Procédure en cas de violation de données selon la CNIL
Procédure en cas de violation de données selon la CNIL
La présente procédure décrit la manière dont silvionex traite un incident susceptible d’affecter des données à caractère personnel.
Elle s’applique notamment aux données liées aux commandes, aux coordonnées des clients, aux informations nécessaires à la livraison, aux échanges avec le service après-vente, aux demandes relatives aux droits des personnes et aux données techniques nécessaires au fonctionnement du site.
L’objectif est de détecter rapidement un incident, d’en limiter les conséquences, d’évaluer les risques pour les personnes concernées et de respecter les obligations prévues par le Règlement général sur la protection des données.
1. Définition d’une violation de données personnelles
Une violation de données personnelles est un incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données à caractère personnel.
Une violation peut donc affecter :
la confidentialité des données ;
leur intégrité ;
leur disponibilité ;
ou plusieurs de ces éléments simultanément.
Un incident technique qui n’affecte aucune donnée personnelle n’est pas automatiquement une violation au sens du RGPD.
2. Exemples d’incidents susceptibles de constituer une violation
Dans le cadre d’une activité de vente de mobilier en ligne, une violation peut notamment correspondre à :
l’envoi des informations d’une commande au mauvais destinataire ;
l’accès non autorisé à des informations relatives à des clients ;
la compromission d’un compte disposant d’un accès aux données de commandes ;
la perte d’un fichier contenant des coordonnées de clients ;
la modification non autorisée de données personnelles ;
la suppression accidentelle de données lorsque leur indisponibilité crée un risque pour les personnes ;
l’exposition involontaire de données dans une interface accessible à des personnes non autorisées ;
la transmission indue d’informations personnelles à un prestataire ou à un tiers.
Chaque situation doit être examinée individuellement afin de déterminer si des données personnelles ont réellement été affectées.
3. Détection et signalement interne
Tout incident susceptible de compromettre des données personnelles doit être signalé rapidement à la personne chargée de coordonner son traitement.
Le signalement initial doit, dans la mesure du possible, préciser :
la date et l’heure de découverte ;
le système ou le service concerné ;
la nature apparente de l’incident ;
les catégories de données potentiellement affectées ;
les premières mesures déjà prises ;
l’existence éventuelle d’un accès par une personne non autorisée.
L’absence d’informations complètes au moment de la détection ne doit pas retarder inutilement les premières mesures de sécurité.
4. Mesures immédiates de confinement
Dès qu’un incident est identifié, des mesures proportionnées sont mises en œuvre afin d’éviter son aggravation.
Selon la situation, ces mesures peuvent notamment comprendre :
la désactivation temporaire d’un accès compromis ;
la modification d’identifiants ou de mots de passe ;
la suspension d’une clé ou d’un jeton d’accès ;
l’isolement d’un système affecté ;
la suppression d’un lien public non autorisé ;
la correction d’un paramètre de confidentialité incorrect ;
la récupération ou la sécurisation d’un fichier exposé ;
la prise de contact avec un prestataire directement concerné.
Ces mesures visent à réduire l’exposition des données tout en préservant, lorsque cela est possible, les informations nécessaires à l’analyse de l’incident.
5. Préservation des éléments utiles à l’enquête
Les journaux techniques, dates, événements de connexion, paramètres concernés, notifications reçues et autres éléments utiles peuvent être conservés afin de comprendre l’origine et l’étendue de l’incident.
Les éléments de preuve ne doivent pas être supprimés prématurément lorsqu’ils sont nécessaires à l’analyse de la violation ou à la justification des mesures prises.
Leur accès doit néanmoins rester limité aux personnes ayant besoin de les consulter.
6. Moment auquel silvionex est considéré comme ayant connaissance de la violation
Le délai réglementaire ne commence pas nécessairement au premier signal technique non vérifié.
Selon les indications de la CNIL, le responsable du traitement est considéré comme ayant connaissance de la violation lorsqu’il dispose d’un degré raisonnable de certitude qu’un incident s’est produit et qu’il a effectivement touché des données personnelles.
Une investigation préliminaire doit donc être menée rapidement afin de déterminer si les faits constituent réellement une violation.
Cette vérification ne doit toutefois pas être utilisée pour retarder artificiellement le point de départ du délai réglementaire.
7. Analyse de la nature de la violation
Une fois l’incident confirmé, l’analyse doit déterminer précisément :
si la confidentialité a été compromise ;
si des données ont été modifiées ;
si des données ont été détruites ou rendues indisponibles ;
si une personne non autorisée a pu y accéder ;
si les données ont effectivement été copiées ou transmises ;
la durée pendant laquelle elles ont pu être exposées.
Cette analyse sert de base à l’évaluation du risque pour les personnes concernées.
8. Identification des données concernées
Les catégories de données affectées doivent être identifiées aussi précisément que possible.
Dans notre activité, elles peuvent notamment comprendre :
nom et prénom ;
adresse électronique ;
numéro de téléphone ;
adresse de livraison ;
adresse de facturation ;
numéro ou référence de commande ;
historique d’échanges avec le service client ;
informations relatives à un retour ou à un remboursement ;
données techniques liées à l’utilisation du site.
Il convient également d’estimer, lorsque cela est possible, le nombre de personnes et le nombre d’enregistrements concernés.
9. Évaluation des conséquences possibles
Le niveau de risque n’est pas déterminé uniquement par le nombre de données concernées.
L’analyse tient notamment compte :
de la nature des informations exposées ;
du caractère identifiable des personnes ;
du volume de données concerné ;
de la durée de l’exposition ;
de la possibilité que les informations aient été copiées ;
des personnes susceptibles d’avoir obtenu l’accès ;
de la facilité avec laquelle les données pourraient être utilisées de manière abusive ;
des conséquences potentielles pour les personnes.
Les conséquences possibles peuvent notamment inclure une perte de contrôle sur les données, une tentative d’usurpation d’identité, une fraude, une perte financière, une atteinte à la réputation ou d’autres dommages matériels ou immatériels.
10. Classification du niveau de risque
Après analyse, la violation est classée selon l’un des niveaux suivants :
Aucun risque vraisemblable pour les droits et libertés : l’incident doit être documenté en interne, mais il n’est pas nécessaire de le notifier à la CNIL ni aux personnes concernées.
Risque pour les droits et libertés : l’incident doit être documenté et notifié à la CNIL dans les conditions prévues par le RGPD.
Risque élevé pour les droits et libertés : l’incident doit être documenté, notifié à la CNIL et communiqué aux personnes concernées dans les meilleurs délais, sauf exception prévue par le RGPD.
11. Registre interne obligatoire des violations
Toutes les violations de données personnelles confirmées sont consignées dans un registre interne, y compris celles qui ne donnent lieu à aucune notification externe.
Le registre doit permettre de documenter notamment :
la nature de la violation ;
la date ou période de survenance lorsqu’elle est connue ;
la date de découverte ;
les catégories de personnes concernées ;
leur nombre approximatif, lorsque cela est possible ;
les catégories de données concernées ;
le nombre approximatif d’enregistrements affectés ;
les conséquences probables ;
les mesures de confinement et de correction ;
l’analyse du niveau de risque ;
la décision de notifier ou non la CNIL ;
la décision d’informer ou non les personnes concernées.
Lorsqu’aucune notification n’est effectuée, les raisons de cette décision doivent pouvoir être justifiées.
12. Notification à la CNIL
Lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, silvionex doit la notifier à l’autorité de contrôle compétente dans les meilleurs délais.
Lorsque la CNIL est l’autorité compétente, la notification est effectuée au moyen du téléservice officiel qu’elle met à disposition.
13. Délai de 72 heures
Lorsqu’une notification à la CNIL est nécessaire, elle doit être effectuée dans les meilleurs délais et, lorsque cela est possible, au plus tard dans les 72 heures après que le responsable du traitement a pris connaissance de la violation.
Le délai de 72 heures ne signifie pas qu’il est permis d’attendre volontairement jusqu’à la dernière heure lorsque les informations nécessaires sont déjà disponibles.
La notification doit être faite aussi rapidement que raisonnablement possible.
14. Notification initiale même lorsque l’enquête n’est pas terminée
Il n’est pas nécessaire d’attendre la fin complète de l’enquête pour effectuer une notification lorsque l’existence d’une violation devant être notifiée est déjà établie.
Lorsque certaines informations ne sont pas encore disponibles, une notification initiale peut être transmise puis complétée ultérieurement.
Les informations complémentaires sont fournies sans retard injustifié dès qu’elles deviennent disponibles.
15. Dépassement du délai de 72 heures
Si la notification requise ne peut pas être réalisée dans le délai de 72 heures, elle doit néanmoins être effectuée.
Les raisons du retard doivent alors être expliquées à la CNIL dans la notification.
Le dépassement du délai ne constitue donc pas une raison permettant de renoncer à signaler une violation qui devait être notifiée.
16. Informations transmises à la CNIL
Dans la mesure où elles sont disponibles, la notification comprend notamment :
une description de la nature de la violation ;
les catégories de personnes concernées ;
leur nombre approximatif ;
les catégories d’enregistrements concernés ;
leur nombre approximatif ;
les conséquences probables de la violation ;
les mesures prises ou envisagées pour y remédier ;
les mesures destinées à limiter les éventuelles conséquences négatives ;
les coordonnées permettant à l’autorité d’obtenir des informations complémentaires.
Si certaines de ces informations ne peuvent être communiquées immédiatement, elles peuvent être transmises progressivement conformément au RGPD.
17. Cas dans lequel aucune notification à la CNIL n’est nécessaire
Une violation ne doit pas être notifiée à la CNIL lorsqu’il est peu probable qu’elle engendre un risque pour les droits et libertés des personnes physiques.
Cette absence de notification doit résulter d’une analyse réelle de la situation et non d’une décision automatique.
L’incident reste obligatoirement documenté dans le registre interne des violations.
18. Information des personnes concernées
La notification à la CNIL et l’information des personnes concernées répondent à deux seuils différents.
Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, celles-ci doivent être informées dans les meilleurs délais, sauf lorsqu’une exception prévue par le RGPD est applicable.
L’objectif est de leur permettre de prendre rapidement les mesures utiles pour se protéger.
19. Contenu de l’information adressée aux personnes
Lorsque cette communication est nécessaire, elle doit être formulée en termes clairs et compréhensibles.
Elle indique au minimum :
la nature de la violation ;
ses conséquences probables ;
les mesures déjà prises ou envisagées pour corriger l’incident ;
les mesures destinées à en limiter les conséquences ;
un moyen de contact permettant d’obtenir davantage d’informations.
Lorsque cela est utile, des recommandations pratiques sont également communiquées afin d’aider les personnes concernées à réduire les risques.
20. Recommandations pouvant être adressées aux personnes
Selon la nature de la violation, les mesures recommandées peuvent notamment comprendre :
modifier un mot de passe compromis ;
éviter de réutiliser ce mot de passe sur d’autres services ;
vérifier les informations présentes sur un compte ;
être vigilant face aux messages frauduleux ;
ne pas communiquer de code de sécurité à la suite d’une sollicitation inhabituelle ;
surveiller les activités présentant un lien plausible avec les données exposées.
Les recommandations doivent rester adaptées à l’incident réel et ne pas créer inutilement d’inquiétude.
21. Cas particuliers permettant de ne pas communiquer directement aux personnes
Dans certaines situations prévues par le RGPD, la communication individuelle peut ne pas être requise, notamment lorsque des mesures de protection appropriées rendaient les données incompréhensibles pour une personne non autorisée ou lorsque des mesures ultérieures ont éliminé la probabilité qu’un risque élevé se matérialise.
Lorsque la communication individuelle exigerait des efforts disproportionnés, une communication publique ou une mesure équivalente permettant d’informer les personnes de manière tout aussi efficace peut être nécessaire.
Toute décision de ne pas informer directement les personnes malgré l’existence initiale d’un risque élevé doit être juridiquement justifiable et documentée.
22. Intervention d’un prestataire
Lorsqu’un prestataire traitant des données pour notre compte découvre une violation affectant ces données, il doit nous en informer dans les meilleurs délais après en avoir pris connaissance.
Cette remontée rapide est nécessaire afin de permettre à silvionex d’évaluer le risque et, lorsque cela est requis, de respecter le délai de 72 heures.
Les relations avec les prestataires traitant des données pour notre compte doivent donc prévoir des mécanismes adaptés de notification et de coopération en cas d’incident.
23. Coordination avec les prestataires concernés
Lorsqu’un incident implique un transporteur, un prestataire technique, un prestataire de paiement ou un autre intervenant, seules les informations nécessaires à l’analyse et à la correction de la violation doivent être échangées.
La coopération peut notamment porter sur :
la chronologie de l’incident ;
les données concernées ;
les journaux techniques disponibles ;
les mesures de confinement ;
les corrections déjà appliquées ;
les personnes susceptibles d’avoir été affectées.
Le recours à un prestataire ne supprime pas les responsabilités propres du responsable du traitement.
24. Cas particulier d’une erreur d’envoi
Lorsqu’un message contenant des données relatives à un client est adressé par erreur à une autre personne, la situation doit être évaluée comme une possible violation de confidentialité.
Il convient notamment de déterminer quelles informations étaient visibles, qui les a reçues, si elles ont pu être téléchargées ou copiées et si le destinataire peut raisonnablement être invité à les supprimer.
Le simple fait que le destinataire affirme avoir supprimé le message ne dispense pas automatiquement de l’analyse du risque.
25. Cas particulier d’un accès non autorisé à un compte
Lorsqu’un compte utilisé pour administrer ou consulter des données personnelles est compromis, l’accès concerné doit être sécurisé dès que possible.
Selon la situation, cela peut nécessiter :
la réinitialisation des identifiants ;
la révocation des sessions actives ;
le contrôle des connexions récentes ;
la vérification des modifications effectuées ;
la recherche d’exportations ou de téléchargements anormaux.
Le niveau de risque dépend notamment des données réellement accessibles à partir du compte compromis.
26. Cas particulier d’une indisponibilité ou destruction de données
Une violation ne concerne pas uniquement les fuites d’informations.
La destruction accidentelle ou l’indisponibilité de données personnelles peut également constituer une violation lorsqu’elle affecte leur disponibilité.
Il convient alors d’évaluer notamment la possibilité de restauration, la durée de l’indisponibilité et les conséquences susceptibles d’en résulter pour les personnes.
27. Restauration et correction
Après le confinement initial, les systèmes concernés sont remis dans un état sûr avant leur retour à un fonctionnement normal.
Selon l’incident, cela peut comprendre :
la correction d’une configuration ;
la mise à jour d’un composant ;
la suppression d’un accès devenu inutile ;
le renforcement de l’authentification ;
la restauration de données à partir d’une sauvegarde fiable ;
la modification d’un processus interne ayant contribué à l’incident.
Une restauration ne doit pas réintroduire la vulnérabilité ayant provoqué la violation.
28. Analyse de la cause racine
Après stabilisation de l’incident, son origine doit être recherchée afin d’éviter qu’il se reproduise.
L’analyse peut notamment porter sur :
une erreur humaine ;
un droit d’accès excessif ;
un mot de passe compromis ;
une mauvaise configuration ;
une vulnérabilité technique ;
un processus de transmission insuffisamment sécurisé ;
une insuffisance dans le contrôle d’un prestataire.
L’objectif n’est pas uniquement d’identifier l’erreur immédiate, mais aussi les conditions qui ont permis qu’elle se produise.
29. Mesures correctives après l’incident
Les enseignements tirés de la violation peuvent conduire à modifier les mesures techniques ou organisationnelles existantes.
Cela peut notamment comprendre :
la réduction du nombre de personnes disposant d’un accès ;
l’amélioration de l’authentification ;
la révision des procédures internes ;
le renforcement de la journalisation ;
l’amélioration des systèmes d’alerte ;
une formation complémentaire des personnes autorisées à traiter les données ;
la révision des obligations imposées aux prestataires.
Les mesures doivent être proportionnées au risque réellement identifié.
30. Réévaluation après notification
Une analyse effectuée immédiatement après la découverte peut évoluer lorsque de nouvelles informations apparaissent.
Si l’étendue de la violation s’avère plus importante qu’initialement estimé, l’évaluation du risque doit être mise à jour.
Une notification complémentaire peut alors être adressée à la CNIL.
De même, une violation initialement considérée comme présentant un simple risque peut finalement nécessiter une information des personnes si de nouveaux éléments établissent un risque élevé.
31. Documentation des décisions
Les décisions prises lors du traitement d’une violation doivent être suffisamment documentées pour permettre de comprendre :
les faits disponibles au moment de la décision ;
l’évaluation du risque ;
les raisons ayant conduit à notifier ou non la CNIL ;
les raisons ayant conduit à informer ou non les personnes concernées ;
les mesures correctives décidées.
Cette traçabilité contribue au respect du principe de responsabilité prévu par le RGPD.
32. Confidentialité pendant la gestion de l’incident
Une violation de données ne doit pas entraîner une diffusion supplémentaire inutile des informations concernées.
Les échanges internes relatifs à l’incident sont limités aux personnes dont l’intervention est nécessaire à l’analyse, à la correction, à la notification ou à la communication aux personnes concernées.
Les documents contenant des données relatives à l’incident doivent eux-mêmes être protégés de manière appropriée.
33. Différence entre incident de sécurité et notification publique
La découverte d’une violation ne signifie pas qu’une annonce publique générale doit automatiquement être publiée.
Le mode de communication dépend du niveau de risque, du nombre de personnes concernées, de la possibilité de les contacter et des exigences prévues par le RGPD.
Lorsqu’une communication publique est nécessaire, son contenu doit rester factuel, utile et proportionné.
34. Relation avec les droits des personnes
Une personne concernée par une violation conserve les droits qui lui sont reconnus par le RGPD.
Selon les conditions applicables, elle peut notamment demander l’accès à ses données, leur rectification, leur effacement, la limitation de certains traitements ou exercer son droit d’opposition.
Une personne peut également adresser une réclamation à l’autorité de contrôle compétente lorsqu’elle estime que ses données n’ont pas été traitées conformément à la réglementation.
35. Autorité de contrôle en France
En France, l’autorité de contrôle compétente en matière de protection des données personnelles est la Commission nationale de l’informatique et des libertés (CNIL).
Lorsqu’une violation doit être notifiée, le responsable du traitement utilise le téléservice officiel de notification de violation mis à disposition par la CNIL.
Ce téléservice est destiné aux responsables de traitement souhaitant notifier une violation et ne remplace pas le service permettant aux particuliers de déposer une plainte.