L'essentiel : l'obligation de notification elle-même ne change pas
L'obligation de notification en cas de violation de données figure dans le RGPD lui-même, avec le délai bien connu de 72 heures suivant la découverte auprès de l'Autorité de protection des données, et une évaluation séparée pour déterminer si les personnes concernées doivent également être informées. Ce texte fait partie d'un règlement européen et ne change pas chaque année. Pour autant qu'on le sache, il n'y a pas de modification du règlement cette année qui affecterait l'obligation de notification ou le délai. Ce qui change, en revanche, c'est l'interprétation qui l'entoure : la manière dont le CEPD et l'Autorité de protection des données précisent les normes ouvertes de la loi, et la façon dont d'autres législations s'ajoutent au RGPD. Pour une PME, cela s'avère souvent plus pertinent que le texte légal lui-même, car c'est précisément cette interprétation qui détermine quand un incident est soumis à l'obligation de notification.
Il ne s'agit donc pas d'une nouvelle date ou d'un nouvel article à mémoriser, mais de trois évolutions qui affectent la pratique : des lignes directrices plus strictes sur ce qui constitue une violation de données, une plus grande convergence avec la législation sectorielle comme la NIS2, et une réalité différente du fait que les incidents surviennent de plus en plus souvent chez un fournisseur SaaS plutôt qu'au sein de l'entreprise elle-même.
Des lignes directrices qui redéfinissent les limites
Le RGPD lui-même définit une violation de données en termes généraux : une atteinte à la sécurité ayant pour effet la destruction, la perte, la modification ou la divulgation non autorisée de données personnelles. Les lignes directrices du CEPD et l'interprétation propre de l'Autorité de protection des données précisent concrètement ce qui en découle, année après année. Au cours des dernières années, par exemple, il y a eu une meilleure clarté sur les cas limites : un courriel envoyé par erreur avec une pièce jointe, un employé qui se connecte à un mauvais compte, ou une sauvegarde temporairement indisponible. Autrefois, ce type de situations était souvent traité comme une question interne ; selon les lignes directrices, même sans intention malveillante de la part d'un employé, il peut s'agir d'un incident soumis à l'obligation de notification. Pour un directeur ou un gestionnaire de bureau, cela signifie que l'évaluation ne peut moins souvent reposer sur l'intuition et doit davantage s'appuyer sur un processus fixe. Pour celui qui doute si un incident spécifique relève de l'obligation de notification, il peut le vérifier en quelques questions via l'arbre de décision de gdpria.eu, en quelques questions, voir si quelque chose est une violation de données soumise à notification.
Convergence avec d'autres législations
Une deuxième évolution ne relève pas du RGPD lui-même, mais de la législation qui s'y ajoute. Pour les organisations qui font partie de, ou qui fournissent des services à, des secteurs assujettis à des législations comme la NIS2, un incident de sécurité peut être soumis à deux régimes de notification simultanément : le RGPD pour les données personnelles, et une obligation sectorielle de notification pour la prestation de services elle-même. Cela ne touche pas chaque PME, mais cela concerne les entreprises d'installation, les prestataires de services informatiques et d'autres parties qui agissent comme fournisseurs pour une organisation plus grande et réglementée. Pour ce groupe, il est judicieux de vérifier si un client ou un donneur d'ordre a entre-temps inséré des accords de notification supplémentaires dans le contrat, en sus de ce qui figure déjà dans l'accord de traitement des données. Pour vérifier exactement ce qui figure dans un tel accord concernant les délais de notification et les responsabilités, vous trouverez des informations dans la base de connaissances avec explications par sujet.
La pratique évolue vers le fournisseur SaaS
Le troisième changement est moins une question de réglementation qu'une évolution de fait : une part croissante des incidents auxquels les entreprises néerlandaises sont confrontées ne survient pas chez elles, mais chez un éditeur logiciel qu'elles utilisent pour la comptabilité, les ressources humaines ou les relations clients. La responsabilité d'évaluer si cela constitue une violation de données signalable reste cependant chez l'entreprise qui fait traiter les données, et non automatiquement chez l'éditeur. Un éditeur qui signale lui-même un incident ne libère pas le client de sa propre évaluation. Cela rend d'autant plus important de convenir à l'avance comment et quand un éditeur signale un incident, et de retrouver cet accord dans votre propre inventaire des outils utilisés. Les entreprises qui n'ont pas encore cet inventaire complet peuvent le constituer à l'aide de des explications sur la façon dont le système est alimenté par des outils connus.
Ce que cela signifie pour vous
Pour la plupart des petites et moyennes entreprises, rien ne change cette année concernant le délai légal lui-même. Ce qui est judicieux : évaluer régulièrement votre propre approche des incidents à la lumière des derniers conseils, vérifier si un client impose des accords de signalement supplémentaires, et être clair avec les éditeurs sur qui évalue un incident en premier. Aucun de ces points ne nécessite une étude juridique, mais plutôt un moment régulier pour les examiner.
Souhaitez-vous voir rapidement où en est votre entreprise sur ce point ? Les questions du diagnostic gratuit de gdpria.eu donnent une première indication, et dans les questions fréquemment posées sur les violations de données et l'obligation de signalement vous trouverez les réponses plus courtes aux questions connexes.