Blog

À l’ère du numérique, les fuites de données personnelles sont devenues un risque majeur, tant pour les entreprises que pour les individus. Piratage informatique, erreur humaine, perte d’un support, accès non autorisé, divulgation accidentelle : les violations de données peuvent exposer les personnes concernées à des conséquences parfois lourdes comme : usurpation d’identité, fraude, atteinte à la vie privée. Le Code du numérique béninois définit d’ailleurs précisément cette notion : constitue une violation de données à caractère personnel toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles. 

Face à un tel incident, une question mérite d’être posée : informer les personnes concernées relève-t-il d’une simple obligation imposée au responsable du traitement ou faut-il y voir un véritable droit de la personne dont les données ont été compromises ? 

UNE OBLIGATION QUI PESE D’ABORD SUR LE RESPONSABLE DU TRAITEMENT 

La protection des données personnelles repose sur un principe simple : toute entreprise qui collecte et utilise des données doit en assurer la sécurité et la confidentialité. Le Code du numérique en fait une obligation précise. Son article 427 impose au responsable du traitement de notifier, sans délai, toute rupture de sécurité ayant affecté des données personnelles, non seulement à l’Autorité de protection des données, mais également à la personne concernée elle-même. Le sous-traitant, de son côté, doit avertir sans délai le responsable du traitement de toute rupture affectant les données qu’il traite pour son compte. 

Cette obligation ne se limite pas à une simple annonce : la loi en précise le contenu minimal. La notification doit décrire la nature de la rupture de sécurité, y compris, si possible, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, communiquer les coordonnées d’un point de contact auprès duquel obtenir des informations complémentaires, exposer les conséquences probables de l’incident et détailler les mesures prises ou envisagées pour y remédier ou en limiter les effets. 

Il ne s’agit donc pas d’une simple formalité administrative destinée à couvrir le responsable du traitement. Cette obligation participe directement à la protection des personnes dont les données ont été compromises. 

INFORMER POUR PERMETTRE A LA PERSONNE D’AGIR 

L’information prend toute sa portée lorsque la violation est susceptible de porter atteinte aux droits et libertés de la personne concernée. Imaginons qu’une base de données contenant des noms, numéros de téléphone ou adresses électroniques soit piratée. Si l’entreprise garde le silence, les personnes concernées continueront d’utiliser leurs comptes, alors même que ceux-ci se trouvent potentiellement entre des mains malveillantes. À l’inverse, une information rapide leur permet de surveiller leurs comptes, de faire opposition à certaines opérations ou de se prémunir contre des tentatives d’escroquerie. 

Ainsi, l’information devient le moyen, pour la personne concernée, d’avoir un contrôle sur ses données et d’en limiter les conséquences. Le Code du numérique n’impose d’ailleurs pas cette notification en toutes circonstances : l’article 427 en dispense le responsable de traitement lorsque des mesures de protection appropriées (le chiffrement notamment) rendaient déjà les données inaccessibles pour un tiers non autorisé, lorsque des mesures ultérieures ont neutralisé le risque, ou lorsque la notification individuelle exigerait des efforts disproportionnés, auquel cas une communication publique équivalente doit alors être organisée. 

DE L’OBLIGATION DU RESPONSABLE AU DROIT DE LA PERSONNE 

La nuance juridique mérite d’être posée clairement. Du point de vue de l’entreprise, informer constitue une obligation : elle doit analyser la violation, en mesurer les risques et accomplir les diligences que la loi lui impose. Du point de vue de la personne concernée, cette même information s’apparente à un droit : celui d’être informée lorsqu’un incident affecte ses données et présente un risque pour ses droits et libertés. 

Cette distinction permet de dépasser une lecture purement administrative de la notification. L’objectif n’est pas seulement de permettre à la société de démontrer qu’elle a respecté ses obligations légales ; il est avant tout de permettre à la personne concernée de comprendre ce qui s’est produit et d’agir en conséquence. Le Code du numérique s’inscrit dans cette logique à travers le droit d’accès, le droit de rectification et le droit d’opposition. Il place la personne concernée en position d’acteur, et non de simple sujet passif du traitement. 

ENCORE FAUT-IL QUE L’INFORMATION SOIT REELLEMENT UTILE 

Informer ne consiste pas à envoyer un message vague se limitant à indiquer qu’une cyberattaque a été subie. Une notification efficace doit être claire, compréhensible et suffisamment précise pour permettre à son destinataire d’évaluer concrètement la situation. C’est ce que l’article 427 traduit en exigeant la description de la nature de l’incident, de ses conséquences probables et des mesures prises pour y remédier. Selon les cas, l’information doit également comporter des recommandations pratiques : modifier un mot de passe, surveiller un compte, faire opposition sur une carte bancaire ou rester attentif à d’éventuelles tentatives de phishing. Une notification purement formelle, incompréhensible ou délibérément minimisée viderait, en définitive, ce droit à l’information de sa substance. 

UNE INFORMATION QUI RENFORCE LA CONFIANCE 

Au-delà de l’exigence légale, la gestion transparente d’une fuite de donnée constitue également un enjeu de confiance. Une entreprise peut subir une cyberattaque malgré des mesures de sécurité pourtant appropriées. L’article 426 du Code du numérique n’exige d’ailleurs qu’un niveau de sécurité adapté à l’état de l’art et aux risques encourus, non une garantie absolue. Ce qui importe, en revanche, c’est sa capacité à démontrer qu’elle sait détecter l’incident, le documenter, le gérer et le communiquer lorsqu’il survient. 

Taire une violation aggrave généralement ses conséquences. A l’inverse, reconnaître rapidement le problème et donner aux personnes concernées les moyens de se protéger contribue à préserver la confiance qui les lie à l’entreprise. Une confiance dont la reconstruction, une fois perdue, s’avère toujours plus coûteuse que sa préservation. 

CONCLUSION 

Informer les personnes concernées en cas de fuite de données est à la fois une obligation pour le responsable du traitement et l’expression d’un droit pour la personne concernée : l’obligation en constitue le mécanisme juridique, le droit à l’information en est la finalité. Le Code du numérique, à travers son article 427, ne se contente pas d’exiger qu’une notification soit envoyée : il en définit le contenu, pour qu’elle serve réellement son objectif : permettre à la personne de comprendre le risque et d’agir. La véritable question n’est donc plus seulement de savoir si l’entreprise doit informer, mais comment le faire suffisamment tôt, clairement et honnêtement pour protéger réellement les personnes concernées.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique