Comment organiser la communication lors d'un incident touchant les données ?
D’après Gouvernance des données
La communication doit s'appuyer sur les faits établis et être coordonnée entre les équipes concernées. Elle distingue les informations à partager immédiatement de celles qui nécessitent encore une vérification ou une décision.
Lorsqu’un événement majeur survient, la communication devient cruciale pour rassurer les collaborateurs, informer les clients impactés et répondre aux obligations légales (par exemple, la réglementation peut exiger de déclarer une fuite de données personnelles dans un délai restreint). Le plan de réponse doit donc comporter un volet expliquant :
Qui décide des éléments à révéler (direction, comité de crise, responsable communication).
À quel moment alerter les autorités compétentes (ex. CNIL ou régulateur équivalent selon les pays, s’il s’agit d’infractions liées aux données personnelles).
Comment prendre en compte les contraintes de confidentialité ou les impératifs d’enquête (est-il opportun de diffuser des informations techniques détaillées si l’attaque est encore en cours ?).
Une communication maladroite peut engendrer une perte de confiance durable ou déclencher des poursuites supplémentaires. Inversement, une démarche transparente, réactive et professionnelle rassure souvent les parties prenantes quant à la capacité de l’entité à gérer l’incident.