Après une cyberattaque, une association confirme une fuite de données et saisit la CNIL. Vu de l'extérieur, une formalité administrative de plus. Vu de l'intérieur, c'est tout sauf anodin. C'est même l'un des moments les plus révélateurs de la maturité d'une organisation. La notification n'est pas une politesse réglementaire Le RGPD encadre strictement la notification des violations de données. Délai court, contenu précis, décision sur l'information éventuelle des personnes concernées. Ce n'est pas un geste symbolique adressé à l'autorité. C'est une obligation, avec des critères, et des conséquences en cas de mauvaise exécution. Notifier suppose d'abord de qualifier. Quelle est la nature de l'incident. Quelles données. Combien de personnes. Quel niveau de gravité. Faut-il informer directement les individus concernés. Autant de décisions qui doivent être prises vite, et bien. Le pire moment pour improviser Tout cela se joue en pleine gestion de crise technique. Les équipes tentent de contenir l'attaque, de restaurer les systèmes, de comprendre l'étendue des dégâts. Et c'est à cet instant précis qu'il faut aussi enclencher la mécanique réglementaire. Les organisations qui n'ont rien anticipé se retrouvent alors piégées. On ne construit pas une procédure de notification quand le système est déjà compromis. On la teste à froid, en amont, comme un plan de continuité d'activité. Sinon, le risque est double. Rater les délais. Et aggraver sa propre situation aux yeux de l'autorité. Ce que révèle une saisine réussie Quand une entité saisit la CNIL proprement, dans les temps, avec les bons éléments, cela raconte quelque chose. Le réflexe existait. La chaîne de décision a tenu. La protection des personnes a été prise au sérieux, même sous pression. La différence entre une crise maîtrisée et une crise subie ne se joue pas pendant l'incident. Elle se joue dans tout ce qui a été préparé bien avant.
