STARTUPS, QUELLES SONT VOS OBLIGATIONS LORS D’UNE VIOLATION DE DONNEES PERSONNELLES !
Mettre en place des mesures de sécurité est une obligation imposée par le RGPD. Qu’est-ce qu’une violation de données personnelles ? Comment réagir ? Quelles sont mes obligations en tant que responsable du traitement ? Quelles sont mes obligations lorsque ma startup agit en tant que sous-traitant ?
Cet article a pour objectif de vous donner les réflexes à adopter en cas de violation de données personnelles.
1. Qu’est-ce qu’une violation de données personnelles ?
Une violation de données à caractère personnel correspond à toute action, intentionnelle ou non, portant atteinte à la confidentialité, l’intégrité, ou la disponibilité de données à caractère personnel (Article 33 du RGPD).
Exemples : perte d’un document contenant des données personnelles, introduction malveillante dans une base de données.
Une faille de sécurité est une notion plus large qui correspond à une vulnérabilité au sein d’un système informatique (SI) pouvant mettre en danger son intégrité si cette vulnérabilité est exploitée.
Exemples : injection SQL, hameçonnage / phishing, ransomware, …
Les failles de sécurité n’affectent pas toujours des données à caractère personnel et, n’entrainent donc pas toujours une violation de données personnelles. Il convient donc d’analyser les données concernées par la faille de sécurité.
2. Quelles sont vos obligations en tant que Responsable du traitement ?
La startup agissant en tant que responsable du traitement doit respecter les obligations suivantes :
a. Obligation de notification à l’autorité de contrôle
La startup a l’obligation de notifier auprès de l’autorité de contrôle compétente les violations dont les données qu’elles traitent font l’objet, lorsqu’il existe un risque pour les personnes concernées.
Quand ? Obligation de notification à l’autorité de contrôle dans les 72 heures après avoir eu connaissance de la violation de données personnelles.
Warning : Startups qui traitent des données personnelles de personnes physiques situées en France : Lien vers le formulaire de la CNIL : https://notifications.cnil.fr/notifications/index. Ce formulaire de notification de la CNIL requiert que soient précisés les motifs du retard. La CNIL exige un nouveau délai de 72 heures entre la notification initiale et la notification complémentaire.
b. Obligation d’informer les personnes concernées
La startup a l’obligation, lorsqu’il existe un risque élevé pour les droits et libertés des personnes concernées, de communiquer la survenance d’une violation de données auprès de ces personnes concernées.
Quand ? Cette communication aux personnes concernées doit être effectuée dans les meilleurs délais.
Contenu de la communication :
- Description, en des termes clairs et simples, de la nature de la violation de données à caractère personnel ;
- Nom et coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;
- Description des conséquences probables de la violation de données à caractère personnel ;
- Description des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
Il conviendra parfois de faire le tri entre les personnes concernées pour lesquelles une communication s’impose, et celles pour lesquelles, en raison de l’une des exceptions ci-dessous, l’information des personnes concernées n’est pas nécessaire si :
- Des mesures de protection techniques et organisationnelles appropriées ont été prises (ex : chiffrement ou pseudonymisation) ;
- Des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se reproduire ;
- La communication aux personnes concernées nécessite des efforts disproportionnés (dans ce cas il convient de faire une communication publique).
c. Obligation de tenir un registre des violations de données personnelle
Le RGPD impose à la startup de documenter toute violation de données afin de permettre à l’autorité de contrôle d’effectuer un contrôle a posteriori de l’ensemble des violations de données personnelles. La startup doit donc tenir un registre des violations de données à caractère personnel.
Quand ? Il convient de tenir ce registre de manière continue, la startup doit y inscrire toutes les violations de données survenues.
