Une violation de données personnelles est une atteinte à la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles, que ce soit de manière accidentelle ou illicite. Il n'est pas nécessaire de signaler chaque incident, mais vous devez être en mesure de démontrer comment vous êtes parvenu à cette conclusion.
Base légale
La définition figure à l'article 4, paragraphe 12, du RGPD. L'article 33 impose au responsable du traitement de notifier l'Autorité néerlandaise de protection des données sans délai indu et au plus tard dans les 72 heures suivant la découverte de la violation, sauf si celle-ci est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. L'article 34 ajoute l'obligation d'informer directement les personnes concernées lorsque le risque est élevé. Les sous-traitants ne notifient pas l'Autorité de protection des données, mais le responsable du traitement, et doivent le faire sans délai. L'article 33, paragraphe 5, impose la tenue d'un registre de toutes les violations, y compris celles qui n'ont pas été notifiées.
Comment ça marche en pratique
Le délai de 72 heures commence à courir dès lors que vous avez la certitude raisonnable qu'un incident de sécurité impliquant des données personnelles s'est produit, et non à la fin de l'enquête. La notification peut donc être effectuée par étapes : d'abord les éléments connus, puis les éléments complémentaires. L'évaluation repose sur les conséquences pour la personne concernée : s'agit-il de données sensibles, de combinaisons permettant une usurpation d'identité, d'un grand nombre de personnes ou de personnes en situation de vulnérabilité ? La perte d'un ordinateur portable dont le disque est chiffré n'est généralement pas soumise à notification ; un envoi postal mal adressé contenant des données de santé l'est presque toujours.
Là où ça tourne mal
La plupart des mesures d'application concernent les conséquences plutôt que l'infraction elle-même. Les organisations tardent à informer car elles souhaitent d'abord déterminer en interne les responsabilités, ou bien elles omettent d'informer les personnes concernées par crainte d'atteinte à leur réputation, même si le risque était suffisamment élevé. Un troisième écueil réside dans l'absence de registre interne : sans ce registre, il est impossible de justifier le défaut de notification d'un incident, et l'évaluation effectuée n'est tout simplement pas valable.
termes connexes
Une violation de données est directement liée à l' accord de traitement des données , qui doit préciser le délai de déclaration de votre fournisseur, et à la loi néerlandaise sur la cybersécurité , qui impose un délai plus court à certains secteurs.
Vous ne savez pas si un incident doit être signalé ? Nos spécialistes en droit des technologies de l’information l’évalueront avec vous, y compris dans le délai de 72 heures.
