S'agit-il d'une fuite de données et dois-je la signaler ?
En tant qu'entrepreneur, vous êtes responsable des données personnelles de vos clients et de vos collaborateurs. Le RGPD vous désigne alors comme responsable du traitement. Vous découvrirez ici ce qu'est une violation de données, quand vous devez la notifier et ce que vous devez faire immédiatement. Il s'agit d'explications générales et non d'un conseil juridique. En cas de doute, consultez le site web de l'Autoriteit Persoonsgegevens (AP), l'autorité néerlandaise de protection des données, ou demandez conseil à un juriste.
Qu'est-ce qu'une violation de données ?
Selon le RGPD, la loi européenne sur la protection de la vie privée, il s'agit d'une violation de la sécurité entraînant la perte, la destruction ou la modification de données personnelles, ou leur accès par une personne non autorisée (article 4, point 12). Les données personnelles sont des informations concernant une personne identifiable, comme un nom, une adresse e-mail, une adresse postale ou un historique de commandes. Il ne s'agit donc pas uniquement de pirates informatiques. Exemples :
- un e-mail ou une pièce jointe contenant des données personnelles envoyé au mauvais destinataire ;
- un ordinateur portable, un téléphone ou une clé USB perdu ou volé contenant des données personnelles non chiffrées ;
- une boîte mail piratée contenant des factures, des devis ou des lettres de candidature ;
- un site web ou une boutique en ligne dont les données clients ont été volées ;
- un ransomware qui vous empêche d'accéder à votre fichier clients, même si rien n'a été copié.
Les premières étapes
- Stoppez la fuite. Demandez au mauvais destinataire de supprimer l'e-mail et de vous le confirmer. Modifiez le mot de passe d'une boîte mail compromise depuis un appareil de confiance (voir Des mots de passe sûrs et que faire en cas de mot de passe divulgué).
- Faites l'inventaire de ce qui s'est passé. Quelle en est la cause, quand cela a-t-il commencé, de quelles données s'agit-il, combien de personnes sont concernées, qui peut y accéder et les données étaient-elles chiffrées ? Notez tout, avec la date et l'heure.
- Évaluez le risque pour les personnes dont les données sont concernées (voir ci-dessous).
- Notifiez l'AP si nécessaire, dans un délai de 72 heures.
- Informez les personnes concernées si le risque pour elles est élevé.
- Consignez la violation dans votre registre des violations de données. Vous le faites toujours.
Dois-je notifier l'Autoriteit Persoonsgegevens ?
Vous notifiez une violation de données dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte. Ce n'est pas nécessaire si la violation n'est pas susceptible d'engendrer un risque pour les personnes dont les données sont concernées (article 33 du RGPD).
- Le délai commence à courir dès que vous en avez connaissance, et non au moment où la violation s'est produite. Le week-end compte : si vous la découvrez le vendredi à 16:40, vous la notifiez au plus tard le lundi à 16:40.
- Une notification incomplète est autorisée. Si après 72 heures vous ne savez pas encore tout, notifiez avec les informations dont vous disposez et complétez la notification ultérieurement.
- Uniquement en ligne. La notification se fait via le formulaire de notification de l'AP, et non par téléphone, e-mail ou courrier. Le questionnaire de l'AP vous permet de préparer votre notification.
- Vous hésitez ? Dans ce cas, l'AP recommande de notifier malgré tout.
Ces questions vous aident à évaluer la situation :
| Question | Risque plus faible | Risque plus élevé |
|---|---|---|
| Quelles données ? | Uniquement des coordonnées professionnelles | Numéro BSN (identifiant national néerlandais), copie d'une pièce d'identité, coordonnées bancaires, mots de passe, données médicales, données concernant des enfants |
| Combien de personnes ? | Une ou quelques-unes | Beaucoup |
| Lisibles par celui qui les détient ? | Correctement chiffrées, la clé n'a pas été divulguée | Lisibles, ou le mot de passe a également été divulgué |
| Qui les détient ? | Un destinataire connu qui confirme les avoir supprimées | Un inconnu, un criminel, ou publiées sur internet |
Un exemple : si un ordinateur portable correctement chiffré est volé, il n'y a probablement aucun risque. La notification n'est alors pas nécessaire, mais vous consignez quand même l'incident dans votre registre. Sur un ordinateur portable non chiffré, la personne qui le trouve peut tout lire ; dans ce cas, il existe généralement un risque.
Quand informer les personnes concernées ?
Si la violation est susceptible d'engendrer un risque élevé pour les personnes dont les données sont concernées, vous les informez dans les meilleurs délais (article 34 du RGPD). Expliquez en termes simples ce qui s'est passé, quelles peuvent en être les conséquences, ce que vous faites et ce qu'elles peuvent faire elles-mêmes, comme modifier un mot de passe ou se montrer particulièrement vigilantes face aux tentatives de phishing utilisant votre nom.
Ce n'est pas nécessaire si les données étaient rendues illisibles grâce à un chiffrement efficace, ou si vous avez ensuite pris des mesures qui font que le risque élevé n'est plus susceptible de se matérialiser. Si contacter chaque personne exige des efforts disproportionnés, vous procédez à une communication publique.
Le registre des violations de données : à tenir systématiquement
Vous consignez chaque violation de données, même si vous ne la notifiez pas (article 33, paragraphe 5). Notez les faits, les conséquences, les mesures prises et votre raisonnement : pourquoi vous avez notifié ou non, et pourquoi vous avez informé ou non les personnes concernées. L'AP propose un modèle de registre des violations de données.
Et si la violation se produit chez un fournisseur ?
Votre hébergeur, votre logiciel de comptabilité dans le cloud ou votre service de newsletter est, selon le RGPD, un sous-traitant : une partie qui traite des données personnelles pour votre compte. Un sous-traitant doit vous informer dans les meilleurs délais lorsqu'il découvre une violation de données (article 33, paragraphe 2). C'est ensuite à vous d'évaluer si vous devez notifier la violation, et en principe, c'est également vous qui la notifiez.
Cela s'applique aussi lorsque WebOké est votre sous-traitant. Les engagements à ce sujet figurent dans notre accord de sous-traitance, voir Accord de sous-traitance : où le trouver ? Vous pensez que la violation se situe chez nous, par exemple sur nos serveurs ? Contactez-nous immédiatement en ouvrant un ticket dans le Centre d'assistance, en précisant ce que vous avez constaté et à quel moment.
Pour aller plus loin
- WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
- Autoriteit Persoonsgegevens : notifier ou non
- Autoriteit Persoonsgegevens : comment notifier une violation de données
- Autoriteit Persoonsgegevens : questionnaire du formulaire de notification
- Autoriteit Persoonsgegevens : modèle de registre des violations de données
- Le RGPD, articles 4, 33 et 34 (EUR-Lex)
Envie d'en savoir plus ? Suivez le cours gratuit La sécurité en ligne pour les entrepreneurs, leçon 8.2 Les violations de données et l'obligation de notification.