Violation de données

Conformément à l'article 4(12) du RGPD, une violation de données à caractère personnel ne se limite pas au seul piratage informatique. Elle englobe tout incident de sécurité qui compromet la confidentialité, l'intégrité ou la disponibilité des données. Cela signifie qu'une perte accidentelle (disque dur volé), une modification non autorisée ou même une indisponibilité prolongée des données suite à un bug technique constituent juridiquement des violations. Pour le dirigeant de PME, l'enjeu est double : technique et réglementaire. Dès qu'une telle faille est détectée, l'entreprise doit évaluer le risque pour les droits et libertés des personnes concernées. Si le risque est avéré, l'article 33 impose une notification à la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance. Si le risque est élevé, l'article 34 oblige également à informer individuellement les personnes touchées. La gestion d'une violation repose sur la traçabilité. Même si l'incident ne nécessite pas de notification à la CNIL, l'entreprise doit obligatoirement consigner l'événement dans un registre interne des violations, détaillant les faits, ses effets et les mesures correctives adoptées pour éviter toute récidive.