Violation de données personnelles
Une violation de données personnelles est un incident de sécurité qui entraîne la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données.
La définition du RGPD couvre les incidents accidentels comme les actes malveillants : un courriel envoyé au mauvais destinataire, un ordinateur portable perdu, une base exposée par erreur de configuration ou une attaque par rançongiciel sont des violations dès lors que des données personnelles sont touchées.
Le responsable du traitement doit notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle est improbable d'engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, il doit aussi en informer les personnes concernées dans les meilleurs délais. Le sous-traitant, lui, alerte le responsable du traitement sans délai.
Toute violation, notifiée ou non, doit être consignée dans un registre interne qui décrit les faits, leurs effets et les mesures prises. C'est souvent le premier document que demande l'autorité lors d'un contrôle.
Dans le secteur financier, un même incident peut déclencher plusieurs notifications aux délais différents : à la CNIL au titre du RGPD, au superviseur au titre du règlement DORA pour un incident lié aux technologies de l'information jugé majeur, et à l'ANSSI au titre de la directive NIS 2 pour les entités concernées. Une procédure unique qui prévoit les trois évite d'en oublier une.
Aussi appelé : violation de données, fuite de données, data breach, notification de violation.
Sources officielles
Voir aussi
Définition maintenue par la rédaction de GRACES.community. Elle donne des repères ; elle ne remplace ni le texte applicable, ni un conseil juridique.
Suivre l'actualité de la conformité
GRACES publie chaque jour la veille réglementaire de la communauté GRC, et réunit ses offres d'emploi.