À chaque fuite d'ampleur, le même scénario se répète. La CNIL et Cybermalveillance rappellent les bons réflexes, les médias s'adressent au grand public, et l'affaire se dilue en quelques jours. Pour un responsable de traitement, l'enseignement est ailleurs. Une réponse à incident ne vaut pas par l'existence d'un protocole. Elle vaut par sa capacité à s'adapter à la nature exacte des données compromises. Toutes les fuites ne se valent pas Une fuite d'identifiants ? Réponse immédiate et réversible : on réinitialise. Une fuite de données bancaires ? Surveillance des comptes, vigilance sur les ouvertures de crédit frauduleuses. Une fuite de données fiscales, revenu de référence, quotient familial ? Là, le problème change de nature. Ces informations ne se changent pas. On ne réinitialise pas une date de naissance. Cette distinction n'a rien d'un détail pratique. Elle conditionne directement l'analyse de risque qui structure vos obligations RGPD. Le seuil de risque élevé se qualifie sur la donnée L'article 33 impose la notification à la CNIL dans les 72 heures dès lors que la violation présente un risque pour les droits et libertés. L'article 34 y ajoute l'information des personnes en cas de risque élevé. Or ce seuil se qualifie précisément à partir de la nature des données. Des identifiants sans mot de passe et des données fiscales permanentes ne pèsent pas le même poids. Un plan qui traite toutes les violations à l'identique se trompe forcément. Soit il sur-notifie. Soit il passe à côté d'un risque élevé. Il y a un corollaire, souvent négligé. Toute fuite alimente une vague d'hameçonnage qui réutilise les données volées pour paraître crédible. Faux conseiller bancaire, faux courriel de l'administration, faux coursier. Conséquence directe : l'information délivrée aux personnes au titre de l'article 34 ne peut pas se limiter à un constat. Elle doit embarquer des mesures de vigilance concrètes, sinon elle rate sa cible. La cartographie, pas le protocole générique Un plan de réponse aux violations n'est mature que s'il s'appuie sur une cartographie des données réellement traitées. Catégorie par catégorie, avec pour chacune le niveau de risque et la réaction associée. C'est cette cartographie qui fait la différence le jour de l'incident. Pas le classeur de procédures posé sur une étagère.
