGPD : ce que fait l'APEL avec vos données |
Toute situation où des données personnelles sont perdues, détruites, modifiées, divulguées ou consultées par quelqu'un qui n'aurait pas dû y avoir accès, par accident ou par malveillance. Exemples concrets :
Écrire ou appeler le ou la président·e et le ou la secrétaire, ou écrire à bureau@apelstjosephwattrelos.fr. Ne pas attendre d'avoir tous les détails : l'horloge des 72 heures tourne dès la découverte.
| Question | À noter |
|---|---|
| Quelles données ? | Noms, emails, téléphones, adresses, commandes, informations sur les enfants… |
| Combien de personnes ? | Ordre de grandeur suffit. |
| Pendant combien de temps ? | Date de début probable, date de découverte, date de correction. |
| Qui a pu y accéder ? | Une personne identifiée, un groupe, n'importe qui sur Internet ? |
| Quelles conséquences ? | Démarchage, hameçonnage, usurpation, atteinte à la vie privée, information sensible sur un enfant… |
| Niveau de risque | Exemple | Que faire ? |
|---|---|---|
| Peu probable | Email envoyé par erreur à un membre du bureau, aussitôt supprimé. | Noter dans le registre. Pas de notification. |
| Risque | Liste d'emails de familles exposée ou envoyée à l'extérieur. | Notifier la CNIL sous 72 h via le téléservice de la CNIL. Une notification incomplète peut être complétée ensuite. |
| Risque élevé | Données sur des enfants, coordonnées complètes, identifiants de comptes exposés publiquement. | Notifier la CNIL et informer les personnes concernées, en termes simples : ce qui s'est passé, ce qui a été fait, ce qu'elles peuvent faire. |
La décision revient au ou à la président·e. Si le risque est retenu « peu probable », on écrit pourquoi dans le registre.
Dans l'onglet « Violations » du registre RGPD : date de découverte, durée, description, données et personnes concernées, conséquences probables, mesures prises, décision de notification et sa justification. C'est obligatoire pour tout incident, notifié ou non (article 33.5 du RGPD).
Comprendre comment c'est arrivé et l'empêcher de se reproduire : réglage d'un outil, correction d'une application, rappel d'une bonne pratique au CA.