La notification d'une fuite de données à l'Autorité de protection des données ne coûte rien en soi : aucun frais ou rémunération n'est dû. Les coûts se situent dans ce qui se passe autour : établir exactement ce qui s'est mal passé, informer les personnes concernées, les travaux de réparation technique éventuels et le temps que tout cela demande à votre organisation. Le montant dépend fortement de l'ampleur de la fuite, du type de données et de l'existence ou non d'un processus préalablement établi avant que les choses ne s'aggravent.
Il n'existe pas de montant fixe pour « une fuite de données », car aucune fuite de données n'est identique. Un e-mail mal envoyé contenant les coordonnées d'un seul client exige quelque chose de différent d'une intrusion dans un système contenant les dossiers du personnel de cent employés. Les postes de coûts appartiennent cependant toujours aux mêmes catégories ; seule l'ampleur varie.
D'où proviennent les coûts
Le premier poste de coût est le temps interne : quelqu'un doit établir ce qui s'est passé, quelles données ont été compromises et si le délai légal de soixante-douze heures pour notifier l'Autorité de protection des données se profile à l'horizon. Ces heures sont souvent sous-estimées, surtout s'il n'y a pas de point de contact ou de processus établi et que plusieurs personnes se penchent simultanément sur le même incident.
En outre, une aide externe peut être nécessaire : un fournisseur informatique qui doit techniquement colmater une fuite, un enquêteur judiciaire informatique en cas d'intrusion majeure, ou un juriste qui examine si et comment notifier. Toute fuite de données n'exige pas tous ces éléments, mais en cas d'incident plus grave, ces coûts s'accumulent rapidement.
L'information des personnes concernées coûte également du temps et parfois de l'argent : la préparation d'une lettre ou d'un e-mail soigné et compréhensible, la réponse aux questions qui en découleront, et dans certains cas l'offre d'une forme de compensation, comme un nouveau code d'accès ou un service gratuit. L'arbre de décision sur en quelques questions, établir si et comment vous devez notifier vous aide à clarifier la première étape, afin de ne pas perdre de temps inutilement à l'hésitation.
Ce qui détermine le montant
Le facteur le plus important est l'ampleur : combien de personnes sont touchées et la sensibilité des données. Une fuite contenant les noms et les adresses e-mail pèse différemment d'une fuite contenant des données financières ou des données de santé. Les directives du CEPD et le RGPD lui-même citent ce genre de facteurs de risque comme point de départ de l'évaluation, non pas comme formule de calcul pour un montant.
Un deuxième facteur est la rapidité de détection de la fuite et la clarté sur qui est responsable de quoi. Si un contrat de traitement des données stipule déjà qui un fournisseur doit alerter et dans quel délai, cela réduit le travail d'investigation au moment où les choses mal tournent. Si cet accord n'existe pas, l'incident lui-même demande plus de temps pour être compris, bien avant que la réparation ne commence.
Un troisième facteur est l'existence ou non d'un processus établi dans votre organisation : un plan d'action défini, une liste des personnes à avertir et un endroit où les incidents antérieurs sont enregistrés. Sans cela, chaque incident doit être réinventé à nouveau pour déterminer qui fait quoi, ce qui demande à la fois du temps et de la sérénité à un moment où les deux sont rares.
La notification elle-même est gratuite, la préparation ne l'est pas
Il est important de maintenir cette distinction claire : l'obligation de notification à l'Autorité de protection des données n'entraîne aucun coût, mais la capacité à l'exécuter correctement, oui. Celui qui doit déterminer si un incident doit être notifié dans le délai légal et ce que cela doit contenir précisément doit y consacrer du temps. Un aperçu de ce qui doit figurer dans une notification et quels documents vous devez généralement y joindre est décrit dans base de connaissances avec explications par sujet.
Beaucoup de ces coûts ne sont pas ponctuels mais récurrents, simplement parce que les fuites de données ne sont pas planifiées et peuvent se reproduire même après des années. C'est pourquoi certaines organisations choisissent de laisser l'horloge, les étapes et l'enregistrement fonctionner dans un système plutôt que de reconstruire ceci manuellement à chaque fois. Ce qu'un tel abonnement coûte et ce qu'il offre en retour peut être consulté sur la page de tarification avec la ventilation par composant.
Enregistrer à l'avance épargne après coup
La plus grande économie de coûts se situe généralement non pas dans l'incident lui-même, mais dans la préparation : un registre des activités de traitement à jour, des accords clairs avec les fournisseurs et un point de contact unique font qu'une fuite de données prend moins de temps à évaluer et à gérer. Les questions fréquemment posées sur ce qui est obligatoire et ce qui ne l'est pas sont rassemblées sur la page avec réponses aux questions que d'autres entrepreneurs se posent également.
Voulez-vous vous faire une première idée de votre situation ? L'analyse rapide gratuite vous donne une indication en quelques questions, sans que vous ayez besoin d'un compte.