Qu'est-ce qu'une violation de données exactement ?

Une violation de données est toute infraction lors de laquelle des données à caractère personnel sont exposées, perdues ou modifiées

Une violation de données est, en bref, un événement au cours duquel les données à caractère personnel ne sont plus sécurisées : elles sont perdues, elles ont été divulguées à des personnes qui ne devaient pas y avoir accès, ou elles ont été modifiées ou supprimées sans consentement. Il ne s'agit donc pas seulement de piratage. Un courrier électronique mal adressé contenant une liste de clients en pièce jointe, un ordinateur portable volé sans chiffrement, une clé USB trouvée dans la rue, une attaque par hameçonnage au cours de laquelle des identifiants d'accès sont capturés, ou une erreur système causant une exposition involontaire de données — tout cela entre dans la même définition, dès lors que des données à caractère personnel sont impliquées.

En pratique, on distingue trois types d'infractions : une infraction en termes de disponibilité (données perdues ou inaccessibles, par exemple suite à une attaque par rançongiciel ou une sauvegarde défectueuse), une infraction en termes d'intégrité (données modifiées de manière indésirable) et une infraction en termes de confidentialité (données consultées ou divulguées par une personne qui n'y était pas autorisée). Un incident unique peut relever de plusieurs de ces catégories à la fois. La question de savoir si un événement constitue une violation de données est distincte de celle de savoir s'il doit être signalé — cette dernière dépend du risque qu'il présente pour les personnes concernées et constitue une étape séparée qui suit la constatation de la violation.

Fondement : article 4, RGPD

La définition d'une violation de données provient directement de l'article 4 du RGPD, qui définit une « violation de données à caractère personnel » comme une infraction à la sécurité entraînant, de manière accidentelle ou illégale, la destruction, la perte, la modification ou la divulgation ou l'accès non autorisés à des données à caractère personnel transmises, conservées ou traitées d'une autre manière. Cette définition s'applique directement dans chaque État membre, sans variation nationale. L'Autorité de protection des données développe cette définition sur sa page consacrée aux violations de données en distinguant les infractions en termes de disponibilité, d'intégrité et de confidentialité, et en fournissant des exemples concrets.