STARTUPS, QUELLES SONT VOS OBLIGATIONS LORS D’UNE VIOLATION DE DONNEES PERSONNELLES !
Mettre en place des mesures de sécurité est une obligation imposée par le RGPD. Qu’est-ce qu’une violation de données personnelles ? Comment réagir ? Quelles sont mes obligations en tant que responsable du traitement ? Quelles sont mes obligations lorsque ma startup agit en tant que sous-traitant ?
Cet article a pour objectif de vous donner les réflexes à adopter en cas de violation de données personnelles.
1. Qu’est-ce qu’une violation de données personnelles ?
Une violation de données à caractère personnel correspond à toute action, intentionnelle ou non, portant atteinte à la confidentialité, l’intégrité, ou la disponibilité de données à caractère personnel (Article 33 du RGPD).
Exemples : perte d’un document contenant des données personnelles, introduction malveillante dans une base de données.
Une faille de sécurité est une notion plus large qui correspond à une vulnérabilité au sein d’un système informatique (SI) pouvant mettre en danger son intégrité si cette vulnérabilité est exploitée.
Exemples : injection SQL, hameçonnage / phishing, ransomware, …
Les failles de sécurité n’affectent pas toujours des données à caractère personnel et, n’entrainent donc pas toujours une violation de données personnelles. Il convient donc d’analyser les données concernées par la faille de sécurité.
2. Quelles sont vos obligations en tant que Responsable du traitement ?
La startup agissant en tant que responsable du traitement doit respecter les obligations suivantes :
a. Obligation de notification à l’autorité de contrôle
La startup a l’obligation de notifier auprès de l’autorité de contrôle compétente les violations dont les données qu’elles traitent font l’objet, lorsqu’il existe un risque pour les personnes concernées.
Quand ? Obligation de notification à l’autorité de contrôle dans les 72 heures après avoir eu connaissance de la violation de données personnelles.
Warning : Startups qui traitent des données personnelles de personnes physiques situées en France : Lien vers le formulaire de la CNIL : https://notifications.cnil.fr/notifications/index. Ce formulaire de notification de la CNIL requiert que soient précisés les motifs du retard. La CNIL exige un nouveau délai de 72 heures entre la notification initiale et la notification complémentaire.
b. Obligation d’informer les personnes concernées
La startup a l’obligation, lorsqu’il existe un risque élevé pour les droits et libertés des personnes concernées, de communiquer la survenance d’une violation de données auprès de ces personnes concernées.
Quand ? Cette communication aux personnes concernées doit être effectuée dans les meilleurs délais.
Contenu de la communication :
- Description, en des termes clairs et simples, de la nature de la violation de données à caractère personnel ;
- Nom et coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;
- Description des conséquences probables de la violation de données à caractère personnel ;
- Description des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
Il conviendra parfois de faire le tri entre les personnes concernées pour lesquelles une communication s’impose, et celles pour lesquelles, en raison de l’une des exceptions ci-dessous, l’information des personnes concernées n’est pas nécessaire si :
- Des mesures de protection techniques et organisationnelles appropriées ont été prises (ex : chiffrement ou pseudonymisation) ;
- Des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se reproduire ;
- La communication aux personnes concernées nécessite des efforts disproportionnés (dans ce cas il convient de faire une communication publique).
c. Obligation de tenir un registre des violations de données personnelle
Le RGPD impose à la startup de documenter toute violation de données afin de permettre à l’autorité de contrôle d’effectuer un contrôle a posteriori de l’ensemble des violations de données personnelles. La startup doit donc tenir un registre des violations de données à caractère personnel.
Quand ? Il convient de tenir ce registre de manière continue, la startup doit y inscrire toutes les violations de données survenues.
3. Quelles sont vos obligations en tant que sous-traitant ?
Lorsque la startup agit en tant que sous-traitant au sens du RGPD, ses obligations liées aux violations de données ne sont pas les mêmes. En pratique, une startup qui héberge des données personnelles pour le compte d’un responsable de traitement ou qui met à disposition une plateforme SaaS, traite des données personnelles uniquement pour le compte de sociétés Responsable de traitement. La starup qui agit donc en tant que Sous-traitant au sens du RGPD (peu importe sa localisation) devra respecter les obligations qui lui incombent en cas de violation de données personnelles de ses entreprises clientes.
La startup qui agit en tant que Sous-traitant au sens du RGPD a l’obligation d’informer le responsable du traitement des données à caractère personnel concernées qu’une violation de données a eu lieu.
Quand ? informer le responsable de traitement ? Le Sous-traitant a l’obligation d’informer le Responsable du traitement dans les meilleurs délais.
Warning : un délai peut être imposé contractuellement par le Responsable du traitement au Sous-traitant. En effet, lorsque le Responsable du traitement et le Sous-traitant conclus un contrat incluant une clause relative à la protection des données personnelles (article 28 du RGPD), ils peuvent prévoir que le Sous-traitant informe le Responsable de traitement dans un certain délai (par exemple : 48 heures).
4. Nos conseils :
Lorsque la startup agit en tant que Responsable de traitement, il est recommandé de :
- mettre en œuvre une politique de gestion des violations de données à caractère personnel en interne afin notamment de mieux gérer les violations de données et d’être au courant rapidement si une violation de données a lieu.
- compléter une notification initiale auprès de la CNIL qui aura vocation à être complétée « dans les meilleurs délais » par une notification complémentaire.
Lorsque la startup agit en tant que Sous-traitant, il est recommandé de ne pas réaliser de notification à l’autorité de contrôle ou de communication aux personnes concernées pour le compte du Responsable de traitement. Le RGPD n’impose pas à la startup qui agit en tant que Sous-traitant ces obligations.
5. POURQUOI DEVEZ-VOUS ABSOLUMENT RESPECTER CES OBLIGATIONS DU RGPD ?
La sécurité des données est un enjeu extrêmement important qui a un impact sur les relations avec les clients, partenaires et prestataires de la startup.
L’intérêt de respecter ces obligations du RGPD est d’éviter :
- Des sanctions financières qui peuvent atteindre un montant de 20 millions d’euros ou représenter 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, et être rendues publiques ;
- Une publicité de la sanction liée à un défaut de sécurité ou non-notification/ information d’une violation de données personnelles, qui aura des conséquences négatives sur l’image et la réputation de la startup.
Exemple : en France, le Code pénal prévoit des sanctions pénales allant jusqu’à 5 ans d’emprisonnement et 1,5 million € d’amende pour les personnes morales.
Références :
Lignes directrices, recommandations et bonnes pratiques publiées par le Comité Européen de la Protection des Données (CEPD) ;
Lignes directrices du Groupe de travail de l’article 29 (G29) approuvées par le CEPD.
