La demande venait d'un vrai domaine gouvernemental

Ce qui compte pour un DPO n'est ni le nombre de clients ni le nom de l'entreprise. C'est que la donnée est sortie par un canal légitime, autorisée par une personne qui a fait ce qu'on lui avait appris : répondre à une réquisition. Aucun pare-feu ne pouvait l'arrêter. Le contrôle qui a cédé est une procédure, et dans la plupart des organisations cette procédure n'est écrite nulle part.

• Date de naissance, adresses postales et électroniques, numéros de téléphone.
• Copies de pièces d'identité : passeports et permis de conduire.
• Selfies de vérification d'identité.
• Relevés de compte et historiques de transactions.

Sur la qualification, aucun doute : c'est une violation de données à caractère personnel. La définition de l'art. 4, point 12, du RGPD couvre la divulgation non autorisée, et la divulgation a bien eu lieu, vers un destinataire sans titre. Que la tromperie ait été bien faite ne change pas la qualification : cela pèse tout au plus sur l'appréciation de la diligence, qui est autre chose et vient après.

Les contre-mesures sont banales, et c'est pour cela qu'on les saute. Un canal de rappel indépendant : on rappelle l'organisme au numéro publié sur son propre site, pas à celui indiqué dans la demande. Une seule personne autorise les communications aux autorités, pas le premier qui ouvre le courrier. Un registre des demandes reçues et de celles auxquelles on a répondu, avec date, fondement et destinataire — c'est aussi ce qu'il faut pour démontrer qu'on a bien fait quand les choses tournent mal. Et la règle qu'aucune urgence invoquée par le demandeur ne raccourcit la vérification : l'urgence est le levier sur lequel repose cette escroquerie.