Gérer une violation de données personnelles

Une violation de données, c'est une perte, une divulgation, une modification ou un accès non autorisé à des données personnelles : un ordinateur portable volé, un courriel envoyé au mauvais destinataire, un rançongiciel, une base exposée sur Internet. Le RGPD impose de les inscrire toutes dans un registre (article 33.5), même celles qui ne sont pas notifiées, et, sauf risque improbable, de notifier l'autorité de contrôle dans les 72 heures qui suivent leur découverte.

Le registre se trouve dans Protection des données › Violations de données. Il est réservé aux délégués à la protection des données et aux administrateurs.

Enregistrer la violation

1. Cliquez sur Nouvelle violation.
2. Donnez un titre et indiquez votre rôle : responsable du traitement (les données sont les vôtres) ou sous-traitant (vous traitez les données d'un client).
3. Renseignez la prise de connaissance : le moment où vous avez eu une certitude raisonnable qu'une violation a eu lieu. C'est le point de départ des 72 heures.
4. Décrivez ce que vous savez : nature (confidentialité, intégrité, disponibilité), ce qui s'est passé, personnes et données concernées avec leur nombre approximatif, conséquences probables, mesures prises. Vous complèterez plus tard.
5. Reliez si besoin l'incident majeur, les tickets, les actifs touchés et les activités du registre des traitements.

Depuis un incident : sur la fiche d'un ticket, le bouton Ouvrir une violation de données ouvre une fiche déjà reliée au ticket, avec son numéro et son titre. Sur la fiche d'un incident majeur, l'encart Violation de données fait de même et liste les violations déjà ouvertes depuis cet incident. Ce bouton et cet encart ne s'affichent que pour les délégués et les administrateurs.

Dès l'enregistrement, la fiche affiche l'échéance des 72 heures et le temps restant. Les délégués reçoivent un avis, puis une alerte quand il reste moins de 24 heures, moins de 6 heures, et quand l'échéance est dépassée.

Évaluer le risque

Dans Évaluation du risque, choisissez risque improbable, risque ou risque élevé, et écrivez votre raisonnement : nature et volume des données, facilité d'identification des personnes, personnes vulnérables, données chiffrées ou non. Ce raisonnement est gardé : l'autorité peut le demander, même pour une violation non notifiée.

• Risque improbable : pas de notification. La violation reste au registre.
• Risque : notification à l'autorité.
• Risque élevé : notification à l'autorité et communication aux personnes concernées.

Notifier l'autorité

1. Téléchargez la fiche PDF : elle reprend tout ce que l'article 33.3 demande (nature, catégories et nombres, contact du délégué, conséquences, mesures).
2. Déposez la notification auprès de l'autorité de votre pays.
3. Revenez sur la fiche et enregistrez la notification à l'autorité : date, autorité, référence du dépôt, accusé de dépôt en pièce jointe.

Au-delà de 72 heures, indiquez d'abord les motifs du retard dans le constat : la notification ne s'enregistre pas sans eux.

Si vous n'aviez pas tout au moment du dépôt, ajoutez un complément de notification à chaque nouvelle information.

Vous êtes sous-traitant ? Vous ne notifiez pas l'autorité : prévenez chaque client concerné sans retard, et enregistrez un avis par client. C'est lui qui évalue le risque et notifie.

Informer les personnes concernées

En cas de risque élevé, dans Communication aux personnes, enregistrez votre décision :

• Individuelle : collez les adresses des personnes (une par ligne) et cliquez sur Envoyer. Chacune reçoit son propre courriel (modèle « Protection des données - Communication d'une violation », que vous pouvez adapter). Seul le nombre d'envois est gardé. Une communication faite par courrier s'enregistre avec sa preuve.
• Publique : quand prévenir chacun demanderait un effort disproportionné, enregistrez la communication publique faite (communiqué, page du site) avec sa preuve.
• Exception : les données étaient inintelligibles (chiffrement solide, clé non compromise) ou des mesures prises depuis rendent le risque élevé improbable. Justifiez-la.

Clore la fiche

Clore la fiche n'est possible qu'une fois tout fait : risque évalué, autorité notifiée (sauf risque improbable), motifs du retard le cas échéant, clients prévenus (sous-traitant), communication faite ou exception justifiée (risque élevé). La fiche liste ce qui manque.

Une fiche close reste au registre, dans l'onglet Toutes. Elle peut être rouverte avec un motif si un fait nouveau apparaît.