Violations de données : le guide de bonnes pratiques

Selon le RGPD et son article 4.12, la violation de données est définie comme telle :

• ”Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.”

Ainsi, la violation de données personnelles peut alors concerner toutes structures, privées comme publiques, peu importe leur taille ou leur domaine d’activité dès lors qu’elles traitent ou conservent des données personnelles.

Lors d’une violation de données, quelques bonnes pratiques peuvent être mises en place. En premier lieu, il faudra se rapprocher du service en question afin de savoir si la violation est bien établie et quelles sont les informations qui sont concernées.
Une fois cela réalisé, il vous est alors possible de :

• modifier vos mots de passe
• ajouter une double authentification si ce n’est pas déjà le cas
• prévenir son établissement bancaire si les coordonnées étaient enregistrées
• signaler les comptes et les réseaux qui divulguent vos informations personnelles et demandez en la suppression
• demander une suppression des données sur les moteurs de recherches les plus courants
• déposer une plainte si une utilisation frauduleuse de vos informations est constatée

En cas de constatation d’une violation de données, le responsable de traitement devra évaluer le risque et son niveau de gravité notamment. 3 niveaux sont possibles à savoir, aucun risque, présence d’un risque ou présence d’un risque élevé. Selon cette information, les obligations en termes de RGPD pourront différer. Il faudra alors apporter toute preuve possible dans le registre de violation de la société. La CNIL devra être informée sous 72 heures maximum en cas de présence de risque. Enfin, il faudra également prévenir les personnes concernées par cette violation.

En cas de violation de données avérée et donc, avec présence de risque ou présence de risque élevé, la CNIL doit être informée. Dès lors, le signalement devra comporter un certain nombre d’informations comme le type de violation, les conséquences de la violation, le nombre de personnes concernées et leurs caractéristiques, le nombre de fichiers concernés, les coordonnées du responsable de traitement de l’entreprise ainsi que les actions correctrices prises pour remédier à ce problème.