Violation de données : quand signaler, quand non, dans les 72 heures
Tous les incidents ne sont pas des violations de données. Toutes les violations ne doivent pas être signalées à l'autorité. Voici l'arbre de décision et un modèle de notification prêt à l'emploi.
Une violation de données (breach) est une atteinte à la sécurité entraînant la destruction, la perte, la modification, la divulgation ou l'accès non autorisé à des données personnelles. Quand faut-il la signaler ?
Arbre de décision
- S'agit-il d'une violation de données ? En cas de doute : oui.
- Risque pour les personnes concernées ? Données rendues publiques ? Préjudice financier possible ? Risque de vol d'identité ?
- Risque faible (ex. appareil chiffré perdu) : pas de notification à l'autorité, mais enregistrement interne obligatoire dans le journal des incidents.
- Risque significatif : notification à l'autorité de protection des données dans les 72 heures.
- Risque élevé pour les personnes concernées : informer également les personnes concernées directement.
Que signaler ?
- La nature de la violation.
- Les catégories et le nombre de personnes concernées.
- Les catégories et le nombre de données personnelles impliquées.
- Les conséquences de la violation.
- Les mesures prises ou envisagées.
- Les coordonnées du DPO ou du point de contact.
Le compte à rebours de 72 heures
Le délai court à partir du moment où vous avez eu connaissance de la violation — et non à partir du moment où elle s'est produite. Le week-end est inclus. Une notification partielle est possible, avec complément ultérieur.
Où signaler ?
autoriteitpersoonsgegevens.nl — formulaire de notification en ligne des violations de données. Conservez une copie.
Que faire au sein de l'organisation ?
- Mobiliser l'équipe : responsable sécurité, direction, communication.
- Enquêter : que s'est-il passé exactement ?
- Confinement : colmater la brèche.
- Documentation forensique : preuves pour l'enquête.
- Préparer la communication : interne, externe, médias.
Voir aussi : mettre en place un journal des incidents, réponse aux incidents.
Volledige gids: Cumplimiento GDPR para pymes: el mínimo práctico
Dit artikel is onderdeel van onze uitgebreide AVG & privacy-gids. Lees de pillar voor het complete plaatje.
Lees de pillar →