Violation des données personnelles : comment construire une procédure claire dans votre entreprise

01

La réponse en bref

Les responsables et sous-traitants du traitement devraient planifier à l'avance des procédures pour détecter et contenir rapidement une violation, évaluer le risque pour les personnes et décider s'il faut notifier l'autorité de protection des données et informer les personnes concernées.

Si votre entreprise agit en tant que sous-traitant, trois règles restent fixes : documenter chaque violation, la notifier à l'autorité dans les 72 heures sauf risque improbable, et informer les personnes sans délai indu lorsque le risque est élevé.

02

Ce qui compte comme une violation de données

Une violation de données personnelles est une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès illicite à des données personnelles. Cela ne concerne pas seulement la perte de données : cela inclut les incidents affectant la confidentialité, l'intégrité ou la disponibilité, qu'ils soient accidentels (un e-mail envoyé au mauvais destinataire, une clé USB perdue) ou délibérés, comme le phishing.

03

Les étapes à mettre en séquence

Étapes

1. Détecter et contenir l'incident dès sa découverte
2. Évaluer le risque concret pour les personnes concernées
3. Notifier l'autorité de protection des données dans les 72 heures, sauf risque improbable
4. Informer les personnes concernées sans délai indu si le risque est élevé
5. Toujours documenter les détails, l'évaluation, les effets et les mesures prises, même sans notification

04

Un exemple hypothétique

Scénario : un employé d'une PME envoie par erreur une liste de clients à un mauvais destinataire externe. L'équipe détecte l'envoi, bloque l'accès au fichier lorsque possible et évalue si les données exposées (noms, contacts) représentent un risque pour les personnes. Si le risque ne peut être exclu, l'entreprise notifie l'autorité dans les 72 heures et envisage d'informer les clients concernés, en documentant chaque étape.

05

Contrôles de prévention et de vérification

• Un identifiant unique pour chaque utilisateur et une authentification pour accéder aux systèmes
• Des profils d'autorisation séparés selon les besoins réels
• Un réexamen périodique des autorisations et la suppression de celles obsolètes
• Le chiffrement des données et la pseudonymisation lorsque possible
• Une politique de sécurité dédiée pour le télétravail et les appareils personnels (BYOD)

06

Ce qu'une entreprise peut mettre en place avec l'aide d'un partenaire logiciel

Une entreprise peut demander à son partenaire logiciel de mettre en place un registre traçable des incidents, avec des champs pour la date de détection, la description, les personnes concernées, l'évaluation du risque et les mesures prises. Des rôles distincts (qui détecte, qui évalue, qui notifie) et un historique consultable aident à respecter la discipline de documentation requise, qui reste néanmoins un choix opérationnel à définir avec le professionnel de référence.

07

Questions fréquentes

Chaque incident de sécurité est-il une violation de données ? Non : toutes les violations de données personnelles sont des incidents de sécurité, mais tous les incidents de sécurité n'impliquent pas de données personnelles.

Faut-il toujours informer les personnes concernées ? Non, seulement lorsque le risque pour elles est élevé ; dans certains cas, comme des données chiffrées avec des clés non compromises, la communication individuelle n'est pas nécessaire mais une information tout aussi efficace doit être assurée.

Une violation non notifiée doit-elle être documentée ? Oui : l'article 33 paragraphe 5 exige de documenter au moins les détails fondamentaux, l'évaluation, les effets et les mesures prises.

08

Prochaine étape pratique

Préparez dès aujourd'hui une ébauche de procédure interne avec les cinq étapes indiquées et attribuez un responsable pour chaque phase, afin de pouvoir réagir sans hésitation lorsque cela est nécessaire.