Notification de violation PII par le sous-traitant cloud (ISO 27018)

Définition

La notification de violation PII par le sous-traitant cloud, exigence prévue par la norme ISO 27018, impose au fournisseur d'un service cloud public traitant des données à caractère personnel pour le compte d'un client de l'informer sans délai indu dès qu'il a connaissance d'un incident affectant la sécurité de ces données, afin que le client, agissant comme responsable de traitement au sens du RGPD, puisse à son tour respecter ses propres obligations de notification à l'autorité de contrôle dans le délai de soixante-douze heures prévu par l'article 33 du règlement. Cette exigence de célérité constitue un point de tension fréquent dans la pratique, le délai global disponible pour le responsable de traitement étant mécaniquement réduit par le temps nécessaire au fournisseur cloud pour détecter, qualifier et transmettre l'information relative à l'incident survenu sur son infrastructure. La norme recommande que le fournisseur précise contractuellement les modalités concrètes de cette notification, incluant le contenu minimal attendu, comme la nature de la violation, les catégories de données concernées et les mesures correctives déjà engagées, ainsi que le canal de communication dédié à utiliser en cas d'urgence. Pour les responsables de traitement s'appuyant sur des services cloud pour des traitements sensibles, la vérification de l'existence d'un engagement contractuel clair sur ce point constitue un élément de diligence essentiel lors de la sélection du fournisseur.