ma boîte mail professionnelle a été piratée, dois-je le signaler

Une boîte e-mail piratée est généralement une violation de données, la déclaration dépend des conséquences

Une boîte e-mail professionnelle piratée constitue dans la plupart des cas une violation au sens du RGPD : il y a accès non autorisé aux données à caractère personnel, et cet accès survient presque toujours dès qu'une personne extérieure se connecte à un compte contenant des données de clients ou de contacts. Cela établit le fait qu'il s'est produit quelque chose qui relève de la définition de qu'est-ce qu'une violation de données exactement ? relève. Cependant, cela n'entraîne pas automatiquement une obligation de notification auprès de l'autorité de contrôle.

La question de savoir si une notification à l'autorité de contrôle est pertinente dépend du risque que la violation pose pour les personnes dont les données se trouvaient dans cette boîte e-mail — pensez aux factures contenant des adresses, aux devis contenant des numéros d'identification, ou à une correspondance de contenu sensible. Une boîte e-mail contenant uniquement des coordonnées commerciales d'entreprises partenaires pose un risque différent d'une boîte e-mail remplie de dossiers clients ou de correspondance médicale. Cette évaluation, et les étapes qu'elle implique, sont expliquées en détail sur la page concernant quand dois-je déclarer une violation de données à l'Autorité néerlandaise de protection des données ?. Indépendamment de la notification à l'autorité de contrôle, se pose également la question de savoir si les personnes concernées doivent elles-mêmes en être informées, ce qui relève d'un cadre d'évaluation distinct.

Fondement dans le RGPD : la définition de la violation et l'obligation de notification

Le fondement se trouve à l'article 4 du RGPD, qui définit une violation de la sécurité des données à caractère personnel comme l'accès à, ou la perte, la modification ou la destruction de données qui n'aurait pas dû se produire — une description sous laquelle une boîte e-mail piratée tombe généralement. L'article 33 du RGPD lie à cela la condition de notification à l'autorité de contrôle : cette obligation de notification s'applique lorsque la violation pose un risque pour les droits et libertés des personnes concernées, sauf si ce risque est raisonnablement absent. Les lignes directrices du CEPD approfondissent davantage cette notion de risque, et l'Autorité néerlandaise de protection des données propose sur sa page sur les violations de données un guide pratique pour cette évaluation. Ce qui est identique dans toute l'UE : la définition et le test de risque du règlement. Ce qui varie selon le pays, c'est l'autorité de contrôle auprès de laquelle la notification doit être faite — aux Pays-Bas, l'Autorité néerlandaise de protection des données, dans les autres États membres, l'autorité de contrôle de ce pays.