Comment préparer une procédure compréhensible en cas de violation de données

01

La réponse en bref

Une procédure compréhensible en cas de violation de données définit à l'avance qui détecte l'incident, qui évalue le risque et qui décide de notifier l'autorité de protection des données ou de communiquer l'événement aux personnes concernées. Les responsables du traitement et les sous-traitants sont encouragés à planifier ces étapes avant qu'un incident ne survienne, afin de pouvoir agir rapidement et de manière objective.

02

Qu'est-ce qu'une violation de données à caractère personnel

Une violation de données à caractère personnel est une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illicite à des données à caractère personnel. Tous les incidents de sécurité ne sont pas des violations de données : ce n'est le cas que lorsque des données à caractère personnel sont concernées. Cela inclut aussi bien les erreurs involontaires, comme l'envoi d'un courriel au mauvais destinataire, que les actes délibérés, comme le phishing.

03

Les trois règles fondamentales pour les sous-traitants

Étapes

1. Documenter chaque violation de données à caractère personnel, même celles évaluées comme ne présentant aucun risque.
2. Notifier l'autorité de protection des données compétente dans un délai de 72 heures, sauf si un risque pour les personnes est improbable.
3. Communiquer la violation aux personnes concernées sans délai indu si le risque pour elles est élevé.
4. Enregistrer au moins les détails essentiels de l'incident, son évaluation, ses effets et les mesures prises, comme l'exige l'article 33, paragraphe 5, du RGPD.

04

Exemple hypothétique

Scénario : un employé perd une clé USB contenant des données à caractère personnel de clients. Le délégué à la protection des données détecte l'incident, évalue si les clés de chiffrement ont été compromises et déterminent si le risque pour les personnes est élevé avant de décider de la notification à l'autorité ou de la communication aux clients.

05

Éléments à préparer avant un incident

• Identifiants uniques et authentification pour accéder aux systèmes informatiques.
• Gestion des autorisations avec révision périodique et suppression des accès obsolètes.
• Chiffrement des données pour empêcher les accès non autorisés.
• Une politique de sécurité pour le télétravail et la protection des appareils personnels utilisés à des fins professionnelles (BYOD).
• Un formulaire ou une procédure permettant d'enregistrer rapidement la nature, les effets et les mesures prises pour chaque incident.

06

Ce qu'une entreprise peut configurer pour piloter le processus

Une organisation peut définir avec son partenaire logiciel qui est responsable de la détection, de l'évaluation et de l'enregistrement d'un incident, en conservant la date, la nature de l'événement, l'évaluation du risque et les mesures prises, conformément à l'obligation de documentation de l'article 33, paragraphe 5. Ce sont des choix opérationnels à configurer ou à demander, et non des fonctionnalités déjà intégrées.

07

Questions fréquentes sur le processus interne

• Qui doit documenter une violation ? Le responsable du traitement, pour chaque incident, même lorsqu'il n'est pas notifié à l'autorité.
• Quand les personnes doivent-elles être notifiées ? Sans délai indu, lorsque le risque pour leurs droits et libertés est élevé.
• Faut-il toujours notifier l'autorité ? Non, si un risque pour les personnes est improbable.

08

Prochaine étape

Définissez avec votre équipe qui détecte, qui évalue le risque et qui décide de la notification, avant qu'un incident réel ne survienne.