RGPD - Que faire en cas d'incident de sécurité ?

Existe-t-il un modèle de notification ?

Oui. La CNIL prévoit déjà un modèle de notification

Existe-t-il un modèle de registre des failles de sécurité ?

Non. Cependant, il n’est pas à exclure que la CNIL propose prochainement ce type d’outil.

Faut-il informer les personnes concernées par les données violées ?

Oui, sauf si :

• la violation ne présente pas un risque élevé pour les droits et libertés de la personne physique (par exemple : les données ne sont pas sensibles ou ont été cryptées) ;

OU

• l’adhérent FFB a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données personnelles affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès (par exemple : chiffrement) ;

OU

• l’adhérent FFB a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées n’est plus susceptible de se matérialiser ;

OU

• l’information individuelle des personnes concernées exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d’être informées de manière tout aussi efficace.

Dans les cas où les personnes concernées devraient être informées, il faudra au moins fournir, dans un langage clair et simple, les renseignements suivants :

• nom et coordonnées du délégué à la protection des données (DPO), ou de tout contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• conséquences probables de la violation des données personnelles ;
• mesures prises ou à prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

La CNIL peut forcer l’intéressé à procéder à l’information des personnes concernées.

Quid du sous-traitant ?

L’obligation de notification à la CNIL ou d’information des personnes concernées s’imposant au responsable de traitement, le sous-traitant n’a pas à s’en charger. Cependant, il lui incombera d’informer le responsable de traitement s’il a été victime d’une violation des données et d’aider ce dernier à accomplir ses obligations de notification ou information.