Fuite de données : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Une fuite de données est la divulgation ou la mise à disposition non autorisée de données, qu'elle résulte d'une attaque, d'une erreur humaine ou d'une mauvaise configuration. Lorsqu'elle touche des données personnelles, c'est une violation au sens du RGPD.
Ce qu'il faut comprendre
« Fuite de données » est un terme courant, pas une notion juridique du RGPD. Il désigne surtout les atteintes à la confidentialité : base clients publiée sur un forum, dossier partagé accessible sans mot de passe, fichier emporté par un salarié qui quitte l'entreprise. Juridiquement, ces situations relèvent de la violation de données personnelles.
Les fuites ne viennent pas toujours de l'extérieur. Une part importante résulte d'erreurs internes : lien de partage public, pièce jointe envoyée au mauvais contact, export laissé sur une clé USB. Les obligations restent les mêmes : documenter, évaluer le risque, notifier la CNIL si nécessaire et informer les personnes en cas de risque élevé.
La fuite est un type de violation, mais toutes les violations ne sont pas des fuites : une perte de données sans divulgation, par exemple un disque détruit sans sauvegarde, est aussi une violation. L'erreur fréquente est de croire qu'une fuite interne, restée entre collègues, n'a pas à être traitée. Si des personnes non habilitées ont eu accès aux données, c'est bien une violation.
Exemple concret
Une association sportive partage son fichier d'adhérents via un lien de stockage en ligne ouvert à « toute personne disposant du lien ». Le lien est publié par erreur sur un groupe de discussion public. Noms, adresses et dates de naissance de mineurs deviennent accessibles. L'association désactive le lien, consigne l'incident, notifie la CNIL et informe les familles.
Textes de référence
- RGPD, art. 4, 12)
- RGPD, art. 33
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
