Quelle est la règle de notification des violations de données en 72 heures au titre du RGPD ?

L’article 4, point 12, du RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. Le CEPD le rappelle : toute violation de données est un incident de sécurité, mais tout incident de sécurité n’est pas une violation de données.

Les lignes directrices 9/2022 du CEPD distinguent trois types de violation, qu’une même violation peut cumuler :

• Violation de la confidentialité : divulgation ou accès non autorisé ou accidentel à des données personnelles.
• Violation de l’intégrité : altération non autorisée ou accidentelle de données personnelles.
• Violation de la disponibilité : perte d’accès ou destruction accidentelle ou non autorisée de données personnelles.

C’est la violation de disponibilité que les équipes oublient le plus souvent. Dans l’exemple du CEPD d’une clé USB perdue contenant des données personnelles non chiffrées, le responsable ne saura peut-être jamais si quelqu’un a lu les données, mais la perte constitue à elle seule une violation de disponibilité et doit être notifiée.

Pour le CEPD, le responsable du traitement a pris connaissance de la violation lorsqu’il a un degré raisonnable de certitude qu’un incident de sécurité s’est produit et a compromis des données personnelles. Après une première alerte, une courte période d’investigation pour établir s’il y a bien violation ne vaut pas prise de connaissance, mais cette investigation doit commencer au plus vite. Une enquête plus approfondie peut suivre la notification.

Lorsqu’un sous-traitant détient les données, l’article 33, paragraphe 2, l’oblige à prévenir le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Le CEPD considère qu’en principe le responsable a pris connaissance de la violation dès que le sous-traitant l’en a informé, et recommande aux sous-traitants d’alerter rapidement puis de compléter l’information par étapes. Le sous-traitant n’évalue pas d’abord le risque : cette évaluation revient au responsable du traitement.

Si la notification parvient à l’autorité après 72 heures, l’article 33, paragraphe 1, exige qu’elle soit accompagnée des motifs du retard.

Selon l’article 33, paragraphe 3, la notification doit au moins :

• décrire la nature de la violation, y compris si possible les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données concernés ;
• indiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact ;
• décrire les conséquences probables de la violation ;
• décrire les mesures prises ou envisagées pour y remédier et en atténuer les éventuelles conséquences négatives.

Elle est adressée à l’autorité de contrôle compétente selon l’article 55. En cas de traitement transfrontalier, le CEPD indique qu’il faut notifier l’autorité de contrôle chef de file, qui n’est pas forcément celle du pays des personnes concernées ni du lieu de la violation. Un responsable du traitement non établi dans l’UE mais soumis au RGPD en vertu de l’article 3, paragraphe 2 ou 3, ne bénéficie pas du guichet unique par son représentant : il doit notifier chaque autorité de contrôle de l’État membre où résident des personnes concernées. Le CEPD a ajouté ce point dans la version 2.0 de ses lignes directrices, adoptée le 28 mars 2023.

L’article 34 s’applique lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. La communication emploie des termes clairs et simples, décrit la nature de la violation et contient au moins le point de contact, les conséquences probables et les mesures prises. Elle n’est pas requise lorsque :

• les données touchées étaient protégées par des mesures qui les rendent incompréhensibles pour toute personne non autorisée à y accéder, comme le chiffrement ;
• des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se matérialiser ;
• elle exigerait des efforts disproportionnés, auquel cas une communication publique ou une mesure similaire tout aussi efficace la remplace.

L’autorité de contrôle peut exiger du responsable qu’il informe les personnes concernées s’il ne l’a pas fait.

D’autres régimes ont leurs propres délais. En Suisse, la nLPD demande d’annoncer au PFPDT dès que possible une violation susceptible d’entraîner un risque élevé (voir la checklist de conformité nLPD), et une entité financière peut aussi devoir notifier un incident majeur lié aux TIC au titre de DORA.