j'ai perdu une clé USB contenant des données clients, est-ce une violation de données

Une clé USB égarée constitue généralement une violation de données

Une clé USB contenant des données clients qui est perdue constitue dans la plupart des cas une violation de données au sens du RGPD. La définition à l'article 4 du RGPD parle d'une violation de la sécurité qui entraîne une perte de données à caractère personnel, et c'est exactement ce qui se produit quand une clé contenant des noms, des adresses ou d'autres données clients ne peut plus être retrouvée : les données ne sont pas détruites, mais elles ont échappé au contrôle de l'entreprise. Le fait qu'elles tombent également entre les mauvaises mains n'est pas au cœur de la question — la perte de contrôle suffit déjà pour entrer dans la définition.

Ce qui se passe après dépend de ce qui se trouvait sur la clé et de la manière dont elle était sécurisée. Une clé chiffrée contenant un ensemble limité de données offre une image différente d'une clé non sécurisée contenant de nombreuses données clients ou des informations sensibles. Cette distinction est pertinente pour la question quand dois-je signaler une violation de données à l'autorité de contrôle, et aussi pour la question de savoir si les clients eux-mêmes doivent être informés — cette question est décrite sur la page dois-je informer les personnes concernées elles-mêmes en cas de violation de données. Pour la distinction entre un incident et une violation de données au sens plus large, la page qu'est-ce qu'une violation de données exactement est un point de départ logique.

Sur quoi cela est basé

La définition d'une violation figure à l'article 4 du RGPD, et l'article 33 du RGPD régit la notification à l'autorité de contrôle dès que les conditions sont remplies. L'autorité de contrôle met en œuvre cela davantage sur sa page concernant le signalement des violations de données, et le Comité européen de la protection des données a publié des lignes directrices avec des exemples de types de violations de données, y compris la perte de supports de données. L'obligation de notifier s'applique partout dans l'UE en vertu du règlement, mais le lieu où la notification est effectuée varie selon le pays : aux Pays-Bas, c'est l'autorité de contrôle, dans les autres États membres, c'est l'autorité de contrôle qui est désignée là-bas.