Violation de Données RGPD Notification

conformite

Définition

La violation de données personnelles (en anglais Data Breach) est définie par le RGPD (article 4 §12) comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données. Cette définition couvre donc non seulement les violations de confidentialité (accès non autorisé) mais aussi les violations de disponibilité (destruction, perte) et d'intégrité (altération) des données personnelles. Le RGPD impose deux obligations de notification en cas de violation de données. La première est la notification à l'autorité de contrôle (article 33 RGPD) : dans les 72 heures suivant la prise de connaissance de la violation, le responsable du traitement doit notifier la CNIL (en France), sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Cette notification doit contenir : la nature de la violation, les catégories et nombre de personnes concernées, les catégories et nombre d'enregistrements touchés, les coordonnées du DPO, les conséquences probables, et les mesures prises ou envisagées pour remédier à la violation. La deuxième est la communication aux personnes concernées (article 34 RGPD) : lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement doit en informer les personnes concernées dans les meilleurs délais. Cette communication doit décrire la nature de la violation, les coordonnées du DPO, les conséquences probables, et les mesures prises. Des exceptions à cette communication existent lorsque les données étaient chiffrées, ou lorsqu'une communication publique serait moins disproportionnée. La CNIL publie annuellement ses statistiques de violations de données notifiées : en 2023, plus de 4000 violations ont été notifiées à la CNIL, dont une majorité liée à des cyberattaques (ransomwares, intrusions) et des violations accidentelles (envois d'emails à de mauvais destinataires, erreurs de configuration). Le délai de 72 heures est un défi opérationnel majeur : les organisations doivent avoir des procédures de détection, de qualification et de notification bien rodées pour respecter ce délai en cas d'incident.

Définition et types de violations (art. 4 §12 RGPD)

Une violation de données personnelles couvre trois types de violations : confidentialité (accès non autorisé aux données — divulgation à des tiers non autorisés, piratage), intégrité (modification non autorisée des données — altération malveillante), et disponibilité (perte ou destruction des données — suppression accidentelle, attaque ransomware rendant les données inaccessibles). Ces trois types doivent être considérés lors de l'évaluation d'un incident pour déterminer si une violation de données est constituée.

Tous les incidents de sécurité ne constituent pas une violation de données personnelles au sens du RGPD : il faut que des données personnelles soient affectées. Un incident affectant uniquement des données techniques (logs système sans données personnelles) n'est pas une violation au sens du RGPD, même si c'est un incident de sécurité devant être géré selon NIS2.

Processus de notification 72h à la CNIL

Le délai de 72h commence à partir du moment où le responsable du traitement « a connaissance » de la violation. Ce moment est souvent difficile à déterminer précisément : il correspond typiquement à la confirmation interne qu'une violation est probable (pas à la certitude totale). Les organisations doivent définir dans leurs procédures internes ce que signifie « avoir connaissance » pour éviter les discussions lors d'un contrôle CNIL.

La notification peut être soumise par phases : une notification initiale dans les 72h (même incomplète, avec indication que les informations seront complétées) puis des mises à jour à mesure que l'investigation progresse. La CNIL dispose d'un portail en ligne (Notifications RGPD) permettant de soumettre et de mettre à jour les notifications de violations.

Évaluation du risque et communication aux personnes

L'obligation de communiquer aux personnes concernées dépend du niveau de risque évalué : risque non significatif → documentation interne uniquement, pas de notification ; risque significatif → notification CNIL ; risque élevé → notification CNIL + communication aux personnes. L'évaluation du risque prend en compte : la sensibilité des données exposées, le nombre de personnes concernées, les conséquences potentielles pour les personnes (préjudice financier, atteinte à la réputation, discrimination).

En pratique, les violations impliquant des données de santé, des données financières, des données de mineurs, ou permettant l'usurpation d'identité sont généralement considérées comme présentant un risque élevé, déclenchant la communication aux personnes. La communication doit être rédigée en langage clair, sans jargon technique, et proposer des mesures concrètes que les personnes peuvent prendre pour se protéger.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis