Suivre une procédure judiciaire ouverte après un incident de données : protocole de veille jalon par jalon

Un incident de données produit deux récits parallèles qui ne suivent pas la même horloge. Le premier est celui de la communication de crise, dense pendant quelques jours puis silencieux. Le second est celui de la procédure judiciaire, qui commence souvent quand le premier s'éteint et se prolonge sur des mois, parfois des années, avec des jalons peu visibles mais parfaitement observables.

Pour une cellule de veille, ce décalage pose un problème pratique. Les dispositifs d'alerte sont calibrés sur le pic médiatique et s'arrêtent avec lui, alors que l'essentiel de l'information exploitable pour une évaluation de tiers, une décision contractuelle ou une analyse sectorielle apparaît plus tard, dans des documents techniques peu relayés.

Cette note décrit le protocole que nous appliquons pour suivre une procédure ouverte après un incident de données. Elle précise la maille de suivi, les jalons retenus et leurs sources primaires, le traitement de la qualification pénale comme variable, les limites imposées par le secret de l'enquête, et les conditions dans lesquelles un tiers rejoue le relevé sur le même dossier.

Pourquoi le calendrier judiciaire ne recouvre jamais le calendrier de l'incident

Le cas rapporté par L'Yonne Républicaine fournit une chronologie utile. Le parquet de Paris a ouvert une enquête après le vol des données de 678 000 usagers du système d'information des impôts, particuliers et entreprises. L'enquête a été confiée à l'Office anticybercriminalité, et les données dérobées comprenaient des noms, un quotient familial et un revenu fiscal de référence.

Ce que ce type d'annonce fixe, ce n'est pas la date de l'incident mais la date à laquelle une autorité en prend acte publiquement. Entre les deux s'écoule une durée variable, rarement documentée, qui dépend de la détection interne, des obligations de notification et des arbitrages de communication. Le veilleur qui confond ces deux dates construit une chronologie fausse dès le premier jalon.

Nous tenons donc deux séries de dates distinctes pour chaque dossier : la série factuelle, qui relève de l'incident lui-même et reste souvent partiellement inconnue, et la série procédurale, qui relève des actes publics et se documente précisément. Aucun calcul de délai ne mélange les deux séries, sous peine de produire des indicateurs irreconstituables.

Maille de suivi, définitions retenues et périmètre des sources primaires

L'unité de suivi est le dossier, entendu comme l'ensemble des actes rattachés à un même incident, et non l'organisation victime. Cette distinction est nécessaire : une même organisation cumule parfois plusieurs incidents indépendants, et un même incident donne parfois lieu à plusieurs procédures dans des juridictions différentes, avec des qualifications et des calendriers propres.

Nous appelons source primaire tout document produit par un acteur de la procédure ou par l'organisation concernée : communiqué de parquet, information publiée par l'autorité de protection des données, courrier de notification aux personnes, décision publiée, document parlementaire. Les reprises de presse sont classées comme sources secondaires, utiles pour la détection mais jamais retenues seules pour dater un jalon.

Cette hiérarchie a une conséquence de méthode. Un jalon repéré par une dépêche reste au statut de signal jusqu'à ce qu'une source primaire le confirme, et le journal du dossier conserve les deux dates : celle du signal et celle de la confirmation. L'écart entre ces deux dates est en soi une donnée de qualité de la couverture.

Les jalons observables d'une procédure et ce que chacun autorise à conclure

Une procédure produit un nombre limité d'événements publics, et les nommer précisément évite les contresens les plus fréquents. L'ouverture d'une enquête n'est pas une mise en accusation, la saisine d'un service spécialisé n'est pas un jugement sur la gravité, et l'absence d'acte public pendant plusieurs mois ne signifie pas que le dossier est abandonné. Le tableau ci-dessous fixe ces correspondances.

La colonne de droite est la plus importante du tableau et la plus souvent ignorée. Elle formalise ce qu'un jalon ne permet pas d'affirmer, ce qui protège la cellule de veille contre le glissement classique du fait procédural vers l'interprétation causale. Un dossier bien tenu se reconnaît à ce que ses fiches contiennent autant de mentions négatives que d'affirmations.

La difficulté opérationnelle tient à la dispersion des publications : les communiqués officiels, les documents parlementaires et les décisions ne paraissent ni au même endroit ni au même rythme. NewsCore (www.newscore.fr) surveille en continu des millions de sources, remonte les publications officielles et les dépêches dès leur parution et conserve pour chaque alerte un lien direct vers le document d'origine, ce qui réduit la dépendance à une consultation manuelle des portails.

La qualification pénale retenue, variable de suivi et non détail de vocabulaire

Dans le dossier rapporté par L'Yonne Républicaine, l'enquête porte sur l'extraction frauduleuse de données personnelles et la participation à une association de malfaiteurs. Ces deux qualifications ne sont pas interchangeables et ne produisent pas les mêmes suites. La première décrit l'acte technique sur les données, la seconde décrit une organisation collective préalable et ouvre d'autres moyens d'investigation.

Nous enregistrons donc la qualification comme un champ à part entière du dossier, avec sa date et sa source, et nous conservons son historique lorsqu'elle évolue. Un requalification en cours de procédure est un signal fort pour une cellule de veille : elle indique que l'analyse des faits par les autorités a changé, souvent avant que la moindre analyse publique n'en rende compte.

La qualification détermine aussi le service saisi, et donc le canal de publication à surveiller. Un dossier confié à un service spécialisé en cybercriminalité produit des communications techniques différentes de celles d'un dossier traité par une chambre généraliste. Suivre la qualification revient donc, indirectement, à savoir où chercher les jalons suivants.

Une procédure judiciaire ne se suit pas à la trace de ce qui s'écrit sur elle : elle se suit à la trace des actes publics qu'elle produit, et de ce que chacun de ces actes interdit de conclure.

Limites du protocole : secret de l'enquête, silence apparent et biais de publication

La limite structurelle est le secret de l'enquête. Une part importante des actes n'a aucune existence publique, et le protocole ne les observe pas. Nous l'écrivons explicitement dans chaque fiche de dossier, sous la forme d'une mention rappelant que la chronologie relevée décrit la face publique de la procédure et non son déroulement réel.

Le silence apparent constitue le principal piège d'interprétation. Plusieurs mois sans acte public sont parfaitement compatibles avec une activité d'enquête intense, notamment dans les dossiers techniques où l'exploitation des traces numériques et la coopération internationale prennent du temps. Nous ne produisons donc jamais d'indicateur d'inactivité, seulement des délais entre jalons observés, présentés comme tels.

Un troisième biais tient à la publication elle-même. Les dossiers concernant un grand nombre de personnes ou une institution publique génèrent davantage de communications officielles que des dossiers comparables touchant une entreprise de taille moyenne. Toute statistique construite sur des dossiers suivis publiquement surreprésente donc les incidents visibles, et il faut le dire avant de comparer des secteurs entre eux.

Rendre le relevé reproductible : journal de dossier, archivage et second passage

Chaque dossier est tenu sous forme de journal, une ligne par jalon, avec sept champs invariables : date de l'acte, date de relevé, nature du jalon, qualification en vigueur, source primaire, adresse consultée et empreinte de la copie archivée. Ce format fixe est ce qui rend deux dossiers comparables et permet à un tiers de reconstituer le raisonnement.

L'archivage n'est pas une précaution théorique. Les communiqués officiels sont réorganisés, les pages de notification aux personnes concernées sont retirées une fois la campagne d'information terminée, et les adresses changent au gré des refontes de sites. Sans copie datée et empreinte du contenu, une chronologie établie aujourd'hui devient invérifiable en moins d'un an.

Le second passage porte sur la chronologie, pas sur l'analyse. Un relecteur reprend le journal, ouvre chaque source archivée et vérifie que la date, la qualification et la formulation du jalon correspondent au document. Les écarts relevés portent presque toujours sur des jalons datés depuis une reprise de presse sans confirmation primaire, ce qui confirme l'utilité de la hiérarchie des sources.

Questions fréquentes

Comment suivre l'avancement d'une enquête ouverte après une fuite de données ?

En surveillant les actes publics plutôt que la couverture médiatique, qui s'interrompt en quelques jours. Les canaux utiles sont les communiqués de parquet, les publications de l'autorité de protection des données, les pages de notification de l'organisation concernée et les documents parlementaires. Chaque jalon se date sur le document lui-même, se copie et s'archive, faute de quoi la chronologie devient invérifiable au bout de quelques mois.

Que signifie l'ouverture d'une enquête par un parquet après un incident de données ?

Elle établit qu'une autorité a été saisie et qu'une qualification a été retenue à ce stade, rien de plus. Dans le dossier rapporté par L'Yonne Républicaine, l'enquête ouverte par le parquet de Paris a été confiée à l'Office anticybercriminalité et porte sur l'extraction frauduleuse de données personnelles et la participation à une association de malfaiteurs. Aucune de ces mentions n'identifie un auteur ni ne préjuge d'une issue.

Une procédure sans nouvelle pendant plusieurs mois est-elle enlisée ?

Rien ne permet de l'affirmer, et le protocole interdit explicitement cette lecture. Le secret de l'enquête fait que la majorité des actes n'ont pas d'existence publique, et les dossiers techniques comportent des phases longues d'exploitation de traces et de coopération entre services. Un relevé sérieux mesure des délais entre jalons observés et signale que ces délais décrivent la visibilité de la procédure, pas son activité.

Quelles données d'un incident faut-il retenir pour une évaluation de tiers ?

Trois éléments comptent davantage que le volume annoncé : la nature exacte des données concernées, la qualification retenue et le délai entre la découverte interne et la notification aux personnes. Le cas relayé par L'Yonne Républicaine montre l'importance du premier point, puisque les données dérobées comprenaient des noms, un quotient familial et un revenu fiscal de référence, dont la combinaison ouvre des usages frauduleux durables.