En cas de violation de données, vous avez besoin au cœur de trois types de documents : un enregistrement interne de ce qui s'est passé, une évaluation pour déterminer si la notification à l'autorité de contrôle est obligatoire, et — si c'est le cas — la notification elle-même avec sa justification. Si la communication aux personnes concernées s'y ajoute, cette communication compte également comme document à conserver.
Le détail qui est le plus souvent négligé dans ce sujet est l'enregistrement interne. Même si, après évaluation, vous décidez qu'une violation de données ne doit pas être notifiée à l'autorité de contrôle, le RGPD vous demande toujours d'enregistrer l'incident lui-même : ce qui s'est passé, quelles données cela a affecté, quelles auraient pu être les conséquences et pourquoi vous êtes arrivé à cette conclusion. De nombreux entrepreneurs pensent qu'il ne faut consigner quelque chose par écrit que lorsqu'une notification est faite. Ce n'est pas ce que la Régulation décrit.
L'enregistrement interne de l'incident
C'est le document qui doit exister pour chaque violation de données, indépendamment du résultat de votre évaluation. Il décrit le moment où vous avez découvert l'incident, ce qui s'est exactement passé, quelles catégories de données et quelles personnes concernées cela a affecté, et quelles mesures vous avez prises pour limiter les conséquences. Les autorités de contrôle ne regardent pas seulement les notifications qui ont été faites lors d'un contrôle, mais aussi si une organisation peut démontrer comment les incidents antérieurs ont été évalués. Sans ce document, cette justification n'existe pas.
L'évaluation pour déterminer si la notification est nécessaire
Outre l'enregistrement factuel, un deuxième document est nécessaire : l'évaluation elle-même. Quels risques avez-vous identifiés pour les personnes concernées, et sur la base de quoi avez-vous conclu que la notification était ou non nécessaire ? Le RGPD distingue à ce titre le risque pour les droits et libertés des personnes concernées comme critère d'évaluation. Consigner cette évaluation n'est pas seulement utile pour vous après coup, c'est aussi le document avec lequel vous pouvez montrer qu'un choix conscient a été fait, et non un hasard. Qui doute qu'un incident concret est sujet à obligation de notification trouvera dans l'arbre de décision qui donne en quelques questions une première indication un point de départ, sans que cela remplace votre propre évaluation.
La notification à l'autorité de contrôle
Si la conclusion est que la notification est bien nécessaire, la notification elle-même s'ajoute en tant que document : ce que vous avez notifié, quand, et avec quelles données. Le RGPD prévoit un délai de 72 heures à compter du moment où vous avez eu connaissance de la violation de données. Conservez non seulement la confirmation de la notification, mais aussi la version des faits telle qu'elle était connue au moment de la notification — celle-ci peut être complétée ultérieurement si d'autres détails sur l'ampleur émergent.
La communication aux personnes concernées
Dans certains cas, il y a aussi un message aux personnes concernées elles-mêmes, par exemple lorsque le risque pour elles est considéré comme important. Ce message aussi — ce qui a été exactement communiqué et à qui — fait partie du dossier. Ce n'est pas un modèle fixe qui est le même pour chaque violation de données ; le contenu dépend de ce qui s'est passé et quelles données cela concerne.
Accords avec les fournisseurs et les prestataires
Si la violation de données se produit chez une partie qui traite les données pour vous, comme un logiciel comptable ou une partie d'hébergement, l'accord qui en a été consigné dans le contrat de traitement des données doit également figurer au dossier : cette partie notifie-t-elle les incidents, et dans quel délai ? Qui n'a pas encore clarifié cela trouvera dans la base de connaissances où cela est développé pour chaque situation un point d'ancrage pour revoir vos contrats de traitement des données sur ce point.
Pourquoi ce dossier est distinct de votre sécurité
La documentation relative à une violation de données diffère des mesures que vous avez prises à l'avance pour prévenir une violation, mais ces deux éléments se recoupent : une autorité de contrôle peut vous demander quel était votre niveau de sécurité au moment de l'incident. Pour savoir comment la sécurité des données est documentée dans la pratique, vous pouvez consulter l'explication sur les mesures de sécurité appropriées.
Tout mettre en ordre dès maintenant
La base de connaissances et l'arbre de décision sont accessibles gratuitement, sans compte. Si vous souhaitez enregistrer structurellement les incidents, les délais et les modèles correspondants au même endroit plutôt que de les rechercher chaque fois à nouveau, c'est pour cela que l'abonnement gdpria.eu a été mis en place. Un compte professionnel est créé au nom de votre numéro KvK et de votre numéro de TVA, lié à l'organisation et non à une seule adresse e-mail.
Si vous avez actuellement une violation potentielle à évaluer, effectuez d'abord la vérification rapide gratuite ou consultez les sujets de la base de connaissances. Pour une explication de ce qui s'applique précisément à votre situation, un juriste ou l'Autorité Persoonsgegevens reste le point de contact approprié.