Fuite de données : ne pas laisser s’ouvrir la boîte de Pandore

Fuite de données – Portée de l’obligation de signalement

Toute fuite de données à caractère personnel devra être signalée. C’est l’une des nouveautés instaurées par le règlement général européen sur la protection des données (RGPD) qui préoccupe les entreprises. Quelle est l’ampleur de cette nouvelle obligation ?

Quand parle-t-on d’une fuite de données ?

Tout d’abord, selon le RGPD, une fuite de données est définie comme une violation de la sécurité qui entraîne la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé(e) à des  données à caractère personnel. Cette fuite peut être accidentelle ou malintentionnée. On pense au hacking et plus particulièrement au récent cas de ransomware qui a paralysé les données de nombreuses entreprises à travers le monde. Mais les hypothèses visées par le RGPD ne se limitent pas à cela. L’accès aux dossiers du personnel par un employé non autorisé rentre aussi dans cette définition. Tout comme la simple perte d’une clé usb par un employé.

Dans quels cas devra-t-on notifier une fuite de données ?

La brèche de sécurité devra toujours être signalée à l’Autorité de Protection des données. Ainsi qu’aux personnes dont l’entreprise traite les données. A moins que l’entreprise soit en mesure de démontrer que la fuite de sécurité ne crée aucun risque pour les droits et libertés de ces personnes. Pour démontrer l’absence de risque, les entreprises devront par exemple prouver qu’elles ont mis en œuvre des mesures de protection telles que le chiffrement des données.

Dans quel délai ?

La notification devra être effectuée dans les 72 heures de la prise de connaissance de la fuite de données. Or, les heures qui suivent une fuite de données seront cruciales! Les entreprises devront tout à la fois tenter de préserver la continuité de leur activité, gérer la brèche de sécurité et donc leur réputation. Mais également penser à documenter la façon dont elles s’y prennent. Et enfin, notifier la fuite si nécessaire à l’Autorité de Protection des données et aux personnes dont elles traitent les données.

Préparation en amont

Les entreprises qui ne seront pas préparées seront donc bien en peine de garder une trace des actions prises dans la panique. Et, a fortiori, de démontrer dans les 72 heures qu’aucun risque n’existe pour les personnes concernées. Et ce afin d’éviter de devoir notifier la fuite de données subie.

Sanctions ?

Or, depuis le 25 mai 2018, ne pas se plier à cette notification exposera les entreprises à une amende administrative. Celle-ci pourra s’élever jusqu’à 10 000 000 EUR ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent du groupe auquel l’entreprise appartient! Le montant le plus élevé étant retenu. Une amende pourra aussi être infligée si la fuite est notifiée trop tard ou de façon incomplète.

Autres conséquences possibles ?

Par ailleurs, l’intégralité de la façon dont une entreprise gère les données pourra faire l’objet d’un contrôle de l’Autorité de Protection des données. Les irrégularités éventuelles remonteront donc à la surface. Elles pourront donner lieu à des amendes administratives. Et ce même si la fuite de données en elle-même a bien été gérée.

Enfin, les personnes dont les données auront été révélées au public pourront réclamer l’indemnisation de leur préjudice. Une class action est même envisageable.

Pandora box

Comme pour la boîte de Pandore, les conséquences potentielles d’une fuite de données sont multiples et peu souhaitables. Veillons donc ne pas laisser les données s’échapper !