Notification des violations et analyses d’impact

Une violation de données à caractère personnel est un incident de sécurité entraînant une destruction, perte, altération, divulgation ou un accès non autorisé aux données à caractère personnel, de manière accidentelle ou illicite.

Il ne s’agit pas uniquement d’un piratage. Un ordinateur portable perdu, un e-mail envoyé à la mauvaise adresse, un rançongiciel qui chiffre les données à caractère personnel (et en fait perdre la disponibilité) ou un compartiment S3 exposé relèvent tous de cette définition.

Les violations correspondent aux trois piliers de la sécurité :

• Violation de la confidentialité : divulgation ou accès non autorisé
• Violation de l’intégrité : altération non autorisée
• Violation de la disponibilité : perte ou destruction, par exemple à cause d’un rançongiciel

Ne pas reconnaître qu’une perte de disponibilité constitue aussi une violation devant être signalée est un angle mort courant.

Dans le cadre du GDPR, un responsable du traitement doit notifier à l’autorité de contrôle une violation devant être notifiée sans retard injustifié et dans les 72 heures après en avoir pris connaissance, lorsque cela est possible.

La KVKK exige de notifier le Conseil de la KVKK dans les meilleurs délais (le Conseil a fixé des délais courts). Le délai commence dès la prise de connaissance ; la rapidité de la détection et de l’évaluation initiale est donc essentielle.

Toutes les violations ne doivent pas être signalées à l’autorité de contrôle. Le GDPR établit cette obligation en fonction du risque pour les personnes :

• Notifier l’autorité, sauf si la violation n’est probablement pas susceptible d’engendrer un risque pour les droits et libertés
• Informer les personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé

Un chiffrement robuste des données exposées peut réduire le risque et supprimer l’obligation d’informer les personnes.

Une notification de violation adressée à l’autorité de contrôle doit décrire :

• La nature de la violation ainsi que les catégories et le nombre approximatif de personnes et d’enregistrements concernés
• Les conséquences probables
• Les mesures prises ou proposées pour y remédier et limiter les préjudices
• Le point de contact (DPO ou équivalent)

Si tous les détails ne sont pas encore disponibles, fournissez-les par étapes plutôt que de dépasser le délai.

Un processus efficace de réponse aux violations est répété à l’avance :

• Détecter et contenir
• Évaluer la portée et le risque pour les personnes
• Notifier l’autorité de contrôle et, en cas de risque élevé, les personnes concernées
• Corriger la cause première
• Documenter tout dans un registre des violations

Même les violations qui ne doivent pas être notifiées doivent être journalisées en interne conformément au principe de responsabilisation du GDPR.

Lorsque les personnes doivent être informées, la communication doit employer un langage clair et simple : ce qui s’est passé, les données concernées, les conséquences probables, les mesures que vous prenez et ce qu’elles doivent faire (par exemple, réinitialiser leurs mots de passe ou se méfier de l’hameçonnage).

Évitez de minimiser l’incident. Une notification transparente et rapide préserve la confiance ; les dissimulations multiplient les dommages réglementaires et réputationnels.

Une analyse d’impact relative à la protection des données (DPIA) est un processus structuré visant à identifier et à réduire les risques pour la vie privée avant de commencer un traitement à haut risque.

Elle intègre la protection de la vie privée dès les premières étapes : au lieu de réagir aux violations, vous évaluez et réduisez les risques dès la conception. La KVKK prévoit également une évaluation des risques comparable.

Le GDPR impose une DPIA lorsque le traitement est susceptible d’engendrer un risque élevé, notamment dans les cas suivants :

• Profilage systématique et à grande échelle ayant des effets importants
• Traitement à grande échelle de données appartenant à des catégories particulières
• Surveillance systématique d’une zone accessible au public
• Nouvelles technologies dont l’impact est incertain (par exemple, intelligence artificielle ou biométrie)

Une DPIA comprend généralement les éléments suivants :

• Décrire le traitement et sa finalité
• Évaluer la nécessité et la proportionnalité
• Identifier les risques pour les personnes
• Définir des mesures d’atténuation (minimisation, chiffrement, contrôle des accès)

Si un risque résiduel élevé subsiste après la mise en œuvre des mesures d’atténuation, le responsable du traitement doit consulter l’autorité de contrôle avant de poursuivre.

Lorsqu'un sous-traitant est victime d'une violation, il doit en informer le responsable du traitement sans retard injustifié, car seul le responsable du traitement signale l'incident à l'autorité de contrôle et est soumis au délai de 72 heures.

Les contrats (la DPA) doivent prévoir une notification rapide des violations par les sous-traitants. Un fournisseur lent peut consommer l'intégralité du délai de notification du responsable du traitement ; la surveillance et les accords contractuels de niveau de service sont donc importants.

Vous avez terminé le volet consacré à la réponse aux violations et à l'évaluation des risques :

• Une violation peut concerner la perte de confidentialité, d'intégrité ou de disponibilité
• Le délai de notification de 72 heures prévu par le GDPR commence dès que la violation est connue
• Informez les personnes concernées lorsque le risque est élevé ; le chiffrement peut réduire les obligations
• Appliquez un processus répété et éprouvé : détecter-contenir-évaluer-notifier-rétablir-documenter
• Les analyses d'impact relatives à la protection des données évaluent les traitements à haut risque et permettent de les atténuer avant leur début

Vous pouvez désormais répondre aux incidents et gérer de manière proactive les risques liés à la protection de la vie privée.