Une faille annoncée sur vos caméras : faut-il notifier une violation de données ?

La Commission indique que les fabricants doivent notifier certaines vulnérabilités activement exploitées et certains incidents graves touchant la sécurité des produits avec éléments numériques. Le canal CRA relie les acteurs prévus à la plateforme de notification concernée. Un bulletin rendu public par un fabricant n’est pas nécessairement le contenu de sa notification réglementaire. Pour un gestionnaire, l’enjeu de préparation consiste à relier l’information reçue au parc et aux responsables locaux, sans croire que ce circuit a déjà traité toutes les conséquences pour ses propres données.

• Distinguer bulletin public et notification CRA.
• Identifier le rôle effectivement tenu par chaque acteur.
• Ne pas déduire un incident client de la seule publication d’un avis.

Une vulnérabilité décrit une faiblesse ; l’examen local doit déterminer ce qui s’est produit et quelles données sont concernées. La CNIL rappelle qu’une violation peut affecter confidentialité, intégrité ou disponibilité des données personnelles, de façon accidentelle ou illicite. Elle n’est donc pas limitée à une vidéo copiée vers l’extérieur. Notre proposition de fiche sépare le périmètre technique, les faits disponibles et les questions restant à examiner. Elle évite les conclusions comme « rien n’a été volé » lorsque seule une partie du fonctionnement a été vérifiée.

• Décrire les faits observés et leur date.
• Faire examiner les données effectivement concernées.
• Conserver les inconnues au lieu de conclure par défaut.

Le rôle de l’installateur, du prestataire informatique et d’un éventuel sous-traitant se précise dans les relations réelles. Aucun contrat de pose ne transfère implicitement au technicien toutes les responsabilités du client. Notre recommandation est de nommer à l’avance le contact qui reçoit les faits et coordonne l’examen avec les compétences nécessaires. Les personnes qui recueillent les éléments doivent connaître leur périmètre d’autorisation. Une entreprise sans délégué dédié peut organiser une fonction de référence adaptée ; le projet ne prétend pas qu’un titre unique suffit à remplir toutes les obligations.

• Nommer le destinataire des informations techniques.
• Définir les périmètres et canaux de transmission.
• Prévoir le relais en cas d’absence du contact principal.

Pour les violations soumises à notification, la CNIL précise un envoi dans les meilleurs délais et, si possible, dans les 72 heures après prise de connaissance ; un retard doit être expliqué. Le responsable examine le risque et les informations nécessaires dans ce cadre. Les compléments peuvent être transmis ensuite lorsque tous les éléments ne sont pas disponibles. Il ne faut donc pas prendre le jour du remplacement d’une caméra comme point de départ automatique, ni attendre systématiquement la conclusion complète de l’expert. Le dossier doit conserver la chronologie réelle.

• Distinguer date de l’avis et connaissance des faits locaux.
• Transmettre rapidement les éléments établis aux responsables.
• Prévoir les informations complémentaires sans bloquer la décision initiale.

Avant une intervention, les responsables compétents organisent les informations à conserver, les accès autorisés et les mesures techniques nécessaires. Ce guide ne propose pas de copier tout un système sur une clé personnelle ou de tester publiquement une faiblesse. Notre méthode de préparation consiste à demander quel élément est utile à quelle personne et par quel canal il sera remis. Le compte rendu distingue les travaux réalisés, les données ou traces disponibles et les limites de l’intervention. Si une compétence spécialisée est requise, elle est identifiée et chiffrée séparément au lieu d’être présumée comprise dans une maintenance ordinaire.

• Éviter les copies et diffusions non organisées.
• Distinguer remise en service et investigation spécialisée.
• Décrire ce que le compte rendu démontre réellement.

Une préparation sur table peut partir d’un avis public et de documents neutres. Le gestionnaire fait retrouver les appareils, joindre le bon référent et remplir une fiche de faits, sans envoyer de formulaire réel à une autorité. L’équipe vérifie ensuite le remplacement du contact absent et la mise à jour du dossier lorsqu’un nouvel élément arrive. Cet exercice ne garantit pas le déroulement d’un incident futur ; il révèle surtout les informations introuvables et les responsabilités non attribuées. Protectas peut examiner la partie technique de cette préparation pour votre système vidéo, avec les prestataires et responsables concernés.

• Utiliser un dossier sans données personnelles réelles.
• Tester les transmissions et relais internes convenus.
• Corriger les lacunes de préparation constatées.