Est-ce une fuite de données et dois-je la signaler ?
En tant qu'entrepreneur, vous êtes responsable des données personnelles de vos clients et de vos collaborateurs. Dans le RGPD, vous êtes alors désigné comme le responsable du traitement. Vous découvrirez ici ce qu'est une violation de données, quand vous devez la signaler et ce qu'il convient de faire immédiatement. Il s'agit d'une explication générale et non d'un conseil juridique : en cas de doute, consultez le site de l'Autoriteit Persoonsgegevens (AP, l'autorité néerlandaise de protection des données) ou demandez conseil à un juriste.
Qu'est-ce qu'une violation de données ?
Selon le RGPD, le règlement européen sur la protection de la vie privée, il s'agit d'une violation de la sécurité entraînant la perte, la destruction, la modification ou la divulgation non autorisée de données personnelles (article 4, point 12). Les données personnelles sont des informations relatives à une personne identifiable, telles qu'un nom, une adresse e-mail, une adresse postale ou un historique de commandes. Il ne s'agit donc pas uniquement de piratage. Exemples :
- un e-mail ou une pièce jointe contenant des données personnelles envoyé au mauvais destinataire ;
- un ordinateur portable, un téléphone ou une clé USB perdu ou volé, contenant des données personnelles non chiffrées ;
- une boîte e-mail piratée contenant des factures, des devis ou des lettres de candidature ;
- un site web ou une boutique en ligne dont les données clients ont été dérobées ;
- un rançongiciel (ransomware) vous empêchant d'accéder à votre administration clients, même si aucune donnée n'a été copiée.
Les premières étapes
- Arrêtez la fuite. Demandez au mauvais destinataire de supprimer l'e-mail et de vous le confirmer. Modifiez le mot de passe d'une boîte e-mail compromise depuis un appareil de confiance (voir Mots de passe sécurisés et que faire en cas de mot de passe divulgué).
- Faites le point sur ce qui s'est passé. Quelle en est la cause, quand cela a-t-il commencé, de quelles données s'agit-il, combien de personnes sont concernées, qui y a accès et les données étaient-elles chiffrées ? Notez tout, avec la date et l'heure.
- Évaluez le risque pour les personnes concernées par les données (voir ci-dessous).
- Signalez-le à l'AP si nécessaire, dans les 72 heures.
- Informez les personnes concernées si le risque pour elles est élevé.
- Consignez-le dans votre registre des violations de données. Faites-le systématiquement.
Dois-je effectuer une déclaration auprès de l'Autoriteit Persoonsgegevens ?
Vous devez signaler une violation de données sans délai excessif et, si possible, dans les 72 heures suivant sa découverte. Ce n'est pas nécessaire si elle ne présente probablement aucun risque pour les personnes concernées (article 33 du RGPD).
- Le délai démarre dès que vous en avez connaissance, et non au moment où la fuite s'est produite. Le week-end compte : si vous la découvrez le vendredi à 16h40, vous devez la signaler au plus tard le lundi à 16h40.
- Une déclaration incomplète est autorisée. Si vous ne disposez pas encore de toutes les informations après 72 heures, signalez ce que vous savez et complétez la déclaration ultérieurement.
- Uniquement en ligne. Vous effectuez la déclaration via le formulaire de l'AP, et non par téléphone, e-mail ou courrier. Le questionnaire de l'AP vous aide à préparer votre déclaration.
- Vous avez un doute ? L'AP recommande de signaler malgré tout.
Ces questions vous aident à évaluer la situation :
| Question | Risque plus faible | Risque plus élevé |
|---|---|---|
| Quelles données ? | Uniquement des coordonnées professionnelles | Numéro de sécurité sociale (BSN), copie d'une pièce d'identité, coordonnées bancaires, mots de passe, données médicales, données d'enfants |
| Combien de personnes ? | Une seule ou quelques-unes | Beaucoup |
| Lisible par la personne qui les détient ? | Bien chiffrées, la clé n'a pas été divulguée | Lisibles, ou le mot de passe a également été divulgué |
| Qui les détient ? | Un destinataire connu qui confirme les avoir supprimées | Une personne inconnue, un criminel, ou publiées sur Internet |
Un exemple : si un ordinateur portable bien chiffré est volé, il n'y a probablement aucun risque. La déclaration n'est alors pas nécessaire, mais vous devez tout de même la consigner dans votre registre. Sur un ordinateur portable non chiffré, la personne qui le trouve peut tout lire ; il existe alors généralement un risque.
Quand informer les personnes concernées ?
Si la violation présente probablement un risque élevé pour les personnes concernées par les données, vous devez les en informer sans délai (article 34 du RGPD). Expliquez en termes simples ce qui s'est passé, quelles peuvent en être les conséquences, ce que vous faites et ce qu'elles peuvent faire elles-mêmes, comme modifier un mot de passe ou être particulièrement attentives aux tentatives de phishing se faisant passer pour vous.
Ce n'est pas nécessaire si les données étaient rendues illisibles grâce à un chiffrement adéquat, ou si vous avez pris par la suite des mesures rendant le risque élevé peu probable. Si contacter chaque personne demande un effort disproportionné, vous pouvez procéder à une communication publique.
Le registre des violations de données : à tenir systématiquement
Vous consignez chaque violation de données, même si vous ne la signalez pas (article 33, paragraphe 5). Notez les faits, les conséquences, les mesures prises et votre analyse : pourquoi vous avez ou non effectué une déclaration, et pourquoi vous avez ou non informé les personnes concernées. L'AP met à disposition un modèle de registre des violations de données.
Et si la violation provient d'un fournisseur ?
Selon le RGPD, votre hébergeur, votre logiciel de comptabilité dans le cloud ou votre service de newsletter est un sous-traitant : une partie qui traite des données personnelles pour votre compte. Un sous-traitant doit vous informer sans délai excessif s'il découvre une violation de données (article 33, paragraphe 2). C'est ensuite à vous d'évaluer si vous devez effectuer une déclaration, et en principe, c'est également à vous de le faire.
Cela s'applique également lorsque WebOké est votre sous-traitant. Pensez-vous que la violation provient de chez nous, par exemple sur nos serveurs ? Contactez-nous immédiatement via un ticket dans le Centre d'assistance, en précisant ce que vous avez constaté et quand.
Pour aller plus loin
- WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
- Autoriteit Persoonsgegevens : signaler ou non
- Autoriteit Persoonsgegevens : comment signaler une violation de données
- Autoriteit Persoonsgegevens : questionnaire du formulaire de déclaration
- Autoriteit Persoonsgegevens : modèle de registre des violations de données
- Le RGPD, articles 4, 33 et 34 (EUR-Lex)