Qu’est-ce qu’une donnée personnelle et comment se caractérise une violation ?
Une donnée personnelle se définit par toute information permettant directement ou indirectement d’identifier une personne. Cela peut se traduire par la nom ou prénom, l’adresse, la date de naissance, la voix, etc.
Une violation des données personnelles apparaît lorsque ces deux critères sont remplis :
- Vous traitez des données personnelles, quel que soit le procédé utilisé ;
- Ces données ont subi soit : une perte de disponibilité, d’intégrité ou de confidentialité.
Si les critères caractérisant une violation de donnée sont remplis, envoyez une notification à la CNIL, en suivant la marche à suivre.
Comment réagir face à une violation de données
Documentation
En premier lieu, documentez l’incident en interne.
Il s’agit ici de renseigner les informations suivantes :
- Nature de la violation ;
- Nombre de personnes touchées par la violation et catégorie de ces personnes ;
- Liste des conséquences probables de la violation ;
- Mesures prises ou qui seront prises pour prévenir une nouvelle apparition de l’incident, ou pour diminuer les conséquences de la violation.
Puis, ces différent renseignements doivent être rapportes dans un document à envoyer à la Commission nationale de l’informatique et des libertés (CNIL), s’il représente un risque quant à la vie privée des victimes. S‘il s’agit d’un risque élevé, les personnes touchées doivent également être informées.
Dans quel délai notifier la CNIL ?
Naturellement, la CNIL doit être notifiée au plus tôt, dès que la violation est constatée. Plus précisément :
- Une première notification doit être communiquée dans les 72 heures suivant la constatation, si possible ;
- Dans le cas où le délai de 72h est passé, les raisons du retard doivent être communiquées ;
- Dès que les informations additionnelles sont disponibles, vous pouvez envoyer une notification complémentaire à la CNIL ;
Comment envoyer la notification de violation des données à la CNIL ?
La notification auprès de la CNIL s’effectue en 5 étapes simples, à l’issue desquelles vous recevrez un récapitulatif de votre notification.
Afin d’envoyer votre notification, renseignez en amont ce document préparatoire de la CNIL, qui contient l’ensemble des éléments requis et qui reprend les étapes de notification.
Puis, vous pouvez vous rendre sur le site de la CNIL pour et remplir le formulaire dédié à la violation de données. Il vous sera demandé un numéro SIREN.
