Comment gérer une fuite de données sociales en tant qu'employeur au Luxembourg ?
Réponse courte
En cas de violation de données sociales, l'employeur, responsable du traitement, notifie la CNPD dans les 72 heures suivant la prise de connaissance de l'incident (art. 33 du RGPD). Le délai court de la connaissance de la violation, non de sa survenance. Si le risque pour les droits et libertés des salariés est élevé, ceux-ci sont informés sans délai injustifié (art. 34).
La notification n'est due que si la violation est susceptible d'engendrer un risque pour les personnes concernées ; en revanche, l'inscription au registre interne des violations est due dans tous les cas, y compris pour un incident mineur non notifié (art. 33, § 5). Ce registre est consultable par la CNPD, et son absence est en elle-même un manquement.
Le manquement expose aux sanctions de l'article 83 du RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Lorsque la fuite provient d'un sous-traitant — gestionnaire de paie, hébergeur —, c'est le contrat de l'article 28 qui doit lui imposer une alerte assez rapide pour que l'employeur tienne, lui, son propre délai de 72 heures.
Définition
Une violation de données à caractère personnel (Art. 4(12) RGPD) désigne tout incident de sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles des salariés. Les données sociales concernées comprennent notamment : données d'identification, coordonnées, éléments de rémunération, données de santé, données biométriques, informations contractuelles et familiales — sur support numérique ou papier.
L'employeur est responsable du traitement même si la fuite provient d'un sous-traitant (Art. 28 RGPD) — il est exposé aux sanctions à la place du sous-traitant vis-à-vis de la CNPD.
Questions fréquentes
Conditions d’exercice
| Étape | Action | Délai | Base légale |
|---|---|---|---|
| Évaluation initiale | Évaluer la gravité, l'étendue et la nature des données compromises | Immédiatement | Art. 33 RGPD |
| Mesures d'urgence | Stopper la fuite, isoler les systèmes compromis, préserver les preuves | Immédiatement | Art. 32 RGPD |
| Notification CNPD | Notifier la violation à la CNPD (si risque pour les personnes physiques) | Dans les 72 heures | Art. 33 RGPD |
| Information des salariés | Informer les personnes concernées si risque élevé pour leurs droits et libertés | Sans délai injustifié | Art. 34 RGPD |
| Documentation | Documenter l'incident dans le registre des violations de données | Toujours — même si non notifiable | Art. 33(5) RGPD |
| Mesures correctives | Mesures techniques et organisationnelles pour éviter la récidive | Après évaluation | Art. 32 RGPD |
Notification CNPD (cnpd.public.lu) — contenu minimum requis : description de la violation + chronologie, nature et volume des données compromises, nombre de personnes concernées, conséquences probables, mesures adoptées ou envisagées, coordonnées du DPO ou point de contact.
Information des salariés si risque élevé : nature et circonstances de la violation, mesures prises et recommandées, points de contact pour information complémentaire.
Modalités pratiques
Le compte à rebours de 72 heures ne s'interrompt pas pendant l'enquête interne : une notification incomplète, complétée ensuite, vaut mieux qu'une notification tardive.
| Étape | Contenu | Délai | Base |
|---|---|---|---|
| Confinement | Stopper la fuite, isoler les systèmes, préserver les preuves | Immédiat | Art. 32 RGPD |
| Qualification | Nature des données, volume, nombre de personnes, conséquences probables | Immédiat | Art. 33 RGPD |
| Notification CNPD | Description, chronologie, données touchées, mesures prises, coordonnées du DPO | 72 heures depuis la connaissance | Art. 33 RGPD |
| Notification tardive | Recevable, mais doit être motivée | — | Art. 33, § 1 RGPD |
| Information des salariés | Nature de la violation, mesures prises et recommandées, point de contact | Sans délai injustifié, si risque élevé | Art. 34 RGPD |
| Registre des violations | Inscription systématique, même sans notification | Toujours | Art. 33, § 5 RGPD |
| Sous-traitant | Alerte contractuelle immédiate à l'employeur | Selon contrat | Art. 28 RGPD |
| Mesures correctives | Techniques et organisationnelles, documentées | Après analyse | Art. 32 RGPD |
Pratiques et recommandations
Établir avant tout incident une procédure interne documentée de gestion des violations de données précisant : les personnes à notifier immédiatement (DPO, DSI, direction juridique), les étapes à suivre, les critères d'évaluation du niveau de risque, et les délais. Tester cette procédure régulièrement par des exercices de simulation. Maintenir un registre interne des violations de données (même mineures et non notifiées à la CNPD) — ce registre est consultable par la CNPD.
Former régulièrement le personnel à la reconnaissance et au signalement interne des incidents de sécurité. Les fuites les plus fréquentes résultent d'erreurs humaines (envoi d'email au mauvais destinataire, pièce jointe erronée, perte de support physique) — la formation est la prévention la plus efficace. Désigner clairement les interlocuteurs internes (DPO, DSI, RH) et externes (CNPD, sous-traitants) dans la procédure d'incident.
En cas de fuite impliquant un sous-traitant (gestionnaire de paie, hébergeur cloud), vérifier si le contrat Art. 28 RGPD impose une notification immédiate à l'employeur — et si cette notification a bien eu lieu dans les délais permettant de respecter le délai de 72h vis-à-vis de la CNPD.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 4(12) RGPD | Définition de la violation de données à caractère personnel |
| Art. 32 RGPD | Obligations de sécurité du traitement |
| Art. 33 RGPD | Notification à l'autorité de contrôle (CNPD) — 72 heures |
| Art. 34 RGPD | Communication aux personnes concernées — si risque élevé |
| Art. 28 RGPD | Responsabilité en cas de sous-traitance |
| Art. 83 RGPD | Sanctions administratives (max. 20 M€ ou 4 % CA mondial) |
| Art. L.261-1 Code du travail | Traitement de données à fins de surveillance — information préalable délégation/ITM |
| Loi du 1er août 2018 | Organisation de la CNPD et transposition du RGPD au Luxembourg |
Note
Même si la violation est mineure et ne nécessite pas de notification à la CNPD (risque improbable pour les personnes), elle doit obligatoirement être documentée dans le registre interne des violations (Art. 33(5) RGPD). Le délai de 72 heures court à partir du moment où l'employeur a connaissance de la violation — pas de sa survenance. En cas de doute sur l'obligation de notification, contacter la CNPD (cnpd.public.lu) pour avis préalable.