Violations de données et obligation de notification

Module 8: Quand les choses tournent mal · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous pourrez déterminer si une situation constitue une violation de données, si vous devez la notifier dans les 72 heures à la CNIL et si vous devez informer les personnes concernées, et vous saurez la consigner dans un registre des violations de données.

Notions clés : données à caractère personnel, violation de données (atteinte à la protection des données à caractère personnel), responsable du traitement, sous traitant, RGPD article 33 et 34, téléservice de notification des violations, 72 heures, risque et risque élevé, registre des violations de données

Qu'est ce qu'une violation de données ?

Quand on parle de "violation de données", on pense souvent à des pirates qui dérobent une base de données. C'est une forme possible, mais le RGPD utilise une définition plus large : une violation de données à caractère personnel est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données (article 4, point 12).

Les données à caractère personnel sont toutes les données relatives à une personne identifiable : un nom, une adresse e-mail comme nicolas.martin@..., un numéro de téléphone, une adresse, un numéro client associé à un historique de commandes, une photo, une adresse IP combinée à d'autres données. Les données relatives à une entreprise en tant que telle (numéro d'immatriculation, adresse générale) n'en font pas partie, mais les données relatives à la personne de contact, si.

Voici donc des exemples qui constituent tous des violations de données :

• un e-mail contenant une liste de clients envoyé au mauvais destinataire ;
• une newsletter où tous les destinataires sont visibles dans le champ À ou CC ;
• une clé USB ou un ordinateur portable perdu contenant des données du personnel, s'il n'était pas chiffré ;
• un ransomware qui chiffre la comptabilité client (les données deviennent alors indisponibles, même si rien n'a été copié) ;
• une messagerie piratée contenant des factures avec noms et adresses ;
• un lien partagé vers un dossier de lettres de candidature accessible à tous.

Le terme "violation de la sécurité" montre que cela ne concerne pas uniquement la confidentialité. La perte (les données ont disparu) et l'altération (quelqu'un a modifié des numéros de compte) comptent également.

Qui est responsable : vous ou votre prestataire ?

Le RGPD distingue deux rôles.

• Le responsable du traitement détermine pourquoi et comment les données à caractère personnel sont traitées. Pour les données de vos clients et de votre personnel, c'est vous, en tant qu'entrepreneur.
• Un sous traitant traite des données pour votre compte : votre hébergeur, votre logiciel de comptabilité en ligne, votre service de newsletter, votre prestataire informatique.

Si une violation survient chez un sous traitant, celui ci doit vous en informer sans retard injustifié (article 33, paragraphe 2). C'est ensuite à vous d'évaluer s'il faut notifier la CNIL et informer les personnes concernées, et c'est en principe à vous d'effectuer la notification (sauf si vous avez convenu que le sous traitant le fasse en votre nom). L'obligation reste donc de votre côté, même si l'erreur venait d'un tiers. C'est pourquoi un contrat de sous traitance doit prévoir des accords sur la rapidité et les modalités selon lesquelles un sous traitant vous informe (leçon 7.2).

Le délai de 72 heures

L'article 33 du RGPD indique que vous devez notifier une violation de données sans retard injustifié et, si possible, dans les 72 heures à la CNIL, après en avoir pris connaissance. Exception : il n'est pas probable que la violation entraîne un risque pour les droits et libertés des personnes.

Quatre points sont souvent mal compris :

1. Le délai commence au moment où vous en prenez connaissance, pas au moment où la violation s'est produite. "En prendre connaissance" signifie : vous êtes raisonnablement certain qu'il existe une violation impliquant des données à caractère personnel. Une courte évaluation initiale est permise, mais celui qui évite volontairement de regarder ne retarde pas le point de départ du délai.
2. 72 heures, c'est 72 heures, y compris le week end et les jours fériés. Si vous découvrez une violation le vendredi à 16h40, le délai expire le lundi à 16h40.
3. Une notification incomplète est acceptée. Si vous ne savez pas encore tout après 72 heures, vous notifiez ce que vous savez et vous complétez ensuite. Si vous notifiez après le délai de 72 heures, vous devez justifier ce retard (article 33 du RGPD).
4. Ce qui compte, c'est le risque pour les personnes, pas le préjudice pour votre entreprise.

Découvert :  vendredi   16:40   -> le délai démarre
             samedi              (compte)
             dimanche            (compte)
Au plus tard lundi      16:40   -> notification à la CNIL (éventuellement incomplète)

La notification se fait en principe via le téléservice en ligne de la CNIL. Vous pouvez préparer la notification à l'avance. Vous y indiquez notamment ce qui s'est passé, quand, quelles données et combien de personnes sont concernées, quelles pourraient être les conséquences et quelles mesures vous avez prises. C'est ici que le journal évoqué à la leçon 8.1 vous est utile.

Notifier ou non : l'évaluation du risque

Vous évaluez la probabilité et la gravité des conséquences pour les personnes concernées. Pensez par exemple à : l'usurpation d'identité, le préjudice financier, la discrimination, l'atteinte à la réputation, ou la perte de maîtrise sur leurs données. Quelques questions utiles :

Deux exemples fréquents :

• Ordinateur portable chiffré volé, mot de passe fort, clé non compromise, sauvegarde récente : probablement aucun risque. Pas de notification à la CNIL, mais à consigner dans votre registre.
• Boutique en ligne piratée, l'attaquant a récupéré des adresses e-mail et des mots de passe mal protégés : risque avéré, donc notification nécessaire. Et comme les personnes réutilisent souvent leur mot de passe ailleurs (leçon 1.4), le risque est élevé : il faut informer les personnes concernées.

En cas de doute ? Il est généralement plus sûr de notifier. La CNIL conseille elle aussi de notifier en cas de doute. Vous pourrez transmettre les informations complémentaires ultérieurement via une notification de suivi.

Informer les personnes concernées : en cas de risque élevé

L'article 34 concerne les personnes dont les données sont en cause. Si la violation est susceptible d'entraîner un risque élevé, vous devez les informer dans les meilleurs délais : aussi vite que raisonnablement possible. Aucun délai de 72 heures ne s'applique ici, mais attendre que tout soit totalement élucidé n'est pas non plus souhaitable.

Le message doit indiquer, en langage clair, ce qui s'est passé, quelles sont les conséquences probables, ce que vous faites et ce que les personnes concernées peuvent faire elles mêmes (par exemple modifier leur mot de passe ailleurs, être attentives au phishing se présentant en votre nom, avertir leur banque), ainsi qu'un contact.

Informer les personnes n'est pas nécessaire si vous aviez pris des mesures appropriées rendant les données incompréhensibles (comme un chiffrement solide), si vous avez pris par la suite des mesures faisant que le risque élevé n'est plus probable, ou si cela représenterait des efforts disproportionnés : dans ce cas, vous faites une communication publique (article 34, paragraphe 3).

Attention : le phishing suit souvent une violation de données. Les criminels savent alors qui sont vos clients et leur envoient un e-mail "de votre part". Avertissez aussi vos clients de ce risque.

Le registre des violations : toujours

L'article 33, paragraphe 5, vous oblige à consigner chaque violation de données, même si vous ne la notifiez pas. Consignez : les faits, les conséquences, les mesures prises, ainsi que votre évaluation (pourquoi vous avez notifié ou non, pourquoi vous avez informé ou non les personnes concernées). Vous pouvez choisir librement la forme ; la CNIL propose un modèle de registre. Un simple tableau suffit :

N° | Découvert (date/heure) | Ce qui s'est passé | Quelles données, combien de personnes
   | Conséquences | Mesures prises | CNIL notifiée ? (oui/non + pourquoi, date)
   | Personnes informées ? (oui/non + pourquoi) | Traité (date)

Le registre vous est aussi utile à vous même : si vous constatez trois fois par an "e-mail envoyé au mauvais destinataire", vous savez où il faut s'améliorer (par exemple un délai avant l'envoi, ou ne plus joindre de listes de clients en pièce jointe, leçon 7.3).

Violation de données et transposition de NIS 2 : deux notifications distinctes

Si votre organisation est concernée par la transposition française de NIS 2 (leçon 9.1), une obligation de notification distincte s'applique également pour les incidents importants : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois, via MonEspaceNIS2 (ANSSI). Il s'agit d'une notification différente, avec un objectif différent (la continuité des services) et auprès d'une autre autorité. Une attaque par ransomware peut donc relever des deux à la fois. La plupart des petites entreprises ne sont pas concernées par la transposition française de NIS 2 ; l'obligation de notification du RGPD, elle, s'applique à tous.

Cette leçon donne des explications générales et ne constitue pas un conseil juridique. En cas de doute, consultez le site de la CNIL ou un juriste.

Résumé

• Une violation de données est toute atteinte entraînant la perte, l'altération de données à caractère personnel, ou leur accès par une personne qui n'y est pas autorisée ; cela inclut un e-mail envoyé au mauvais destinataire ou un ordinateur portable non chiffré qui a disparu.
• Notification à la CNIL : sans retard injustifié et si possible dans les 72 heures après la découverte, y compris le week end, sauf s'il n'y a probablement aucun risque. Une notification incomplète est acceptée.
• Informer les personnes concernées : dans les meilleurs délais, s'il existe probablement un risque élevé.
• En cas de violation chez votre sous traitant, celui ci doit vous en informer ; la décision de notifier vous appartient.
• Consignez chaque violation de données dans votre registre, avec votre évaluation.

Quiz

Exercice

Exercice A8.2 : Calculez le délai. On vous donne quatre moments de découverte. Pour chaque moment, indiquez la date et l'heure limites pour la notification à la CNIL. Le programme corrige automatiquement.

Exercice A8.2b : Faut il notifier ou non ? On vous donne huit cas courts. Pour chaque cas, choisissez s'il faut notifier la CNIL, informer les personnes concernées, et le consigner dans votre registre des violations de données. Le programme corrige et donne l'explication pour chaque cas.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Au secours ! Mon site a été piraté. Comment résoudre le problème et comment l'éviter ?
• CNIL, modèle de registre des violations de données : https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
• CNIL, obligation de notification des violations de données : https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
• CNIL, informations générales : https://www.cnil.fr/
• RGPD (Règlement (UE) 2016/679), articles 4, 33 et 34 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
• ANSSI, la directive NIS 2 : https://cyber.gouv.fr/la-directive-nis-2
• S'agit-il d'une fuite de données et dois-je la signaler ?