L'erreur : attendre que tout soit clair
L'erreur la plus courante lors de la notification d'une violation de données n'est pas la violation elle-même, mais le moment où une organisation décide de notifier. De nombreuses entreprises veulent d'abord savoir exactement ce qui s'est passé, quelles données sont concernées et combien de personnes sont affectées, avant d'informer l'autorité chargée de la protection des données. Cela semble prudent, mais le RGPD demande quelque chose d'autre : le délai de notification de 72 heures commence à courir dès que vous êtes conscient de la violation de données, non pas dès que vous avez tous les faits en place.
En conséquence, l'horloge s'est déjà largement écoulée au moment où tout le monde au sein de l'organisation est d'accord sur ce qui s'est exactement passé. Ce n'est généralement pas une question de mauvaise volonté, mais de méconnaissance du fonctionnement de ce délai : le RGPD permet qu'une notification soit complétée par étapes, précisément parce que la certitude complète ne peut souvent pas être obtenue en trois jours.
Pourquoi cette erreur se produit si souvent
La confusion naît du fait que les gens confondent une violation de données et une violation de données à notifier. Tous les incidents impliquant des données à caractère personnel ne doivent pas être notifiés à l'autorité de contrôle ; le RGPD fait une distinction selon qu'il existe un risque pour les droits et libertés des personnes concernées. Les entreprises qui ne font pas clairement cette distinction vont souvent trop loin de deux façons : elles ne notifient presque rien par crainte de complications, ou elles essaient d'abord de compléter l'ensemble du tableau avant d'oser faire une notification. Ces deux réactions découlent de l'incertitude quant à ce que la loi demande exactement, et cette incertitude peut souvent être largement levée par quelques questions standard. L'arbre de décision sur en cinq questions pour voir où vous en êtes a été créé à cet effet : il vous montre sur la base de quelques questions concrètes si un incident relève probablement de l'obligation de notification, sans que vous ayez besoin de connaissances juridiques préalables.
Une deuxième erreur qui l'accompagne souvent
Étroitement liée à la notification trop tardive, il y a l'oubli de la documentation interne. Même une violation de données que vous ne finissez pas par notifier à l'autorité de contrôle doit être enregistrée en interne : ce qui s'est passé, pourquoi la notification a eu lieu ou non, et quelles mesures ont été prises. De nombreuses organisations n'enregistrent que les incidents qu'elles ont effectivement notifiés et laissent le reste non documenté. Ce faisant, vous perdez précisément la vue d'ensemble nécessaire pour montrer qu'une évaluation a été faite consciemment et sur la base des bons critères, si on vous le demande ultérieurement.
Comment faire fonctionner l'horloge en votre faveur
Le délai de 72 heures n'est pas destiné à surprendre les organisations, mais à permettre d'avertir rapidement les personnes concernées si nécessaire. Cela fonctionne mieux s'il est clair à l'avance qui au sein de l'organisation signale un soupçon de violation, à qui, et quelles questions de base sont toujours posées à ce sujet. Sans ces arrangements, du temps précieux est perdu pour déterminer qui est réellement responsable, tandis que l'horloge tourne déjà.
Il est également utile de savoir à l'avance quels systèmes et fournisseurs traitent des données à caractère personnel, de sorte que vous puissiez immédiatement évaluer quelles données et quelles personnes concernées sont impliquées lors d'une notification d'un fournisseur. Un aperçu à jour des outils SaaS utilisés et des arrangements les concernant, comme cela apparaît dans le registre des activités de traitement de la base de connaissances avec explications par sujet permet de gagner beaucoup de temps de recherche en pratique au moment où cela compte.
Ce que vous pouvez documenter à l'avance
L'essentiel est qu'une notification n'a pas besoin d'être complète pour être à temps. Une première notification avec les faits connus, suivie d'un complément dès que plus de détails sont disponibles, est conforme à ce que le RGPD permet. Les organisations qui le savent à l'avance et qui ont une procédure courte et régulière pour cela sont moins susceptibles de faire l'erreur d'attendre trop longtemps. Ce qui aide aussi, c'est la clarté sur l'endroit où se trouvent les données sensibles et comment elles sont protégées, afin qu'un soupçon de violation puisse être évalué plus rapidement en fonction de sa gravité ; la page sur comment les données sont protégées au sein du système en donne une idée.
Qu'un incident spécifique au sein de votre organisation soit soumis à l'obligation de notification et comment vous le documentez au mieux relève finalement d'une appréciation que vous effectuez vous-même, éventuellement avec un juriste ou en concertation avec l'Autorité pour la protection des données. gdpria.eu vous fournit à cet égard des éclaircissements et une première évaluation structurée, mais non un conseil juridique.
Vous voulez d'ores et déjà savoir où se situent les points d'attention chez vous ? L'auto-diagnostic gratuit et le réponses aux questions qui reviennent fréquemment vous donnent en quelques minutes une première vue d'ensemble, sans qu'un compte soit nécessaire à cet effet.