Sécurité des données, violation de données personnelles et notification à la CNIL
Ce domaine associe deux articles souvent dissociés à tort : l'article 32 (sécurité) et les articles 33-34 (violations). L'examen demande de qualifier, de décider et de documenter.
Sécurité (art. 32)
Mesures techniques et organisationnelles appropriées au risque, tenant compte de l'état de l'art et des coûts : chiffrement, pseudonymisation, gestion des habilitations et contrôle d'accès, authentification forte, journalisation, sauvegardes testées, résilience, tests et mises à jour, sécurité des sous-traitants, sensibilisation. Aucun label ne dispense de l'analyse de risque.
Violation (art. 4.12)
Tout incident affectant la confidentialité, l'intégrité ou la disponibilité : accès non autorisé, perte, altération, rançongiciel, erreur d'envoi. Réflexes :
- qualifier et contenir ;
- évaluer le risque pour les droits et libertés (gravité × vraisemblance) ;
- notifier la CNIL dans les 72 heures si un risque subsiste (art. 33) ;
- informer les personnes si le risque est élevé (art. 34) ;
- consigner dans le registre des violations (art. 33 § 5), même sans notification.
Exemple raisonné
Perte d'un ordinateur portable non chiffré contenant 400 dossiers RH (identité, IBAN, arrêts de travail). Raisonnement : violation de confidentialité ; données RH, bancaires et de santé = risque élevé ; notification CNIL sous 72 heures avec nature, volumes, conséquences probables et mesures ; information individuelle des 400 personnes ; inscription au registre ; mesure corrective (chiffrement des postes). Le sous-traitant hébergeur, lui, alerte le responsable sans délai.
Pièges à éviter
- Notifier toutes les violations, ou n'en notifier aucune par prudence excessive.
- Compter 72 heures ouvrées.
- Informer la CNIL en omettant les personnes lorsque le risque est élevé.
- Oublier le registre, exigé même en l'absence de notification.