Sécurité, violations et notification des incidents

Sécurité du traitement

L’article 32 impose des mesures techniques et organisationnelles appropriées au risque, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement. Par exemple : la pseudonymisation et le chiffrement ; des moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes ; la capacité de rétablir l’accès aux données dans des délais appropriés après un incident ; et des tests réguliers de l’efficacité des mesures.

Violations de données personnelles

Une violation de données personnelles est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données ou l’accès non autorisé à celles-ci. Le responsable du traitement la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes (article 33). Si elle est susceptible d’engendrer un risque élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais (article 34). Le sous-traitant informe le responsable du traitement dans les meilleurs délais. Toute violation — notifiée ou non — doit être documentée.

Régimes de notification parallèles

Un même incident peut déclencher plusieurs délais. Au titre de NIS2, les entités essentielles et importantes envoient une alerte précoce d’un incident important sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. DORA prévoit sa propre notification des incidents majeurs liés aux TIC pour les entités financières, et le Cyber Resilience Act impose aux fabricants de notifier les vulnérabilités activement exploitées et les incidents graves via la plateforme unique de signalement de l’ENISA, à commencer par une alerte précoce sous 24 heures. Le DPO veille à ce que le plan de réponse aux incidents recense chaque délai applicable et qui décide.