Un e-mail envoyé au mauvais destinataire est-il une violation de données ?

Un e-mail envoyé par erreur peut être une violation de données

Un e-mail adressé au mauvais destinataire entre dans la définition d'une violation de données telle que le RGPD la définit : il y a alors violation de la sécurité entraînant une consultation non autorisée de données à caractère personnel par une personne qui n'y a pas droit. Qu'il s'agisse d'un CV, d'une facture comportant une adresse ou d'un mémo interne avec des noms — dès que des données à caractère personnel arrivent entre les mains d'une mauvaise personne, la qualification de « violation de données » est en principe applicable.

Le fait qu'il y ait une violation de données ne signifie pas automatiquement qu'elle doit être signalée. L'article 33 du RGPD lie l'obligation de notification à l'autorité de contrôle au risque que la violation présente pour les droits et libertés de la personne concernée : à quel point les données sont sensibles, combien de personnes sont touchées, et l'e-mail a-t-il été récupéré ou n'a-t-il pas été ouvert. Un e-mail envoyé par erreur contenant uniquement un nom et une heure de rendez-vous a un poids différent d'un e-mail contenant des données financières ou des informations de santé adressé à un grand groupe de destinataires erronés. L'organisation qui a commis l'erreur effectue elle-même cette évaluation des risques et décide elle-même si elle signale.

Ceci découle de l'article 33 du RGPD

La définition d'une violation de la sécurité des données à caractère personnel et le lien avec l'obligation de notification dans un délai de 72 heures figurent à l'article 33 du RGPD ; l'Autorité néerlandaise de protection des données explique sur sa page relative à la notification des violations de données comment cette évaluation des risques doit être effectuée en pratique. Le RGPD s'applique directement comme règlement dans chaque État membre, de sorte que ce noyau est identique partout — ce qui diffère, c'est où la notification est faite. Aux Pays-Bas, c'est l'Autorité néerlandaise de protection des données, en tant que seule autorité de contrôle nationale. En Allemagne, c'est différent : là, une organisation signale à l'autorité de contrôle du Land où elle est établie, et il y a seize autorités de contrôle des Länder aux côtés de la BfDI fédérale.