Quand une entreprise découvre une fuite de données, le réflexe est de colmater. C’est technique, urgent et légitime. L’arrêt du Tribunal administratif fédéral du 8 avril 2026, publié par le PFPDT le 6 novembre, rappelle que colmater n’est que la moitié du travail.
Deux obligations, deux protections
Corriger la faille protège le système : cela évite que l’incident se reproduise. Informer protège les personnes : cela leur permet d’agir, en changeant un mot de passe, en se méfiant d’un faux message ou en surveillant un compte. Dans l’affaire Skysale, le PFPDT a constaté que l’information était le seul moyen pour les personnes concernées de se prémunir contre le hameçonnage et la fraude bancaire. Le tribunal en tire la conséquence : les mesures techniques prises après coup n’y changent rien.
Ce que le tribunal écarte
Le premier argument écarté est le plus naturel : « c’est réparé ». Une correction technique n’efface ni le risque que courent les personnes déjà touchées, ni le besoin qu’elles ont de le savoir.
Le second est plus subtil. L’entreprise n’était plus en mesure d’identifier les personnes concernées, en raison des mesures qu’elle avait elle-même prises. Le tribunal n’en conclut pas que l’obligation disparaît : elle change de forme, et l’information peut passer par une communication publique. L’impossibilité pratique ne dispense donc pas d’informer, elle déplace seulement le canal.
Une obligation sous condition
Cette obligation n’est pas absolue. Selon les intitulés des décisions publiées, la loi lie l’information des personnes à la nécessité de les protéger, et prévoit des cas de restriction, de report ou de renonciation. Le PFPDT peut aussi l’exiger. Dans cette affaire, l’autorité a jugé la nécessité établie. Chaque situation demande une appréciation, et mieux vaut l’anticiper que l’improviser.
Pourquoi cela dépasse le cas d’espèce
Trois éléments invitent à y prêter attention.
Les incidents se multiplient. Selon le PFPDT, cité par la presse, 455 violations ont été annoncées depuis le début de 2026, contre 343 sur toute l’année 2025. Plus d’incidents, ce sont plus d’occasions de bien ou mal informer.
La manière d’informer est scrutée. Dans l’affaire PK Softech, la presse rapporte que Publica a écrit à ses assurés que leurs données « pourraient » être touchées. Ce type de formulation, qui laisse les personnes dans le doute, fait précisément débat.
Enfin, informer, c’est aussi se faire comprendre. Dans sa décision du 29 octobre, le PFPDT ordonne à une agence de renseignements économiques d’expliquer de manière compréhensible pourquoi elle conserve certaines données. L’exigence de clarté n’est pas propre aux violations.
Ce que les dirigeants devraient en retenir
Il est tentant de traiter la communication comme une suite : d’abord la technique, ensuite on verra. L’arrêt suggère d’inverser l’ordre de réflexion : prévoir l’information avant l’incident. Il s’agit de savoir qui informer, par quel canal, avec quel texte, et avec quelles données permettant de retrouver les personnes concernées.
Une question simple permet de tester votre préparation : si vous deviez informer vos clients demain, sauriez-vous qui contacter et comment ? Un plan d’incident qui s’arrête à la correction est un plan incomplet.
Nos abonnés reçoivent chaque semaine une analyse des évolutions réglementaires, traduite en actions concrètes pour leur activité.
