Que faire en cas de violation de données personnelles ?

Si je te dis « violation de données », tu penses sûrement à des serveurs hackés et des millions de données personnelles dévoilées. Légalement, beaucoup plus d'incidents entrent dans la définition : tes serveurs ont pris feu, tu as subi une panne d'électricité, ou on t'a volé l'ordinateur ou le disque dur contenant des données client. Tout cela, ce sont des violations de données. Voyons comment réagir.

Qu'est-ce qu'une violation de données ? Tout incident de sécurité, malveillant ou non, intentionnel ou non, ayant pour conséquence de compromettre l'intégrité, la disponibilité ou la confidentialité des données personnelles. Exemple d'atteinte à la confidentialité et à l'intégrité : la cyberattaque (un tiers s'introduit dans ta base, subtilise et modifie tes données). Atteinte à la disponibilité : ton hébergeur subit un incendie, ou une panne d'électricité rend tes données indisponibles. Cela peut aussi être un employé qui envoie par erreur à un collègue un fichier contenant les noms, adresses et rémunérations de tous les salariés. Dans ces cas, tu as des obligations au titre du RGPD.

Responsable de traitement ou sous-traitant ? Tout dépend de ta qualification. Le responsable de traitement détermine les finalités et les moyens du traitement (le pourquoi du comment) — souvent la boîte qui collecte des données pour son activité. Le sous-traitant traite les données au nom et pour le compte du responsable ; l'exemple type est l'hébergeur. Si tu es sous-traitant, ton unique obligation est de notifier les responsables de traitement concernés (souvent tes clients) : vérifie tes contrats pour identifier l'ordre, le délai, le biais et les documents à transmettre. Si tu es responsable de traitement, tu peux devoir notifier la CNIL et/ou les personnes concernées, selon que la violation présente un risque — et selon que ce risque est élevé.

La notification à la CNIL. Elle est obligatoire uniquement si la violation présente un risque pour les droits et libertés des personnes. Dans ce cas, tu dois notifier dans un délai de 72 heures à compter de la prise de connaissance (le moment où tu es certain qu'un incident concernant des données personnelles a eu lieu). Mais évalue d'abord le risque, selon plusieurs éléments : le type de violation (intégrité, disponibilité, confidentialité), la sensibilité des données (données de santé ?), leur volume, le type de personnes concernées (enfants, patients, salariés), la facilité de les identifier (données chiffrées ou en clair), leur nombre, les caractéristiques du responsable (secteur santé, bancaire…), et les conséquences possibles (usurpation d'identité, détournement de coordonnées bancaires). Si tu conclus à un risque, notifie la CNIL dans les 72 heures via le formulaire disponible sur son site (lien en description), avec les éléments requis. Si tu ne disposes pas de tout dans les 72 heures, pas de panique : tu peux notifier en deux temps (une première fois avec les infos disponibles, puis un complément dans un nouveau délai de 72 heures). Et si tu as dépassé le délai, notifie quand même, en justifiant le retard.

L'information des personnes concernées. Si ton analyse révèle un risque élevé — conséquences graves et probabilité importante (par exemple données sensibles + personnes vulnérables + grand nombre de personnes) —, tu dois informer les personnes concernées. Cette information doit contenir, en termes clairs : la nature de la violation, ses conséquences probables, les coordonnées de la personne à contacter (ton DPO ou le référent), et les mesures prises pour y remédier et en limiter les conséquences. C'est le fameux e-mail que tu as peut-être déjà reçu de certaines compagnies. Tu peux y ajouter des recommandations (changer de mot de passe, sauvegarder ses données, vérifier leur intégrité).

Checklist. 1) Identifie l'origine et la nature de la faille : des données personnelles sont-elles touchées, de quelle nature, quelles conséquences, quelles mesures de remédiation ? 2) Selon ta qualification : sous-traitant, tu notifies le responsable de traitement selon les délais de tes contrats (d'où l'importance de bien les négocier) ; responsable de traitement, tu évalues le risque — s'il existe, tu notifies la CNIL sous 72 h ; s'il est élevé, tu informes aussi les personnes. 3) Dans tous les cas, documente la violation dans le registre des violations (la CNIL peut en demander l'accès). Si cette vidéo t'a plu, abonne-toi ou contacte-nous pour en savoir plus. À très vite !