Violation de données personnelles : le mémo des 72 heures

Un ordinateur portable volé, un courriel envoyé au mauvais destinataire, une base de clients copiée par un attaquant, des fichiers chiffrés par un rançongiciel. Toutes ces situations peuvent constituer une violation de données personnelles. Le RGPD fixe une conduite à tenir précise. Ce mémo la résume.

Qu'est-ce qu'une violation de données ?

Le RGPD la définit comme une atteinte à la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données (article 4). On distingue trois atteintes :

• Confidentialité : des données ont été vues ou copiées par quelqu'un qui n'aurait pas dû.
• Intégrité : des données ont été modifiées sans autorisation.
• Disponibilité : des données ont été perdues, détruites ou rendues inaccessibles, même temporairement.

Étape 1 : documenter, toujours

Toute violation se documente en interne, même quand elle ne sera pas notifiée (article 33, paragraphe 5). On note les faits, leurs effets et les mesures prises. Ce registre des violations permet à la CNIL de vérifier, si elle le demande, que vous avez fait le bon choix.

Étape 2 : évaluer le risque pour les personnes

La question n'est pas « est-ce grave pour l'organisation ? », mais « qu'est-ce que cela peut changer pour les personnes ? » : usurpation d'identité, fraude, perte de confidentialité de données sensibles, atteinte à la réputation, discrimination. Plusieurs éléments pèsent :

• la nature des données : santé, données bancaires, pièces d'identité, données de mineurs ;
• le volume et le nombre de personnes concernées ;
• la facilité d'identification des personnes ;
• les mesures de protection déjà en place, par exemple un chiffrement solide dont la clé n'a pas été compromise.

Étape 3 : notifier la CNIL sous 72 heures, s'il y a un risque

Si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, le responsable du traitement la notifie à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Au-delà, la notification doit expliquer les raisons du retard.

La notification se fait en ligne, sur le téléservice de la CNIL. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées du délégué à la protection des données ou d'un contact, les conséquences probables, et les mesures prises ou envisagées.

Étape 4 : informer les personnes, si le risque est élevé

Si la violation est susceptible d'engendrer un risque élevé, le responsable du traitement informe aussi les personnes concernées, dans les meilleurs délais, en des termes clairs et simples (article 34). Le message explique ce qui s'est passé, les conséquences possibles, les mesures prises et ce que la personne peut faire pour se protéger : changer un mot de passe, surveiller ses comptes, se méfier de messages frauduleux.

Cette information n'est pas exigée si les données étaient rendues incompréhensibles, par un chiffrement par exemple, si des mesures ultérieures ont fait disparaître le risque élevé, ou si elle demanderait des efforts disproportionnés. Dans ce dernier cas, une communication publique la remplace.

En résumé

Qui fait quoi ?

• Le responsable du traitement évalue, décide et notifie. C'est sa responsabilité, elle ne se délègue pas à un outil.
• Le sous-traitant (hébergeur, éditeur, prestataire) prévient le responsable du traitement dans les meilleurs délais après avoir découvert la violation (article 33, paragraphe 2).
• Le délégué à la protection des données, s'il existe, conseille et sert de point de contact avec la CNIL.

D'autres notifications peuvent s'ajouter

Selon votre activité, un incident peut aussi devoir être signalé ailleurs : à votre assureur selon votre contrat, à la police ou à la gendarmerie par une plainte, ou à l'ANSSI si votre organisation relève de la directive NIS 2. Pour ce dernier point, vérifiez votre situation sur MonEspaceNIS2.