Rançongiciel : est-ce une violation de données ?

Un rançongiciel qui chiffre des données sans les exfiltrer reste une violation : la disponibilité est l'un des trois piliers protégés, au même titre que la confidentialité et l'intégrité. Le responsable du traitement notifie à l'autorité de contrôle dans les 72 heures à compter de la prise de connaissance, sauf s'il est improbable que la violation engendre un risque ; la notification peut être faite par phases (art. 33.4). Toute violation se documente en interne, même non notifiée (art. 33.5). Ces 72 heures ne sont pas un délai pour réparer l'incident, et payer une rançon ne fait disparaître ni la violation, ni les obligations.

À retenir

Chiffrer sans exfiltrer reste une violation : la disponibilité compte autant que la confidentialité.

Côté client

Aldiva aurait dû disposer d'un plan de réponse à incident testé, de sauvegardes hors ligne réellement restaurables et d'un registre des violations prêt à l'emploi — avant l'incident, pas pendant.

Sources

• — Art. 33 RGPD

Explication simplifiée, à but pédagogique, non vérifiée. Ne remplace ni le texte applicable ni l'avis d'un professionnel. Rédigée le 30/07/2026 · Fiabilité : ●●●