Nordica Conseil : une fuite de données et un télétravail sans cadre

Qualification des manquements

1. Violation de données personnelles : communication à 12 salariés non destinataires de données salariales, de numéros de sécurité sociale et d'adresses personnelles. Le NSS est une donnée particulièrement sensible dans ses usages (usurpation, hameçonnage).
2. Absence de registre des activités de traitement : obligation de tenue d'un registre, avec finalités, durées de conservation, mesures de sécurité.
3. Absence de cadre sur le télétravail : le télétravail peut être mis en place par accord ou, à défaut, par charte, mais le CSE doit être consulté avant sa mise en œuvre. Depuis 2021, le télétravail est ouvert par simple accord des parties, mais le cadre collectif reste nécessaire dès qu'il devient une pratique organisée.
4. Atteinte à la vie privée : messages en « Cc » sur la situation médicale d'une salariée et appels répétés pendant son arrêt. Risque de harcèlement et de rupture du secret médical.
5. Droit à la déconnexion : messages après 21 h et le week-end ; obligation de négocier et de formaliser des règles.

Actions sous 72 heures

• Notifier la violation à la CNIL si elle est susceptible d'engendrer un risque pour les droits et libertés (c'est le cas ici : données salariales et NSS).
• Informer les 78 salariés si le risque est élevé, avec description des faits, données concernées, mesures prises et contact.
• Inscrire la violation dans le registre des violations (date, nature, conséquences, mesures).
• Limiter la diffusion : demander la suppression du fichier aux 12 destinataires, tracer la demande, sécuriser la boîte mail.
• Analyser les causes : liste de diffusion mal configurée, absence de sensibilisation, droits d'accès trop larges.

Suites

Rappel des règles de confidentialité, formation, mise à jour de la charte numérique, et vérification du cadre disciplinaire (une sanction doit être proportionnée et précédée d'une procédure régulière).

Structure attendue

1. Objet explicite, mention du caractère important du message.
2. Faits : quoi, quand, qui est concerné, sans minimiser ni dramatiser.
3. Conséquences et mesures prises : suppression du fichier, sécurisation, signalement CNIL, point de contact.
4. Consignes concrètes pour les salariés : vigilance sur les courriels et appels, changement de mot de passe si nécessaire.
5. Engagement et suite : date du point d'étape, nom du référent.

Message type

Objet : Information importante – incident de confidentialité du 14 mai

Mesdames, Messieurs,

Le 14 mai, un fichier de données du personnel (rémunérations, numéros de sécurité sociale, adresses personnelles) a été transmis par erreur à douze collègues de l'entreprise. Nous vous en informons sans délai, car la transparence est notre première obligation.

Dès que l'incident a été identifié, nous avons demandé la suppression immédiate du fichier à ses destinataires, restreint l'accès aux dossiers concernés et engagé une analyse de nos procédures internes. Conformément au RGPD, la Commission nationale de l'informatique et des libertés a été saisie.

Nous vous invitons à la plus grande vigilance : aucun de nos services ne vous demandera vos identifiants ou votre numéro de sécurité sociale par courriel ou par téléphone. Si vous recevez une sollicitation suspecte, ne répondez pas et signalez-la à [adresse dédiée].

Un point d'information collectif sera organisé le [date]. Vous pouvez également écrire à [référent] pour toute question personnelle.

Nous vous prions de nous excuser pour ce dysfonctionnement et vous remercions de votre compréhension.

[Direction]

Choix de communication

• Un seul message, factuel, sans jargon technique, avec des consignes actionnables.
• Pas de nom de la personne à l'origine de l'erreur : le message collectif ne doit pas devenir une sanction publique.
• Un canal unique et un référent identifié, pour éviter la rumeur et les messages parasites.
• Un second message ciblé vers les 12 destinataires, avec excuses et procédure de suppression, est nécessaire.

Procédure

1. Consultation du CSE sur le projet de charte et sur les modalités de télétravail, avant application.
2. Négociation avec les délégués syndicaux si un accord est possible ; à défaut, charte unilatérale après avis du CSE.
3. Information et diffusion à tous les salariés, avec remise contre signature ou validation électronique.
4. Suivi annuel : indicateurs, retour du CSE, révision de la charte.

Contenu – télétravail

• Éligibilité : postes compatibles, ancienneté minimale, autonomie, absence de contre-indication.
• Modalités : 2 jours par semaine, jours fixes, plages de disponibilité, présence obligatoire sur site certains jours.
• Lieu : domicile déclaré, conformité électrique et assurance, espace de travail dédié.
• Équipements : ordinateur, accès VPN, prise en charge des coûts, maintien des droits collectifs.
• Santé et sécurité : accident du travail présumé pendant les horaires de télétravail, déclaration, contact avec le manager.
• Réversibilité et suspension : délai de prévenance, cas de force majeure, circonstances exceptionnelles.

Contenu – usages numériques

• Confidentialité : pas de transfert de fichiers RH, usage de listes de diffusion restreintes, « Cci » pour les envois collectifs.
• Sécurité : mots de passe, double authentification, signalement des incidents, conservation limitée des données.
• Droit à la déconnexion : pas de réponse attendue en dehors des horaires, pas de réunion après 18 h 30, pas de messages le week-end, sauf astreinte formalisée ; les managers ne doivent pas envoyer de message tardif.
• Sanctions : procédure disciplinaire respectée, proportionnalité, pas de sanction pour non-réponse hors horaires.

Indicateurs

Nombre de télétravailleurs, incidents de sécurité, nombre de messages hors horaires signalés, satisfaction des salariés, taux d'absentéisme. La charte doit être un document vivant, évalué chaque année.