Puis-je gérer une violation de données moi-même?
Oui, vous pouvez largement effectuer vous-même l'évaluation et la gestion d'une violation de données. Le RGPD ne prescrit pas que vous devez faire appel à un juriste ou à un bureau externe. Ce que la réglementation exige, en revanche, c'est que vous détectiez la violation, évaluiez si elle présente un risque pour les personnes dont les données ont été compromises, et — si c'est le cas — signalez-la à temps à l'autorité de contrôle et le cas échéant aux personnes concernées elles-mêmes.
La possibilité de le faire de manière indépendante dépend principalement de l'ampleur et de la complexité de l'incident. Un e-mail envoyé par erreur contenant les données d'un seul client est bien différent d'un serveur piraté contenant des milliers de dossiers clients. La limite entre faire soi-même et externaliser ne relève pas de la loi, mais de votre propre capacité à évaluer rapidement et soigneusement ce qui s'est produit.
Ce que vous pouvez évaluer vous-même
La première question devant toute incident est de savoir s'il s'agit réellement d'une violation de données au sens du RGPD : les données à caractère personnel ont-elles été perdues, consultées par une personne non autorisée, ou accidentellement modifiées ou supprimées ? Vous pouvez facilement effectuer cette évaluation vous-même en utilisant une liste de contrôle claire. en quelques questions, voyez où vous en êtes donne une première indication sans que vous ayez immédiatement besoin de faire appel à un conseiller.
S'il y a effectivement une violation, s'ensuit l'évaluation des risques : présente-t-elle un danger pour les droits et libertés des personnes concernées, par exemple parce que des données sensibles sont compromises ou que la fraude à l'identité devient possible ? Pour de nombreuses situations courantes, cette appréciation peut également être faite en s'appuyant sur les lignes directrices du Comité européen de la protection des données et les explications fournies par l'autorité de contrôle. Le base de connaissances avec explications par sujet décrit les critères pertinents, en indiquant leur source dans le texte officiel.
Le signalement proprement dit à l'autorité de contrôle peut également être effectué par de nombreuses entreprises elles-mêmes. L'autorité de contrôle dispose d'un formulaire de signalement spécifique, et les informations demandées — ce qui s'est passé, quelles données sont concernées, combien de personnes sont affectées et quelles mesures ont été prises — sont des informations que vous connaissez mieux que quiconque en tant qu'organisation.
Quand il est judicieux de chercher une aide supplémentaire
Pour certaines situations, la gestion en interne devient plus difficile. S'il y a un grand nombre de personnes concernées, s'il s'agit de données à caractère personnel sensible comme les données de santé, ou s'il y a un incident technique dont l'ampleur n'est pas encore claire, il est recommandé de ne pas se fier uniquement à votre propre évaluation. Il en va de même lorsque la violation peut avoir des conséquences dans un autre État membre ou lorsqu'il n'est pas clair quelle autorité est compétente.
Informer vous-même les personnes concernées — plutôt que seulement l'autorité de contrôle — exige également de la prudence. Le ton, le contenu et le moment de cette communication déterminent en partie la façon dont les gens réagissent, et un message mal formulé peut causer plus d'inquiétude que l'incident lui-même. Dans ces cas, il est judicieux de consulter un juriste ou de contacter l'autorité de contrôle pour déterminer la marche à suivre appropriée.
Ce que le RGPD prescrit ou ne prescrit pas
La réglementation prescrit un délai dans lequel une violation signalable doit être notifiée à l'autorité de contrôle, et elle oblige les organisations à documenter les violations de données qui se sont produites, y compris celles qui n'ont pas besoin d'être signalées. Ce que le RGPD ne prescrit pas, c'est qui exécute ce processus au sein de votre organisation. Cela signifie que la gestion par vos soins est autorisée, pour autant que le résultat satisfasse aux exigences de la loi.
La responsabilité reste auprès de l'organisation, même si une partie du travail est externalisée auprès d'un conseiller ou d'un bureau. Il ne s'agit donc pas de tout transférer et de ne plus s'en occuper, mais de savoir quelles mesures ont été prises et pourquoi.
La documentation en fait toujours partie
Que vous le fassiez vous-même ou que vous vous fassiez assister, la documentation est nécessaire dans les deux cas : ce qui s'est passé, quand vous l'avez découvert, quelle évaluation vous avez faite du risque et quelles mesures ont été prises pour éviter une répétition. Cette documentation n'est pas seulement utile pour l'autorité de contrôle, mais aussi pour vous-même, si un incident similaire se reproduisait ultérieurement.
Comment cette justification doit se présenter et quelles sources y sont utilisées, vous pouvez le lire sur la page d'où provient l'informationVous doutez que votre situation soit soumise à l'obligation de notification, commencez par la vérification gratuite et lisez les sujets pertinents dans la base de connaissances avant de prendre une décision. Vous souhaitez mettre en ordre de manière structurelle le processus de détection au traitement, vous pouvez vous inscrire pour un compte professionnel pour que les délais et la documentation se fassent automatiquement.