Violation de données de santé : les 72 premières heures décident de tout
Rançongiciel, erreur d'envoi, accès non autorisé, perte de matériel : qualifier vite, notifier juste, documenter tout. Qualification le jour même, périmètre borné, prix connu d'avance.
Cinq étapes, dans l'ordre imposé par le RGPD
Les articles 33 et 34 du RGPD fixent le cadre ; la différence se joue dans l'exécution et la documentation.
- 1
Qualification immédiate
Le jour même : que s'est-il passé, quelles données, quelles personnes, quel risque ? Toutes les violations n'imposent pas une notification — mais toutes imposent une qualification documentée.
- 2
Évaluation du risque pour les personnes
Nature des données de santé, volume, personnes vulnérables, possibilité de réidentification : l'évaluation détermine vos obligations et se documente pour pouvoir être défendue ensuite.
- 3
Notification à la CNIL sous 72 heures
Lorsqu'elle est requise, nous préparons et documentons la notification dans le délai de l'article 33 du RGPD — complète, factuelle, sans sur-déclaration ni sous-déclaration.
- 4
Information des personnes concernées
En cas de risque élevé, l'article 34 impose d'informer les personnes. Nous préparons une communication claire et maîtrisée, coordonnée avec votre direction.
- 5
Documentation et retour d'expérience
Chaque violation, notifiée ou non, est inscrite au registre des violations avec les faits, les effets et les mesures — une obligation de l'article 33 §5, contrôlable à tout moment par la CNIL. C'est ce registre qui prouve votre sérieux.
Conditions d’intervention
À partir de 3 500 € HT — qualification le jour même.
Hors investigation technique, réalisée sur devis par notre partenaire cybersécurité en coordination avec nous. Périmètre et livrables écrits avant tout engagement.
Réponse prioritaire — indiquez « violation » dans votre message, sans détailler de données de patients.
Ce que l'on nous demande dans l'urgence
Faut-il toujours notifier la CNIL ?
Non. La notification s'impose sauf si la violation est peu susceptible d'engendrer un risque pour les personnes — mais cette conclusion doit être documentée et défendable. Sur des données de santé, la prudence s'impose : c'est précisément l'objet de la qualification que nous menons le jour même.
Qui mène l'investigation technique ?
Notre partenaire cybersécurité, sur devis, en coordination avec nous : analyse de l'intrusion, périmètre technique compromis, mesures de confinement. Nous traitons le volet protection des données : obligations, notifications, personnes concernées, documentation.
Et si la violation vient d'un sous-traitant ?
Le sous-traitant doit vous informer sans délai indu, mais les obligations de notification vous incombent en tant que responsable de traitement. Nous coordonnons la collecte d'informations auprès du sous-traitant et vérifions ce que prévoit votre contrat.
Intervenez-vous sans être votre client au préalable ?
Oui — l'offre est conçue pour être activée en urgence, sans relation préalable. Les clients sous abonnement DPO bénéficient des conditions de leur contrat, la gestion des violations simples étant incluse dans leurs formules.
La CNIL vous a écrit ? Voir l’assistance contrôle CNIL
Chaque heure de flou augmente le risque
Décrivez l'incident en deux phrases — sans données de patients. Nous qualifions la situation le jour même et vous dites exactement ce que le RGPD attend de vous.
Prise en charge prioritaire — qualification le jour même