Notification de violation de données : la règle des 72 heures

Points clés

Réponse rapide : Signalez les violations de données à votre autorité de contrôle dans les 72 heures si elles présentent un risque pour les individus. Notifiez directement les individus concernés si le risque est élevé. Documentez TOUTES les violations dans un registre de violations, même celles ne nécessitant pas de notification.

Qu'est-ce qu'une violation de données personnelles ?

Une violation survient quand il y a un incident de sécurité affectant des données personnelles :

Types de violations de données personnelles :

Violation de confidentialité :

• Accès non autorisé aux données
• Données divulguées au mauvais destinataire
• Attaques de hacking ou phishing
• Appareils perdus ou volés contenant des données

Violation d'intégrité :

• Données altérées sans autorisation
• Corruption de données personnelles
• Falsification de registres
• Malware modifiant les données

Violation de disponibilité :

• Données perdues ou détruites
• Chiffrement par ransomware
• Pannes système perdant des données
• Suppression accidentelle
• Données rendues inaccessibles

Exemples de violations

La décision de notification

Toutes les violations ne nécessitent pas de notification. Utilisez ce framework :

Arbre de décision de notification de violation :

Une violation de données personnelles s'est produite ?

• Non → Documenter en interne, pas de notification nécessaire
• Oui → Continuer l'évaluation

Risque pour les droits et libertés des individus ?

• Peu probable → Documenter en interne, pas de notification à la DPA
• Risque existant → Notifier l'autorité de contrôle dans les 72 heures

Risque élevé pour les individus ?

• Non → Notification à l'autorité uniquement
• Oui → Notifier également les individus concernés sans délai excessif

Facteurs d'évaluation des risques

Délais de notification

Ce que signifie "72 heures"

• Le compteur démarre quand vous prenez "connaissance" de la violation
• "Connaissance" = certitude raisonnable qu'une violation s'est produite
• Les weekends et jours fériés comptent
• Peut notifier par phases si les informations évoluent
• Doit expliquer tout retard au-delà de 72 heures

Notifier l'autorité de contrôle

Informations requises

Template de notification

1Notification de violation de données à l'autorité de contrôle
2────────────────────────────────────────────────────────
3
4Organisation : [Nom de votre entreprise]
5Référence : [Numéro de référence de la violation]
6Date : [Date de notification]
7Heure de prise de connaissance : [Quand vous avez pris connaissance]
8
91. Nature de la violation
10   [Description de ce qui s'est passé]
11
122. Catégories de données affectées
13   - [ex : Noms, adresses email]
14   - [ex : Informations financières]
15
163. Personnes concernées affectées
17   - Catégorie : [ex : Clients]
18   - Nombre approximatif : [Nombre]
19   - Enregistrements affectés : [Nombre]
20
214. Coordonnées
22   - DPO/Contact confidentialité : [Nom]
23   - Email : [Email]
24   - Téléphone : [Téléphone]
25
265. Conséquences probables
27   [Évaluation du préjudice potentiel]
28
296. Mesures prises/proposées
30   - Immédiates : [Actions prises]
31   - Remédiation : [Actions prévues]
32   - Prévention : [Mesures futures]

Notifier les individus concernés

Quand une violation présente un risque élevé, vous devez notifier les individus.

Quand la notification individuelle est requise

Que dire aux individus

Template de notification individuelle

1Objet : Avis de sécurité important de [Entreprise]
2
3Cher/Chère [Client/Utilisateur],
4
5Nous vous écrivons pour vous informer d'un incident de sécurité
6qui peut avoir affecté vos informations personnelles.
7
8Ce qui s'est passé :
9[Description claire de la violation]
10
11Quelles informations étaient impliquées :
12[Types de données spécifiques affectées]
13
14Ce que nous faisons :
15[Mesures que vous prenez pour remédier à la violation]
16
17Ce que vous pouvez faire :
18[Actions recommandées pour l'individu]
19
20Pour plus d'informations :
21[Coordonnées et ressources]
22
23Nous nous excusons sincèrement pour cet incident et sommes
24engagés à protéger vos informations.
25
26[Signature]

Exceptions à la notification individuelle

Vous pouvez ne pas avoir besoin de notifier les individus si :

1. Données protégées : Le chiffrement ou des mesures ont rendu les données inintelligibles
2. Risque éliminé : Des mesures ultérieures ont éliminé le risque
3. Effort disproportionné : Communication publique à la place (mais c'est rare et risqué)

Processus de réponse aux violations

Workflow de réponse aux incidents

Chronologie de réponse aux violations :

Heure 0 : Détection

• Incident détecté ou signalé
• Évaluation initiale commence
• Équipe de réponse aux incidents activée

Heures 0-24 : Confinement

• Arrêter la violation en cours
• Préserver les preuves
• Évaluer le périmètre et l'impact
• Tout documenter

Heures 24-48 : Évaluation

• Déterminer si des données personnelles sont affectées
• Identifier les personnes concernées impactées
• Évaluer le niveau de risque
• Décider des exigences de notification

Heures 48-72 : Préparation de la notification

• Préparer la notification à l'autorité
• Rédiger les communications individuelles (si nécessaire)
• Revue juridique
• Approbation de la direction

Heure 72 : Notification à l'autorité

• Soumettre à l'autorité de contrôle
• Commencer les notifications individuelles
• Continuer l'investigation

Après 72 heures : Suivi

• Compléter l'investigation
• Soumettre les informations complémentaires
• Mettre en œuvre la remédiation
• Mettre à jour la documentation

Documentation interne

Même si aucune notification externe n'est requise, documentez :

Construire la préparation aux violations

Checklist de préparation

Politiques et procédures :

• Plan de réponse aux incidents documenté
• Critères d'évaluation des violations définis
• Templates de notification préparés
• Procédures d'escalade claires

Préparation de l'équipe :

• Équipe de réponse aux incidents identifiée
• Rôles et responsabilités assignés
• Liste de contacts maintenue
• Formation régulière menée

Capacités techniques :

• Mécanismes de détection en place
• Capacité forensique disponible
• Logging et pistes d'audit activés
• Sauvegarde et récupération testées

Communication :

• Coordonnées de la DPA à jour
• Canaux de communication client prêts
• Conseiller juridique accessible
• RP/communications préparées

Erreurs courantes

Comment Bastion peut vous aider

Une réponse efficace aux violations nécessite une préparation avant que les incidents ne surviennent. Le milieu d'une violation n'est pas le moment de construire votre capacité de réponse. Travailler avec des partenaires expérimentés aide à s'assurer que vous êtes prêt quand les incidents se produisent.

Avoir un support expert disponible pendant les situations de violation aide à s'assurer que les notifications répondent aux exigences et que les communications sont gérées de manière appropriée, réduisant le risque réglementaire et l'impact réputationnel.

Vous cherchez de l'aide pour la préparation à la réponse aux violations ? Parlons-en →