Votre fournisseur décide du départ de vos 72 heures

Cent jours entre l'intrusion et la décision

Le 30 juillet 2026, les premiers courriers sont arrivés. Ils indiquaient que le nom, l'adresse, la date de naissance, le numéro de sécurité sociale, le permis de conduire, les pièces d'identité officielles, les coordonnées bancaires, les numéros de carte et les dossiers médicaux avaient pu être dérobés. Pour certaines de ces personnes, les données de carte volées comprenaient le cryptogramme imprimé au dos. L'expéditeur était CareCloud, un éditeur de logiciels de santé dont les systèmes conservent des dossiers pour le compte de cabinets médicaux.

L'intrusion remonte à mars. Des attaquants se sont trouvés dans l'un des six environnements de dossiers médicaux électroniques de CareCloud, hébergés sur Amazon Web Services, entre le 10 et le 16 mars 2026. L'environnement a été perturbé le 16 mars et rétabli le soir même. L'entreprise a rendu l'incident public à la fin du mois, en précisant que l'enquête sur ce qui avait réellement été consulté se poursuivait.

Cette enquête a abouti le 24 juin, lorsque CareCloud a établi que des informations personnelles, financières et médicales avaient été compromises. Du 16 mars au 24 juin, il s'écoule exactement cent jours. Jusqu'aux premiers courriers, cent trente-six.

Le délai ne part pas là où vous le croyez

La notification des violations en santé aux États-Unis obéit à une règle de soixante jours: informer les personnes concernées sans retard déraisonnable et au plus tard soixante jours calendaires après la découverte de la violation. Lu simplement, découverte évoque le jour où l'on apprend avoir été attaqué, soit ici le 16 mars. Selon cette lecture, les courriers arrivent avec plus de deux mois de retard.

La lecture qui rend ce calendrier cohérent en est une autre. Elle entend par découverte le jour où l'enquête conclut que des informations protégées étaient effectivement concernées, c'est-à-dire le 24 juin. En comptant soixante jours à partir de là, des courriers envoyés le 30 juillet tombent largement dans les temps. C'est la lecture sur laquelle la pratique s'appuie couramment, et c'est pourquoi ce calendrier peut être défendu dans chacun des États où CareCloud a déposé sa déclaration, parmi lesquels la Californie, le Massachusetts, le New Hampshire, le Texas et le Maine.

Quelle que soit la bonne lecture, observez ce que produit la seconde. Elle fait du départ du délai un résultat de l'enquête, et aucune règle ne fixe d'échéance pour achever une enquête. Une obligation qui commence quand vous décidez qu'elle commence est une obligation dont vous maîtrisez le calendrier.

L'Europe a écrit la règle dans l'autre sens

L'article 33 du RGPD impose au responsable du traitement de notifier à l'autorité de contrôle une violation de données à caractère personnel dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Prendre connaissance ne signifie pas avoir clos un rapport d'expertise. C'est le point où existe un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles, et ce point survient presque toujours bien avant que l'on sache de qui étaient ces données ni combien.

Le législateur a anticipé exactement le vide dans lequel CareCloud a passé cent jours. L'article 33.4 prévoit que, lorsque les informations ne sont pas disponibles en une seule fois, elles peuvent être communiquées de manière échelonnée sans autre retard indu. L'hypothèse de conception est que vous notifiez encore dans l'ignorance et complétez à mesure. Le modèle américain vous laisse attendre de savoir; le modèle européen vous impose de déclarer avant de savoir et de continuer à déclarer.

La conséquence pour un exploitant n'a rien d'abstrait. Le même incident, sur la même infrastructure, produit une déclaration en 72 heures d'un côté de l'Atlantique et un constat en cent jours de l'autre. Si les réflexes de votre fournisseur se sont forgés sur le second calendrier, ce sont ces réflexes qui s'interposent désormais entre vous et votre propre échéance.

Le tableau grossissait pendant que le délai reculait

Reporter le départ du délai pèserait moins lourd si le premier récit avait tenu. Il n'a pas tenu. La description donnée par CareCloud en mars chiffrait l'accès non autorisé à environ huit heures le 16 mars, circonscrit à un seul environnement et sans autre système métier concerné. Les déclarations ultérieures aux États décrivent des attaquants présents dans cet environnement du 10 au 16 mars, soit six jours au lieu de huit heures.

La population touchée a grossi elle aussi. Les déclarations font état d'au moins 345 000 personnes, le chiffre a ensuite été rapporté à plus de 350 000, et de nouvelles déclarations devraient le faire encore bouger. L'entreprise a indiqué qu'un attaquant avait prétendu avoir exfiltré des données de ses bases, que des spécialistes externes avaient sécurisé l'environnement en confirmant qu'aucun accès non autorisé persistant ne demeurait, et qu'elle n'avait aucun élément indiquant un usage abusif des données dérobées. Son directeur général, Stephen Snyder, a refusé de commenter lorsque des journalistes l'ont sollicité.

Chacune de ces révisions est allée dans le même sens, et chacune est arrivée après le premier récit public. Une enquête qui élargit encore sa propre estimation n'est pas une raison de faire attendre les personnes concernées. C'est la raison de les prévenir tôt et de corriger à la hausse en public.

Le chiffre manquant a sa place dans votre contrat

Si un fournisseur traite des données personnelles pour votre compte, vous êtes le responsable du traitement et les 72 heures sont les vôtres. L'article 33.2 impose au sous-traitant d'informer le responsable dans les meilleurs délais, sans y attacher le moindre chiffre. L'article 28 exige que votre contrat oblige le sous-traitant à vous aider à remplir vos obligations de l'article 33. Entre ces deux dispositions subsiste un vide en forme de nombre, et si vous ne le comblez pas vous héritez du calendrier que tolère le régulateur de votre fournisseur.

Comblez-le avec deux clauses plutôt qu'une. La première fixe un délai fermé, compté en heures, courant à partir du moment où le fournisseur détecte un incident de sécurité dans un environnement contenant vos données, et non du moment où il établit quelles données étaient concernées, car ce second événement est celui qui n'a aucune échéance. La seconde vous donne droit aux faits à mesure qu'ils apparaissent, y compris les environnements touchés, la fenêtre d'accès et les catégories exposées, plutôt qu'à un unique rapport achevé à la fin.

Éprouvez-la ensuite comme vous éprouveriez une sauvegarde. Demandez par écrit à vos trois principaux sous-traitants quand ils ont connu leur dernier incident de sécurité dans un environnement contenant vos données, à quelle date ils l'ont détecté et à quelle date ils ont prévenu un client. Un fournisseur incapable de vous distinguer ces deux dates sur demande ne les distinguera pas davantage sous pression. En France la notification est déposée auprès de la CNIL, et c'est à vous, non à votre fournisseur, que cette autorité demandera pourquoi elle est arrivée tard.

À lire ensuite: Une réclamation cookies de 2021 est de retour  |  Quatre clouds américains relèvent d'un régulateur britannique