Que faire si vous subissez une violation de données personnelles ? Dans cet article, vous apprendrez comment réagir en cas de violation de données personnelles.
Quand on parle de violation de données personnelles, ça nous évoque généralement des serveurs piratés et des données personnelles compromises ou divulguées publiquement. Or, de nombreux autres incidents entrent dans la définition d'une "violation de données" au sens du RGPD tels que les incendies de serveurs, les pannes d'électricité, ou même le vol de matériel contenant des données clients. Tous ces événements sont considérés comme des violations de données. Comment réagir face à ces situations ?
Une violation de données est tout incident de sécurité, malveillant ou non, intentionnel ou non, ayant pour conséquence de compromettre l'intégrité, la disponibilité ou la confidentialité des données personnelles.
Un exemple classique est la cyberattaque, où un tiers s'introduit dans la base de données, subtilise les données et les modifie. Un autre exemple est l'atteinte à la disponibilité des données, tel qu'un incendie de serveurs ou une panne d'électricité rendant les données indisponibles pendant un certain temps. Cela peut également inclure la situation où un employé a envoyé par erreur un fichier contenant des informations personnelles.
En cas de violation de données, il est important de connaître ses obligations en vertu du RGPD.
Tout dépend de la qualification RGPD de l’entreprise, si elle agit en qualité de responsable de traitement ou de sous-traitant.
Qu’est-ce que le responsable de traitement ? C’est la société qui détermine les finalités et les moyens du traitement.
Qu’est-ce que le sous-traitant ? C’est la société qui traite les données personnelles au nom et pour le compte du responsable de traitement.
Le sous-traitant a uniquement l’obligation de notifier les responsables de traitement concernés par la violation. Le responsable de traitement a l’obligation de notifier la CNIL et/ou les personnes concernées en fonction de la violation de données.
La violation de données a l’obligation d’être notifiée à la CNIL seulement si elle présente un risque pour les droits et libertés des personnes concernées.
Si c'est le cas, il est obligatoire de notifier la violation de données à la CNIL dans un délai de 72 heures après sa prise de connaissance, c'est-à-dire à partir du moment où il est certain qu'un incident de sécurité a eu lieu et qu'il concerne des données personnelles.
Avant toute chose, il convient d'évaluer le risque lié à la violation de données.
Les éléments pour évaluer le risque lié à la violation sont les suivants :
Si la violation présente un risque, il est nécessaire de notifier la CNIL dans les 72 heures. La notification doit être effectuée via le formulaire qui se trouve sur le site de la CNIL.
En cas de manque d'informations dans le délai de 72 heures, il est possible de faire une notification en deux temps : une première notification dans les 72 heures avec les premières informations disponibles, suivie d'une seconde notification avec les informations complémentaires.
Dans tous les cas, si le délai de 72 heures est dépassé, il est toujours nécessaire de notifier la violation de données à la CNIL en justifiant les raisons du retard.
Si l'analyse de la violation de données révèle un risque élevé pour les droits et libertés des personnes concernées, il est obligatoire de les informer.
Une violation de données présente un risque élevé lorsque les conséquences de la violation sont graves et que la probabilité que celles-ci se produisent est importante.
Par exemple, une violation présente un risque élevé si elle concerne des données sensibles, des personnes vulnérables et une quantité importante de personnes.
Dans cette hypothèse, il y a l'obligation d'informer les personnes concernées. Cette information devra contenir a minima les éléments suivants :
Cette information peut être accompagnée de recommandations à destination des personnes pour atténuer les conséquences de la violation, par exemple en leur recommandant de changer leur mot de passe, de sauvegarder les données sur un support personnel ou encore de vérifier l'intégrité de leurs données.
Premièrement, il convient d'identifier l'origine de la faille de sécurité en répondant à plusieurs questions :
Deuxièmement, les obligations varient en fonction de la qualification RGPD de l’entreprise, responsable de traitement ou sous-traitant :
Troisièmement, dans tous les cas, il est nécessaire de documenter la violation de données dans le registre des violations de données. Il est important de tenir un registre qui comprendra tous les éléments liés à la violation de données.
Il convient de noter que la CNIL peut demander à accéder à ce registre, il est donc important de s'assurer que toutes les informations pertinentes y sont consignées.
