Le r\u00e9cent incendie dans un centre de donn\u00e9es OVH \u00e0 Strasbourg est l\u2019occasion de rappeler les conditions dans lesquelles la notification \u00e0 l\u2019autorit\u00e9 de contr\u00f4le (i.e. en France, il s’agit de la Commission nationale de l’informatique et des libert\u00e9s, ou “Cnil”) d\u2019une violation de donn\u00e9es \u00e0 caract\u00e8re personnel et\/ou la communication aux personnes concern\u00e9es sont obligatoires. En effet, le risque associ\u00e9 \u00e0 une violation est souvent mis en lien avec la divulgation de donn\u00e9es \u00e0 caract\u00e8re personnel et leur potentielle r\u00e9utilisation. Qu\u2019en est-il lorsque les donn\u00e9es sont perdues ou d\u00e9truites ?<\/p>\n
<\/p>\n
<\/p>\n
\u00a0<\/strong><\/p>\n Le RGPD d\u00e9finit \u00e0 son article 4 la violation de donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong> comme \u00ab\u00a0une violation de la s\u00e9curit\u00e9 entra\u00eenant, de mani\u00e8re accidentelle ou illicite, la destruction, la perte, l’alt\u00e9ration, la divulgation non autoris\u00e9e de donn\u00e9es \u00e0 caract\u00e8re personnel transmises, conserv\u00e9es ou trait\u00e9es d’une autre mani\u00e8re, ou l’acc\u00e8s non autoris\u00e9 \u00e0 de telles donn\u00e9es<\/em>\u00a0\u00bb.<\/p>\n <\/p>\n Dans ses lignes directrices sur la notification de violations de donn\u00e9es \u00e0 caract\u00e8re personnel du 3 octobre 2017 (version r\u00e9vis\u00e9e et adopt\u00e9e le 6 f\u00e9vrier 2018)<\/a>, le G29 (pr\u00e9d\u00e9cesseur du CEPD<\/a>) distingue trois types de violations de donn\u00e9es, qui peuvent se cumuler\u00a0:<\/p>\n <\/p>\n La d\u00e9finition de ce qui peut constituer une violation de donn\u00e9es \u00e0 caract\u00e8re personnel est donc large\u00a0: toute atteinte non autoris\u00e9e ou accidentelle \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es constitue une violation.<\/p>\n <\/p>\n <\/p>\n <\/p>\n L\u2019\u00e9valuation du risque est centrale puisque le niveau de risque d\u00e9termine les mesures qu\u2019il convient de prendre \u00e0 la suite de la violation.<\/strong> En effet, \u00e0 trois degr\u00e9s de risque correspondent trois actions \u00e0 mettre en \u0153uvre (chaque action se cumulant avec celle(s) de niveau inf\u00e9rieur) :<\/p>\n <\/p>\n La capacit\u00e9 du responsable de traitement \u00e0 identifier une violation de donn\u00e9es \u00e0 caract\u00e8re personnel puis \u00e0 \u00e9valuer les risques qu\u2019elle engendre pour les personnes concern\u00e9es est primordiale, d\u2019o\u00f9 la n\u00e9cessit\u00e9 de mettre en place par anticipation une proc\u00e9dure de gestion des violations de donn\u00e9es.<\/p>\n <\/p>\n Il est \u00e9galement pr\u00e9cis\u00e9 qu\u2019en cas de doute, il vaut mieux opter pour la prudence et proc\u00e9der \u00e0 une notification aupr\u00e8s de l\u2019autorit\u00e9 de contr\u00f4le<\/strong>. Cette derni\u00e8re pourra dans un second temps conseiller le responsable de traitement sur la n\u00e9cessit\u00e9 d\u2019une communication aux personnes concern\u00e9es. Dans les cas o\u00f9 le responsable de traitement consid\u00e9rerait que la violation n\u2019entra\u00eene aucun risque pour les personnes concern\u00e9es et prendrait donc la d\u00e9cision de ne pas la notifier \u00e0 l’autorit\u00e9 de contr\u00f4le<\/strong>, il conviendra de porter une attention particuli\u00e8re \u00e0 la documentation de la violation, en pr\u00e9cisant notamment le raisonnement qui justifie cette d\u00e9cision<\/strong>.<\/p>\n <\/p>\n Pour rappel, en cas d\u2019absence de notification aupr\u00e8s de l’autorit\u00e9 de contr\u00f4le ou d\u2019information des personnes concern\u00e9es alors que les conditions imposant d’y proc\u00e9der \u00e9taient remplies, des sanctions (notamment p\u00e9cuniaires) peuvent \u00eatre prononc\u00e9es par l\u2019autorit\u00e9 de contr\u00f4le. Attention, la r\u00e9glementation relative aux donn\u00e9es \u00e0 caract\u00e8re personnel s’applique m\u00eame aux (toutes) petites structures ! (voir notre article \u00e0 ce sujet<\/a>)<\/p>\n <\/p>\n <\/p>\n <\/p>\n Les cons\u00e9quences possibles pour les personnes concern\u00e9es<\/strong>, dont il faut \u00e9valuer le risque, peuvent notamment \u00eatre la perte de contr\u00f4le sur leurs donn\u00e9es \u00e0 caract\u00e8res personnel, la limitation de leurs droits, le risque de discrimination, le vol ou l\u2019usurpation d\u2019identit\u00e9, la perte financi\u00e8re, le renversement non autoris\u00e9 d\u2019une proc\u00e9dure de pseudonymisation, l\u2019atteinte \u00e0 la r\u00e9putation ou la perte de confidentialit\u00e9 (notamment violation du secret professionnel par exemple), ou encore un dommage \u00e9conomique ou social important.<\/p>\n <\/p>\n En application des consid\u00e9rants 75 et 76 du RGPD, l\u2019\u00e9valuation du risque doit \u00eatre r\u00e9alis\u00e9e au cas par cas de mani\u00e8re objective<\/strong> et tenir compte \u00e0 la fois de sa probabilit\u00e9 et sa gravit\u00e9. Le G29 fournit dans ses lignes directrices pr\u00e9cit\u00e9es des pr\u00e9cisions sur les facteurs \u00e0 prendre en compte lors de l\u2019\u00e9valuation du risque :<\/p>\n <\/p>\n Il peut cependant demeurer difficile de placer avec certitude le curseur qui fait passer le risque d\u2019un niveau \u00e0 l\u2019autre : pas de risque ? existence d’un risque ? existence d’un risque \u00e9lev\u00e9 ?<\/p>\n <\/p>\n <\/p>\n <\/p>\n Afin de guider plus pr\u00e9cis\u00e9ment le responsable de traitement, le G29 fournit dans ses lignes directrices une liste d\u2019exemples concrets<\/strong>, en pr\u00e9cisant pour chaque cas si la notification \u00e0 l\u2019autorit\u00e9 de contr\u00f4le et la communication aux personnes concern\u00e9es sont n\u00e9cessaires ou non. Le CEPD poursuit sur cette voie dans un projet de lignes directrices sur des exemples concernant la notification de violation de donn\u00e9es \u00e0 caract\u00e8re personnel<\/a><\/strong> adopt\u00e9 le 14 janvier 2021 (publi\u00e9 en “version pour consultation publique”).<\/p>\n <\/p>\n La comparaison des exemples communiqu\u00e9s permet de mettre en \u00e9vidence les crit\u00e8res qui placent des violations de donn\u00e9es qui peuvent sembler de prime abord similaires dans des cat\u00e9gories de risque diff\u00e9rentes.<\/p>\n <\/p>\n Par exemple, dans l\u2019hypoth\u00e8se d\u2019une cyberattaque par ran\u00e7ongiciel<\/strong>, il conviendra de prendre en consid\u00e9ration l\u2019existence d\u2019une sauvegarde des donn\u00e9es<\/strong>, le fait qu\u2019elles soient chiffr\u00e9es<\/strong> (ce qui emp\u00eacherait qu\u2019une violation de la confidentialit\u00e9 s\u2019ajoute \u00e0 la violation de la disponibilit\u00e9) ou encore la dur\u00e9e de l\u2019indisponibilit\u00e9<\/strong>. Le statut du responsable de traitement et la nature des donn\u00e9es \u00e0 caract\u00e8re personnel concern\u00e9es<\/strong> sont \u00e9galement \u00e0 prendre en compte. Une indisponibilit\u00e9 de quelques heures n\u2019aura pas le m\u00eame impact dans un h\u00f4pital, o\u00f9 cela peut mener \u00e0 l\u2019annulation d\u2019op\u00e9rations et donc avoir des cons\u00e9quences sur la vie et la sant\u00e9 des patients, qu\u2019aupr\u00e8s d\u2019une plateforme de vente en ligne, qui pourrait “simplement” accuser de l\u00e9gers retards de livraison.<\/p>\n <\/p>\n Pour ce qui est de l\u2019envoi de donn\u00e9es \u00e0 caract\u00e8re personnel par erreur ou \u00e0 un mauvais destinataire<\/strong>, la relation de confiance entretenue avec le destinataire tiers peut jouer un r\u00f4le. Si le tiers destinataire est digne de confiance<\/strong> et que le responsable de traitement est convaincu qu\u2019il supprimera bien les donn\u00e9es \u00e0 sa demande, le risque peut \u00eatre tr\u00e8s limit\u00e9, voire disparaitre. En revanche, si le tiers destinataire est inconnu ou encore si l\u2019envoi a \u00e9t\u00e9 effectu\u00e9 \u00e0 des destinataires tiers multiples, le risque restera pr\u00e9sent.<\/p>\n <\/p>\n Ces exemples permettent d\u2019illustrer le fait que ce sont bien les cons\u00e9quences de la violation<\/strong> de donn\u00e9es qui doivent \u00eatre examin\u00e9es : des violations qui r\u00e9pondent \u00e0 des caract\u00e9ristiques semblables peuvent avoir des impacts diff\u00e9rents sur les personnes concern\u00e9es en fonction de facteurs divers. L\u2019analyse r\u00e9alis\u00e9e par le responsable de traitement doit par cons\u00e9quent \u00eatre la plus fine possible et prendre en compte les potentielles \u00e9volutions de la violation.<\/strong><\/p>\n <\/p>\n <\/p>\n La communication de la Cnil<\/a> faisant suite \u00e0 l\u2019incendie \u00e9voqu\u00e9 ci-avant s\u2019inscrit dans le m\u00eame raisonnement que celui des organes europ\u00e9ens. La Cnil donne en effet des indications afin de permettre aux responsables de traitements qui stockaient leurs donn\u00e9es dans les centres OVH de d\u00e9terminer si une notification est n\u00e9cessaire.<\/p>\n <\/p>\n Le premier crit\u00e8re mis en exergue en cas de destruction des donn\u00e9es<\/strong> est l\u2019existence ou non d\u2019une sauvegarde<\/strong>. En effet, si les donn\u00e9es peuvent \u00eatre restaur\u00e9es rapidement et ce sans cons\u00e9quence significative pour les personnes concern\u00e9es, une notification n\u2019est pas n\u00e9cessaire. En revanche, si les donn\u00e9es \u00e0 caract\u00e8re personnel sont d\u00e9finitivement perdues<\/strong>, une notification \u00e0 la Cnil sera indispensable.<\/p>\n <\/p>\n Le second crit\u00e8re pr\u00e9sent\u00e9 est l\u2019impact de l\u2019indisponibilit\u00e9 des donn\u00e9es sur l\u2019activit\u00e9 du responsable de traitement<\/strong>. Si la mise en \u0153uvre d\u2019un plan de reprise d\u2019activit\u00e9 (PRA) ou d\u2019un plan de continuit\u00e9 d\u2019activit\u00e9 (PCA) a permis d\u2019assurer la continuit\u00e9 du service ou que l\u2019interruption est tr\u00e8s br\u00e8ve et sans incidence significative pour les personnes concern\u00e9es, la notification n\u2019est pas n\u00e9cessaire. En revanche, si les donn\u00e9es \u00e0 caract\u00e8re personnel sont rest\u00e9es indisponibles suffisamment longtemps pour que cela engendre un risque pour les personnes, la notification devient obligatoire.<\/p>\n <\/p>\n Par ailleurs, les sanctions prononc\u00e9es par la CNIL il y a quelques mois \u00e0 l’encontre de deux m\u00e9decins<\/a> illustrent la s\u00e9v\u00e9rit\u00e9 de l’autorit\u00e9 de contr\u00f4le fran\u00e7aise d\u00e8s lors que des donn\u00e9es de sant\u00e9 sont concern\u00e9es<\/strong>. En effet, la Cnil a sanctionn\u00e9 l’absence de notification alors m\u00eame que c’\u00e9tait un contr\u00f4le de sa part qui avait mis en lumi\u00e8re les violations ! Cette s\u00e9v\u00e9rit\u00e9 devrait vraisemblablement se maintenir, la cybers\u00e9curit\u00e9 et les donn\u00e9es de sant\u00e9 ayant \u00e9t\u00e9 d\u00e9sign\u00e9es comme th\u00e9matiques prioritaires de contr\u00f4le pour 2021<\/a>.<\/p>\n <\/p>\n <\/p>\n *<\/p>\n *\u00a0 \u00a0 \u00a0 \u00a0 \u00a0*<\/p>\n <\/p>\n <\/p>\n Le P\u00f4le \u00ab IT & data protection \u00bb d\u2019AGIL\u2019IT se tient \u00e0 votre disposition pour vous accompagner en vue d\u2019une mise et\/ou d\u2019un maintien en conformit\u00e9 de vos pratiques au regard de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/em><\/p>\n <\/p>\n Par AGIL\u2019IT \u2013\u00a0P\u00f4le\u00a0IT<\/a>\u00a0&\u00a0Data protection<\/a><\/p>\n\n
La question centrale de l\u2019\u00e9valuation du risque<\/strong><\/h2>\n
\n
Les facteurs d\u2019\u00e9valuation du risque <\/strong><\/h2>\n
\n
Des exemples concrets pour \u00e9clairer les responsables de traitements<\/strong><\/h2>\n
Les pr\u00e9cisions europ\u00e9ennes<\/h3>\n
Les pr\u00e9cisions de la CNIL<\/h3>\n