mon ordinateur portable contenant des données clients a été volé, que dois-je faire maintenant

Un ordinateur portable volé contenant des données clients est généralement une violation de données

Un ordinateur portable professionnel volé contenant des données clients constitue dans la plupart des cas une violation de la sécurité des données personnelles, telle que définie à l'article 4 du RGPD. Les données sortent du contrôle de l'organisation, et c'est précisément ce que cette définition vise — peu importe que l'ordinateur portable ait été volé dans une voiture, un sac ou un bureau. Le contenu exact de cet ordinateur portable et le fait que les informations aient été chiffrées ou autrement protégées jouent également un rôle dans la gravité de la situation, mais le vol lui-même est le point de départ de l'évaluation. Une explication plus détaillée de ce qui relève ou non de cette définition figure dans la page de la base de connaissances sur ce qu'une violation de données est précisément.

À partir du moment de la découverte, deux choses se déroulent simultanément : établir les faits (quelles données, de qui, combien de personnes, et s'il y avait du chiffrement) et déterminer si cette violation doit être signalée — à l'autorité de contrôle et éventuellement aux personnes concernées elles-mêmes. Ces deux questions dépendent du risque que les données volées représentent pour les individus, et c'est précisément ce risque qui fait qu'un ordinateur portable vide ou bien chiffré est évalué différemment d'un ordinateur portable rempli de fichiers clients non chiffrés. La façon dont cette évaluation fonctionne pour la notification à l'autorité de contrôle est expliquée en détail sur la page quand une violation de données doit être signalée à l'Autorité néerlandaise de protection des données, et la question de savoir si les personnes concernées doivent également recevoir une notification est traitée sur la page informer les personnes concernées d'une violation de données.

Sur quoi ceci est basé : articles 4, 32 et 33 du RGPD

La définition d'une violation figure à l'article 4 du RGPD, l'obligation de sécuriser adéquatement les données — y compris le risque de perte d'équipement — à l'article 32, et l'obligation de notification à l'autorité de contrôle à l'article 33. Ces trois articles s'appliquent directement dans toute l'UE, de sorte que l'évaluation de savoir si un ordinateur portable volé constitue une violation de données à signaler se déroule partout selon les mêmes règles. Ce qui varie d'un pays à l'autre, c'est l'autorité de contrôle auprès de laquelle la notification doit être adressée : aux Pays-Bas, c'est l'Autorité néerlandaise de protection des données, dans les autres États membres, l'autorité de contrôle nationale de ce pays. Les lignes directrices de l'EDPB fournissent des explications supplémentaires sur la façon dont ces articles s'appliquent en pratique, et l'Autorité néerlandaise de protection des données offre sur sa propre page sur les violations de données un commentaire néerlandais sur les mêmes règles.