Même avec des précautions, il arrive que quelque chose tourne mal. L'important est alors d'agir vite et de prévenir la bonne personne.
Ce qu'est une violation de données personnelles
C'est toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte ou l'altération de données personnelles, ou la divulgation ou l'accès non autorisés à ces données (article 4, point 12, du RGPD). Elle peut être accidentelle ou intentionnelle. Exemples :
- un e-mail contenant des données de clients envoyé à la mauvaise personne
- la perte ou le vol d'un ordinateur portable, d'un téléphone ou d'une clé USB
- une attaque informatique ou un virus qui chiffre les fichiers (rançongiciel)
- un dossier papier oublié dans un train
- un compte utilisé par quelqu'un qui n'aurait pas dû, par exemple après un hameçonnage
- l'effacement accidentel d'une base de données sans sauvegarde
Il ne faut pas attendre d'être sûr du dommage. Le doute suffit pour prévenir.
Ce que vous devez faire
- Prévenez immédiatement la personne ou le service que votre entreprise a indiqué (informatique, direction, délégué à la protection des données).
- Dites ce que vous savez : ce qui s'est passé, quand, quelles données sont concernées et combien de personnes peuvent être touchées.
- Faites ce que vous pouvez pour limiter les dégâts, si vous pouvez le faire sans risque : changer un mot de passe, débrancher un appareil du réseau, demander au mauvais destinataire d'effacer le message.
- N'effacez pas de preuves et n'essayez pas de réparer de votre côté, discrètement.
- Ne le cachez pas. Un problème signalé à temps peut généralement être maîtrisé. Un problème caché s'aggrave.
Les délais du RGPD
- À l'autorité de contrôle (AEPD). Le responsable doit notifier la violation dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33, paragraphe 1). Il n'est pas nécessaire de notifier s'il est peu probable que la violation engendre un risque pour les droits et libertés des personnes. Si le délai n'est pas respecté, il faut expliquer les motifs du retard.
- Aux personnes concernées. Lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, le responsable la leur communique dans les meilleurs délais, dans un langage clair (article 34). Un exemple est la fuite de données bancaires ou de santé.
- Du sous-traitant au responsable. Si c'est un sous-traitant qui subit la violation, il doit la notifier au responsable dans les meilleurs délais (article 33, paragraphe 2).
Les 72 heures se comptent à partir du moment où l'entreprise en a connaissance, ce qui inclut le moment où vous l'apprenez. Si vous mettez trois jours à prévenir, le délai est pratiquement épuisé. Une alerte tardive peut coûter une sanction à l'entreprise.
Le registre interne
En plus de notifier, le responsable doit documenter toutes les violations, y compris celles qui ne sont pas notifiées : les faits, leurs effets et les mesures prises (article 33, paragraphe 5). Il peut ainsi démontrer à l'AEPD comment il a agi. La LOPDGDD considère comme une infraction grave le fait de ne pas notifier une violation de données personnelles à l'autorité (article 73, point r).
Ce qui est notifié à l'AEPD
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées du délégué à la protection des données ou d'une autre personne, les conséquences probables et les mesures prises. Elle est déposée par le portail électronique de l'AEPD (aepd.es).
Retenez : celui qui détecte le problème n'a ni à le résoudre ni à le juger. Votre tâche est de prévenir le jour même.