nous avons été victimes de rançongiciel, est-ce automatiquement une violation de données

Les ransomiciels constituent généralement une violation de données, mais pas automatiquement

Une attaque par ransomiciel est généralement une violation de données au sens du RGPD, mais le lien entre « victime d'un ransomiciel » et « donc notification » n'est pas automatique. L'article 4 du RGPD définit une violation comme toute destruction, perte, modification ou divulgation non autorisée de données à caractère personnel. Avec un ransomiciel, les fichiers sont chiffrés ou rendus inaccessibles, ce qui relève de la « perte de disponibilité » — même si les données n'ont pas été consultées ou copiées. Cela satisfait généralement à la définition d'une violation, ce qui est d'ailleurs quelque chose de différent de la question qu'est-ce qu'une violation de données exactement de l'obligation de notification dans un cas concret.

La question de savoir si des données à caractère personnel se trouvaient dans ces fichiers chiffrés, et s'il y a véritablement un risque pour les personnes dont les données sont concernées, reste une question distincte. Une attaque par ransomiciel sur un serveur sans données à caractère personnel n'est pas une violation au sens du RGPD. Une attaque où des données sont bien touchées, mais où il existe une sauvegarde fonctionnelle et une récupération rapide est possible, peut présenter un risque moindre qu'une attaque où les données ont aussi été exfiltrées (double extorsion). Cette évaluation des risques détermine ensuite quand une violation de données doit être signalée à l'Autorité néerlandaise de protection des données, et si les personnes elles-mêmes doivent aussi être informées.

Sur quoi cela est basé

La définition d'une violation à l'article 4 du RGPD est le point de départ ; l'article 33 du RGPD régit la notification à l'autorité de contrôle dès qu'une violation se produit, et l'article 32 du RGPD porte sur la question de savoir si la sécurité était en ordre avant l'attaque. Les lignes directrices du CEPD développent explicitement des exemples avec ransomiciels, y compris la distinction entre le chiffrement sans exfiltration et les attaques où des données ont aussi été volées. L'obligation d'évaluer une violation et éventuellement de la notifier s'applique de la même manière dans toute l'UE, car le RGPD s'applique directement ; l'autorité de contrôle qui reçoit la notification varie selon l'État membre — aux Pays-Bas, c'est l'Autorité de protection des données, dans d'autres pays, l'autorité de contrôle de cet État membre. Lorsqu'un fournisseur informatique ou un prestataire d'hébergement est victime du ransomiciel, se pose aussi la question si une notification d'un prestataire déclenche aussi une obligation de notification propre.