Violations de données personnelles : les règles à suivre

L’article 4.12) du RGPD définit une violation de données à caractère personnel comme  

Il s’agit de tout incident de sécurité, d’origine malveillante ou non et se produisant de manière intentionnelle ou non, ayant comme conséquence de compromettre l’intégrité, la confidentialité ou la disponibilité de données personnelles.

Les obligations des responsables du traitement concernant les violations de données personnelles, et notamment leur notification à la CNIL et aux personnes concernées, sont définies aux articles 33 et 34 du RGPD.

Tous les organismes, publics comme privés et quelle que soit leur taille, sont soumis à ces obligations dès lors qu’ils traitent des données personnelles et qu’ils ont connaissance d’une violation de données personnelles. Elles ne sont plus réservées, comme avant le RGPD, aux seuls fournisseurs de services de communication électronique.

Les sous-traitants, qui traitent des données personnelles pour le compte d’un organisme responsable du traitement, ont également des obligations en matière de violation : ils doivent en particulier alerter l’organisme de tout incident de sécurité dans les meilleurs délais afin qu’ils puissent remplir ses obligations.

Ces obligations sont variables en fonction du risque soulevé par les violations : toutes les violations ne doivent pas nécessairement être notifiées à l’autorité de contrôle ou aux personnes concernées. Lorsqu’elle est nécessaire, cette information des personnes concernées doit en revanche être la priorité du responsable du traitement, car cela leur permet de prendre des mesures destinées à les protéger de ces risques.

Ainsi, l’obligation de notifier dépend du risque que la violation de données personnelles fait peser sur les droits et libertés des individus dont les données ont été impactées :

Si la violation n’entraîne pas de risque pour les droits et libertés des personnes concernées, le responsable du traitement :

• doit documenter, en interne sous forme d’un registre, la violation qui vient de se produire ;
• ne doit pas notifier cette violation ni à la CNIL, qui peut en revanche contrôler cette documentation interne, ni aux personnes concernées.

Si la violation entraîne un risque pour les droits et libertés des personnes concernées, le responsable du traitement :

• doit documenter, en interne sous forme d’un registre, la violation qui vient de se produire ;
• doit notifier cette violation à la CNIL, au plus tôt et dans un délai maximal de 72h.

Si la violation entraîne un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement :  

• doit documenter, en interne sous forme d’un registre, la violation qui vient de se produire ;
• doit notifier cette violation à la CNIL, au plus tôt et dans un délai maximal de 72h ;
• doit communiquer la violation aux personnes concernées, au plus tôt.

Oui : en cas de violation entraînant un risque élevé, des exceptions à l’obligation d’information des personnes sont prévues. Il s’agit des cas suivants :

• les données à caractère personnel affectées par la violation en cause sont protégées par des mesures de protection techniques et organisationnelles appropriées et sont ainsi incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès

• le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes n'est plus susceptible de se matérialiser

• la communication de la violation aux personnes concernées exigerait des efforts disproportionnés

Attention : dans ce cas, une communication publique, ou une mesure similaire permettant aux personnes concernées d'être informées de manière aussi efficace, doit être réalisée.

La notification  s’effectue par le biais d’un téléservice sécurisé dédié, qui guide le déclarant dans sa démarche.

Elle doit contenir a minima les éléments suivants :

• la nature de la violation ;
• les catégories et le nombre approximatif des personnes concernées ;
• les catégories et le nombre approximatif d'enregistrements concernés ;
• les conséquences probables de la violation ;
• les coordonnées de la personne à contacter (DPO ou autre) ;
• les mesures prises pour remédier à la violation et, le cas échéant, pour limiter les conséquences négatives de la violation.

La notification doit intervenir dans les meilleurs délais et au plus tard 72h après que le responsable du traitement en a pris connaissance.

En pratique, le point de départ de ce délai est lorsque le responsable du traitement a un degré de certitude raisonnable qu’un incident a eu lieu et a touché des données personnelles. Cela implique qu’il ait mis en place des mesures de détection des violations et qu’il mène au plus tôt des investigations permettant d’atteindre une telle certitude raisonnable. Durant cette phase d’investigation, le responsable du traitement n’est pas considéré comme ayant connaissance de la violation.

Il importe bien entendu de s’assurer, au besoin par des premières investigations, qu’une violation a bien eu lieu et d’en déterminer le niveau de gravité. La nature et la source de l’incident doivent donc être présumés ou établis avant de notifier la violation à la CNIL.

En revanche, si le responsable du traitement ne dispose pas de l’ensemble des informations qui doivent être portées à la connaissance de l’autorité de contrôle, ces informations peuvent être communiquées de manière échelonnée.

En pratique, il doit effectuer au plus vite une notification initiale à la CNIL, par le biais du téléservice mis à disposition à cet effet, qu’il complétera par la suite à l’aide d’une notification complémentaire. Cela lui permettra de procéder aux investigations complémentaires nécessaires au recensement de l’ensemble des informations. Cette notification complémentaire doit intervenir si possible dans un délai maximal de 72h.

Le responsable du traitement doit néanmoins notifier la violation entraînant un risque pour les droits et libertés des personnes. Si ce délai est dépassé, les raisons justifiant du retard de notification doivent être indiquées à la CNIL.

En pratique, il sera demandé au responsable du traitement, directement dans le téléservice de notification, de justifier des motifs de ce délai.

Le sous-traitant doit notifier au responsable du traitement toute violation de données dans les meilleurs délais après en avoir pris connaissance. Cela permet au responsable du traitement de respecter ses différentes obligations en matière de violation de données.

En pratique, il est conseillé de prévoir dans le contrat qui lie le sous-traitant au responsable du traitement une obligation en ce sens à la charge du sous-traitant.

Oui. Le responsable du traitement peut demander au sous-traitant d’agir en son nom afin que ce dernier notifie la violation à l’autorité de contrôle, si le responsable du traitement estime que la violation en cause est susceptible de présenter un risque pour les personnes concernées.

Cela n’écarte donc ni l’obligation faite au sous-traitant d’informer le responsable du traitement de toute violation de données, ni les obligations propres au responsable du traitement : ce dernier doit mettre à jour son registre des violations et rester maitre de la décision de notifier ou non à l’autorité de contrôle (en fonction du niveau de risque estimé).

Cette appréciation doit être faite au cas par cas par le responsable du traitement et doit tenir compte des éléments suivant :

• le type de violation (affectant l’intégrité, la confidentialité ou la disponibilité des données) ;
• la nature, la sensibilité et le volume des données personnelles concernées ;
• la facilité d’identifier les personnes touchées par la violation ;
• les conséquences possibles de celles-ci pour les personnes ;
• les caractéristiques de ces personnes (enfants, personnes vulnérables, etc.) ;
• le volume de personnes concernées ;
• les caractéristiques du responsable du traitement (nature, rôle, activités).

La CNIL exerce deux missions principales en matière de violation de données :

• un rôle d’accompagnement des responsables du traitement : la notification à l’autorité de contrôle a notamment pour but de permettre aux RT de recueillir les éventuels conseils et observations de la CNIL s’agissant des mesures de sécurité à mettre en œuvre pour mettre fin à la violation ou pour minimiser ses effets ; elle permet également de vérifier si une information des personnes est nécessaire et, dans ce cas, d’obtenir des recommandations sur les modalités de cette information

• un rôle de contrôle du respect des obligations des responsables du traitement : la CNIL peut contrôler le respect de l’ensemble de ces obligations (inscription au registre, vérification du niveau de risque, respect des délais et du contenu des notifications, etc.) et, le cas échéant, sanctionner les organismes concernés. Elle peut également ordonner au responsable du traitement de communiquer une violation de données aux personnes concernées, si cela lui apparaît nécessaire.

Dans les deux cas, l’examen de la CNIL est susceptible de porter, au-delà de la seule violation en cause, sur le niveau de sécurité générale du traitement que la violation peut révéler.