Le choix du silence Certaines entreprises attaquées choisissent de ne rien dire. Réputation, confiance des clients, opération financière en cours : les raisons se comprennent. Un avocat cite le cas d'une société qui devait lever des fonds dans les deux mois suivant l'attaque. Elle craignait que l'annonce fasse capoter l'opération. Ce silence n'est pas illégal en soi. Il a des limites. Et elles sont souvent mal comprises, parce que trois démarches différentes sont confondues. Communiquer publiquement : pas obligatoire Aucune règle générale n'impose d'annoncer une cyberattaque par communiqué. C'est un choix de gestion de crise, pas une obligation légale automatique. Notifier la CNIL : obligatoire en cas de risque C'est là que tout se joue. Dès qu'une violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes, la notification à la CNIL est obligatoire. Dans les meilleurs délais. Si possible dans les 72 heures après la prise de connaissance. Sans risque, pas de notification. Mais l'incident doit être documenté en interne. Et notifier ne veut pas dire rendre public : la CNIL n'est pas un porte-voix. Informer les personnes : en cas de risque élevé Troisième niveau. Si le risque est élevé, les personnes concernées doivent être informées, sauf exceptions prévues par le texte. Pour un incident limité, ce sont elles seules qu'on contacte, pas le grand public. Le pari de l'impunité Ceux qui se taisent misent souvent sur la rareté des sanctions pour défaut de notification. Sur la lenteur des actions clients, environ deux ans. Sur leur issue incertaine. Les indemnisations évoquées tournent autour de 200 à 500 euros par personne. Le calcul est fragile. Une dissimulation découverte après coup change tout : l'incident subi devient un manquement choisi. Et c'est cette lecture-là qui pèse face à un régulateur, un partenaire ou un investisseur. Préparer la décision avant la crise La qualification d'une violation ne s'improvise pas un vendredi soir. Qui l'évalue ? Sur quels critères de risque ? Qui signe la notification ? Si ces réponses ne sont pas écrites avant, le délai de 72 heures s'évapore en réunions. Une procédure courte, testée lors d'un exercice, vaut mieux qu'un long document que personne n'ouvre.
