Registre des violations de données (RGPD)

Définition

Le registre des violations de données, prévu par l'article 33 paragraphe 5 du RGPD, est le document que tout responsable de traitement doit tenir pour consigner l'ensemble des violations de données à caractère personnel survenues, qu'elles aient été notifiées ou non à l'autorité de contrôle. Ce registre doit comporter, pour chaque violation, les faits concernant celle-ci, ses effets et les mesures prises pour y remédier, y compris lorsque l'organisation a estimé qu'elle ne présentait pas de risque justifiant une notification, cas dans lequel la justification de cette analyse doit également être documentée et conservée. Ce document permet à l'autorité de contrôle de vérifier, lors d'un contrôle ultérieur, que le responsable de traitement respecte effectivement ses obligations de notification et n'a pas sous-estimé de manière systématique le niveau de risque de ses incidents pour éviter les démarches déclaratives correspondantes. Il constitue également un outil précieux de retour d'expérience interne, permettant d'identifier des tendances récurrentes dans les incidents rencontrés, comme des erreurs d'envoi répétées ou des vulnérabilités techniques persistantes, et d'orienter en conséquence les priorités du plan de traitement des risques. La tenue rigoureuse de ce registre, souvent négligée par les organisations qui ne notifient que les incidents les plus visibles, constitue un point de contrôle systématique lors des audits menés par les autorités de protection des données.