🚨 Fuite ou perte de données : que faire ?

📌 Fiche Express
🎯 Objectif : Réagir vite et bien quand des données personnelles sont perdues, envoyées à la mauvaise personne ou exposées.
👥 Qui : Tout membre du bureau, du CA ou organisateur qui constate un incident. Le ou la président·e décide de la suite, avec le ou la secrétaire (référent RGPD).
⏱️ Délai : 72 heures après la découverte pour notifier la CNIL, si l'incident présente un risque pour les personnes.
📝 Trace : Tout incident est noté dans l'onglet « Violations » du registre RGPD (Drive du bureau), même s'il n'est pas notifié.
🔗 À lire aussi : RGPD : ce que fait l'APEL avec vos données

Toute situation où des données personnelles sont perdues, détruites, modifiées, divulguées ou consultées par quelqu'un qui n'aurait pas dû y avoir accès, par accident ou par malveillance. Exemples concrets :

un email envoyé à toutes les familles avec les adresses en copie visible (CC au lieu de CCI) ;
une liste d'adhérents ou de bénévoles envoyée au mauvais destinataire ;
un lien de partage Drive ou Google Photos laissé ouvert à « toute personne disposant du lien » ;
un ordinateur ou un téléphone perdu qui contient des listes ;
un compte piraté (Gmail, HelloAsso, WhatsApp, admin d'une application) ;
un fichier de l'association accessible publiquement sur le site.

1. Prévenir tout de suite

Écrire ou appeler le ou la président·e et le ou la secrétaire, ou écrire à bureau@apelstjosephwattrelos.fr. Ne pas attendre d'avoir tous les détails : l'horloge des 72 heures tourne dès la découverte.

2. Limiter les dégâts

retirer le partage, le fichier ou la page en cause ;
changer les mots de passe et révoquer les clés d'accès concernés ;
demander au destinataire d'un envoi erroné de supprimer le message et de le confirmer par écrit ;
conserver les éléments utiles pour comprendre (date, capture d'écran), sans recopier les données elles-mêmes.

3. Évaluer le risque

Question	À noter
Quelles données ?	Noms, emails, téléphones, adresses, commandes, informations sur les enfants…
Combien de personnes ?	Ordre de grandeur suffit.
Pendant combien de temps ?	Date de début probable, date de découverte, date de correction.
Qui a pu y accéder ?	Une personne identifiée, un groupe, n'importe qui sur Internet ?
Quelles conséquences ?	Démarchage, hameçonnage, usurpation, atteinte à la vie privée, information sensible sur un enfant…

4. Décider des notifications

Niveau de risque	Exemple	Que faire ?
Peu probable	Email envoyé par erreur à un membre du bureau, aussitôt supprimé.	Noter dans le registre. Pas de notification.
Risque	Liste d'emails de familles exposée ou envoyée à l'extérieur.	Notifier la CNIL sous 72 h via le téléservice de la CNIL. Une notification incomplète peut être complétée ensuite.
Risque élevé	Données sur des enfants, coordonnées complètes, identifiants de comptes exposés publiquement.	Notifier la CNIL et informer les personnes concernées, en termes simples : ce qui s'est passé, ce qui a été fait, ce qu'elles peuvent faire.

La décision revient au ou à la président·e. Si le risque est retenu « peu probable », on écrit pourquoi dans le registre.

5. Noter dans le registre

Dans l'onglet « Violations » du registre RGPD : date de découverte, durée, description, données et personnes concernées, conséquences probables, mesures prises, décision de notification et sa justification. C'est obligatoire pour tout incident, notifié ou non (article 33.5 du RGPD).

6. Corriger la cause

Comprendre comment c'est arrivé et l'empêcher de se reproduire : réglage d'un outil, correction d'une application, rappel d'une bonne pratique au CA.

Emails groupés aux familles : toujours en CCI, ou depuis les applications (Bénévoles, HelloBoard).
Pas de liste d'adhérents ou de bénévoles en pièce jointe : partager un lien Drive réservé au bureau.
Pas de copie des listes sur un ordinateur personnel.
Liens de partage Drive et Photos : restreints aux personnes invitées, jamais « toute personne disposant du lien ».
Comptes de l'association (Gmail, HelloAsso, Drive) : mots de passe changés à chaque renouvellement du bureau.
Aucune photo d'enfant publiée sur le site ni sur WhatsApp.