Panne d’Outlook : évaluer le risque pour les données et la continuité

Une panne de messagerie peut-elle imposer une notification à la CNIL sans qu’aucun courriel ait été divulgué ? La question concerne les employeurs et les services publics privés d’accès à leurs échanges. Le Monde avec AFP rapporte, le 13 novembre 2026, une interruption de Microsoft 365 touchant notamment Outlook. L’article ne permet pas d’établir, pour chaque organisation utilisatrice, quelles données sont devenues inaccessibles ni les conséquences de cette indisponibilité.

Le RGPD protège aussi la disponibilité des données personnelles. Son article 32 prévoit des mesures adaptées au risque, notamment pour rétablir l’accès après un incident technique et vérifier régulièrement l’efficacité des protections. L’organisation doit ainsi identifier ce que l’interruption empêche : consulter une demande urgente, retrouver une pièce ou transmettre une information nécessaire à une prise en charge. La qualification dépend des traitements réellement affectés, de la durée de l’incident et des solutions de secours disponibles. La seule annonce d’une panne mondiale ne suffit pas à constater une violation chez chacun des utilisateurs.

Lorsqu’une violation est établie, l’article 33 impose de la consigner. Une notification à l’autorité de contrôle compétente est nécessaire sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Elle intervient dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance. Les informations peuvent être complétées progressivement. Le sous-traitant doit, pour sa part, alerter le responsable du traitement dans les meilleurs délais. Attendre une explication technique définitive du fournisseur peut donc faire perdre un temps utile à l’appréciation du risque.

Une indisponibilité brève, compensée par un accès de secours, peut rester sans conséquence justifiant une notification. Un blocage empêchant le traitement d’une demande urgente appelle une autre appréciation. La CNIL recommande de conserver les éléments qui motivent cette décision. Nous estimons que le premier test d’un plan de continuité devrait être simple : les personnes chargées de réagir peuvent-elles retrouver leurs consignes et se joindre quand la messagerie habituelle ne fonctionne plus ? Un canal de secours doit être préparé avec des règles de confidentialité. Le recours improvisé à une adresse personnelle peut créer une exposition supplémentaire des données.

Numérique et intelligence artificielle : consulter le dossier.