Politique de confidentialité
Plan d'urgence en cas de violation de données - STEAMRS
Date: 10-03-2021
Version: 1001
1. Introduction
La législation actuelle en matière de protection de la vie privée (le Règlement général sur la protection des données, ci-après dénommé "RGPD") prévoit une obligation de notification des violations de données. Cette notification obligatoire oblige les organisations à signaler les fuites de données au régulateur (aux Pays-Bas, il s'agit de l'Autorité pour les données personnelles) et, dans certains cas, aux personnes concernées (les personnes auxquelles se rapportent les données qui ont fait l'objet d'une fuite, par exemple les membres, les abonnés et/ou les employés).
Ce plan d'urgence décrit la manière dont le STEAMRS traite les fuites de données. Il précise comment et à qui les rapports doivent être transmis en interne, qui est responsable de chaque rapport et comment et sous quelle forme le rapport est transmis à l'autorité de régulation et, éventuellement, aux personnes concernées.
Si de futurs amendements/modifications (juridiques) nécessitent une adaptation du présent document, la personne responsable au sein du STEAMRS procédera à cette adaptation et mettra à jour le numéro de version.
2. Qu'est-ce qu'une violation de données ?
2.1. Introduction
Toutes les violations de données ne doivent pas nécessairement être signalées à l'autorité de régulation. Une violation de données qui doit être signalée à l'autorité de régulation est définie comme suit dans le MAV :
Une violation de la sécurité entraînant accidentellement ou illégalement la destruction, la perte, l'altération ou la divulgation non autorisée de données transmises, stockées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.
En vertu du règlement général sur la protection des données (RGPD), une violation de données est appelée "violation de données à caractère personnel". Dans la pratique, cependant, nous l'appelons souvent "violation de données", ce qui signifie la même chose. Une violation de données doit être signalée, sauf s'il est peu probable qu'elle présente un risque raisonnable pour les personnes concernées.
Pour déterminer s'il s'agit d'une violation de données, il convient de répondre aux questions suivantes, dans l'ordre :
- Y a-t-il eu une violation de la sécurité ("incident de sécurité") ?
- Des données à caractère personnel ont-elles été perdues lors de la violation ?
- Des données à caractère personnel ont-elles été traitées de manière illicite ?
- La perte de données à caractère personnel ou leur traitement illégal entraînent-ils un risque (élevé) pour les personnes concernées ?
Chaque question constitue une étape dans la détermination de l'existence d'une violation de données. Ces étapes sont expliquées ci-dessous.
2.2. Violation de la sécurité
Il y a violation de la sécurité lorsqu'un incident s'est effectivement produit. Une simple menace de violation de la sécurité n'est donc pas encore un incident.
Voici quelques exemples d'incidents de sécurité
- une clé USB perdue
- un ordinateur portable volé ;
- un mailing est envoyé avec toutes les adresses électroniques en CC au lieu de BCC
- un pirate informatique qui s'introduit dans l'entreprise ;
- une infection par un logiciel malveillant
- une catastrophe telle qu'un incendie dans un centre de données.
Une violation de la sécurité devient alors une violation de données lorsqu'elle affecte des données à caractère personnel traitées par le STEAMRS.
2.3. Perte de données à caractère personnel
Si, en raison de la violation de la sécurité, des données à caractère personnel ont été perdues et qu'il n'existe plus de copie de sauvegarde complète et à jour, il s'agit toujours d'une violation de données.
Exemple : une base de données contenant des données sur les clients est détruite : Si une base de données contenant des données clients est détruite à la suite d'une erreur commise par un programmeur ou un employé du STEAMRS, et qu'il n'existe pas de copie de sauvegarde de ces données, il s'agit d'une violation de données.
En outre, l'indisponibilité temporaire de données à caractère personnel peut également entraîner une violation de données, lorsqu'une personne concernée est potentiellement exposée à un risque. Prenons l'exemple d'un hôpital dont les dossiers médicaux sont indisponibles pendant un certain temps. Cette situation peut entraîner le report d'opérations et mettre les patients en danger de mort. Même dans ce cas, on peut parler de violation de données entraînant un risque (élevé) pour les personnes concernées (dans ce cas, les patients).
2.4. Traitement illicite
Il est également possible que des données aient été traitées de manière illicite. Cela signifie, par exemple, que des personnes non autorisées ont eu accès à des données auxquelles elles n'auraient pas dû avoir accès. Parmi les autres formes de traitement illicite, on peut citer la modification ou l'altération illicite de données à caractère personnel et la fourniture de données à caractère personnel à des personnes non autorisées. Dans ces cas, il incombe au STEAMRS de prouver que quelqu'un n'a pas pu accéder aux données ou n'en a rien fait.
Lorsque le STEAMRS ne peut pas exclure que des données à caractère personnel ont été perdues ou traitées illégalement, il s'agit d'une violation de données.
Exemple : Si un courriel contenant des données à caractère personnel a été envoyé accidentellement à une adresse électronique incorrecte et que l'expéditeur reçoit immédiatement une notification indiquant que le courriel n'est pas arrivé parce que l'adresse électronique n'existe pas, il ne s'agit pas d'une violation de données. Toutefois, si l'expéditeur ne reçoit pas de message d'erreur, il n'y a aucun moyen de s'assurer que le courriel n'est pas parvenu à une personne non autorisée et il s'agit donc d'une violation de données.
2.5. La perte de données à caractère personnel ou leur traitement illicite entraînent-ils un risque (élevé) pour les personnes concernées ?
Il y a fuite de données lorsqu'un traitement illicite a effectivement eu lieu ou que des données à caractère personnel ont été (temporairement) perdues. La simple existence d'un risque éventuel n'est donc pas considérée comme une violation de données.
Exemple : Si un employé du STEAMRS a écrit le mot de passe de sa boîte aux lettres électronique sur une note et que cette note a été perdue, il peut s'agir d'une violation de données si le STEAMRS ne peut pas exclure que des personnes non autorisées aient eu accès à la boîte aux lettres électronique de l'employé.
Toutefois, si le STEAMRS peut exclure cette possibilité, par exemple en réinitialisant immédiatement le mot de passe et en constatant dans les fichiers journaux que personne ne s'est connecté entre-temps, il ne s'agit pas d'une violation de données.
Si la violation de données peut présenter un risque pour les personnes dont les données à caractère personnel ont été divulguées, cette violation de données doit être signalée à l'autorité de régulation. Si la violation de données peut présenter un risque élevé pour les personnes dont les données à caractère personnel ont été divulguées, les personnes concernées doivent également être informées. Les chapitres 3 et 5 du présent plan d'urgence en cas de violation de données précisent quand on peut parler de risque et quand on peut parler de risque élevé.
3. Quand signaler la fuite à l'autorité de régulation ?
3.1. Introduction
Dès qu'il y a une fuite de données telle que décrite au chapitre 2, il appartient au STEAMRS d'évaluer, pour chaque fuite de données identifiée, si celle-ci doit être signalée à l'autorité de contrôle. L'autorité de contrôle déclare qu'une violation de données doit lui être signalée s'il existe un risque pour les droits et libertés des personnes concernées.
Ce critère est détaillé ci-dessous.
3.2. Gravité quantitative
Une fuite peut entraîner un risque si elle concerne une grande quantité de données (quantitativement grave). Par exemple, une fuite dans l'une des bases de données du STEAMRS, qui aurait pour conséquence que les noms et adresses de, disons, 1 000 clients du STEAMRS se retrouveraient dans la rue, serait quantitativement grave et devrait donc être signalée à l'autorité de régulation. La loi sur la protection des données ne précise pas quelle quantité de données permet de déterminer si la violation de données est quantitativement grave ou non. Il faudra donc évaluer la situation au cas par cas. Cela pourrait inclure l'examen des points suivants Quelle quantité de données a été divulguée ? Combien de personnes ont été impliquées ? Et quelle quantité de données a été divulguée par personne ?
3.3. Gravité qualitative
En outre, une fuite peut également être grave si aucun volume important de données à caractère personnel n'a été divulgué, mais qu'elle concerne des données à caractère personnel sensibles (qualitativement grave). Voici quelques exemples de données à caractère personnel sensibles :
- données de connexion ;
- données financières ;
- copies de documents d'identité ;
- données criminelles ;
- les données relatives aux performances professionnelles ;
- les données relatives aux convictions de vie ;
- les données relatives à la santé.
La catégorie des "données à caractère personnel sensibles" est donc plus large que celle des "données à caractère personnel particulières" prévue par la loi sur la protection des données. Les données personnelles particulières sont des données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne, ainsi que les données génétiques, les données biométriques permettant d'identifier une personne de manière unique, les données relatives à la santé ou les données relatives au comportement sexuel ou à l'orientation sexuelle d'une personne.
La nature et l'ampleur de la violation de données doivent être prises en compte dans chaque cas lorsqu'il s'agit de déterminer s'il convient de signaler une fuite à l'autorité de régulation. Ce qui est certain dans tous les cas, c'est que dès qu'il y a fuite de données sensibles, celle-ci doit toujours être signalée au superviseur en raison de sa gravité qualitative, quel que soit le nombre de données concernant le nombre de personnes qui ont fait l'objet de la fuite (gravité quantitative).
Exemple : à la suite d'une fuite dans la base de données du STEAMRS, des personnes non autorisées ont brièvement eu accès aux données des clients, y compris à leurs arriérés de paiement. Une telle fuite de données sensibles doit être signalée au régulateur.
3.4. Délai
La fuite de données doit être signalée à l'Autorité des données personnelles dès que possible, mais au plus tard dans les 72 heures suivant sa découverte par le STEAMRS. Ce délai court à partir du moment où le STEAMRS peut établir avec une certitude raisonnable qu'il y a eu une violation de la sécurité impliquant des données à caractère personnel.
Une notification peut être retirée ou modifiée par la suite, dans le cas où la nature exacte ou l'étendue de la fuite n'est pas connue dans les 72 heures. Dans ce cas, il suffit de l'indiquer dans la notification.
Une fuite de données peut provenir soit du STEAMRS, soit de l'un de ses sous-traitants, dès lors qu'il a connaissance de la fuite de données. Un sous-traitant est une partie qui traite des données à caractère personnel au nom du STEAMRS. Il peut s'agir, par exemple, de l'hébergeur du site web ou d'un fournisseur de logiciels. C'est le responsable du traitement qui, en dernier ressort, effectue la notification à l'autorité de régulation, sauf accord contraire. Il est donc important pour le STEAMRS de conclure des accords écrits appropriés avec ses sous-traitants en ce qui concerne la notification des violations de données au STEAMRS.
3.5. Où notifier ?
Une fuite de données doit être signalée via le site web de l'autorité de régulation. Aux Pays-Bas, cela peut se faire par l'intermédiaire du bureau de signalement sur le site web de l'Autorité pour les données personnelles. Le formulaire doit contenir plusieurs informations. Ceux-ci sont détaillés au chapitre 4.
4. Que faut-il signaler à l'autorité de régulation ?
L'Autorité des données personnelles souhaite obtenir des informations spécifiques en cas de violation de données devant être signalée. Ces informations sont présentées ci-dessous.
Informations générales
À propos du programme STEAMRS
- STEAMRS by DREAMRS
Adresse (bureau) :
- Leistraat 1
- 4818NA, Breda
Veuillez noter qu'il ne s'agit pas de l'adresse d'une salle d'exposition ou d'un magasin.
- Numéro de la chambre de commerce : 77325648
- STEAMRS est spécialisé dans la vente de vêtements de luxe et de gadgets d'entretien.
Implication d'une autre organisation
- Une autre organisation a-t-elle été impliquée dans l'infraction ?
- Nom de l'autre organisation
- À quel titre l'autre organisation a-t-elle été impliquée dans l'infraction ?
Calendrier
- Date exacte de la violation, si elle est connue
- Date de début de la période au cours de laquelle la violation a eu lieu
- Date de fin de la période pendant laquelle la violation a été commise
- L'infraction se poursuit-elle actuellement ?
- Quand l'infraction a-t-elle été découverte ?
- Si vous signalez la violation plus de 72 heures après sa découverte, quelle en est la raison ?
Détails de la violation de données
- Quelle est la nature de la violation ?
o Violation de la confidentialité des données
o Atteinte à l'intégrité des données
o Atteinte à la disponibilité des données
- Quelle est la nature de l'incident ?
o Appareil (par exemple, téléphone ou ordinateur portable), support de données (par exemple, clé USB) ou papier perdu ou volé
o Lettre ou colis postal perdu ou retourné ouvert
o Piratage, logiciel malveillant (par ex. ransomware) et/ou hameçonnage (phishing)
o Données à caractère personnel jetées avec les vieux papiers
o Données à caractère personnel encore présentes sur un appareil ou un support de données jeté (par exemple, une clé USB)
o Données personnelles publiées accidentellement
o Données personnelles de la mauvaise personne affichées sur le portail
o Données à caractère personnel envoyées ou remises au mauvais destinataire
o Autre
- Veuillez résumer l'incident au cours duquel la violation de la sécurité des données à caractère personnel s'est produite.
Données à caractère personnel concernées par la violation
- Quel type de données à caractère personnel a été impliqué (plusieurs réponses possibles) ?
o Nom
o Sexe, date de naissance et/ou âge
o Numéro de service civique (BSN)
o Coordonnées
o Données d'accès ou d'identification (par exemple, nom de connexion/mot de passe)
o Données financières (par exemple, numéro de compte, numéro de carte de crédit)
o Copies de passeport ou d'autres documents d'identification
o Données de localisation
o Données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sécurité qui s'y rapportent
o Données personnelles particulières (par exemple, race, ethnie, opinion politique, appartenance syndicale, religion, vie sexuelle, données médicales, données génétiques et données biométriques)
o Autres données/inconnues, à savoir (veuillez compléter)
- Veuillez indiquer (par approximation si nécessaire) le nombre d'enregistrements de données ("registres de données") concernés par la violation.
Le groupe de personnes dont les données à caractère personnel sont concernées par la violation de données
- Quels sont les groupes de personnes dont les données à caractère personnel sont affectées par la violation de données ?
o Les employés
o Clients (actuels et potentiels)
o Élèves ou étudiants
o Patients
o Mineurs
o Personnes appartenant à des groupes vulnérables
- Décrivez le groupe de personnes dont les données à caractère personnel sont affectées par la violation.
- Nombre minimum et maximum de personnes dont les données à caractère personnel sont concernées par la violation ?
Mesures prises avant la violation de données
- Les données à caractère personnel étaient-elles cryptées, hachées ou autrement inintelligibles ou inaccessibles aux personnes non autorisées au moment où la violation s'est produite ?
- Si les données à caractère personnel ont été rendues partiellement ou totalement inintelligibles ou inaccessibles, quelle était la partie concernée ?
- Si les données à caractère personnel ont été rendues totalement ou partiellement inintelligibles ou inaccessibles, de quelle manière cela s'est-il produit ?
Conséquences de la violation de données
- Quelles sont les conséquences de la violation ?
o Des personnes non autorisées ont pu prendre connaissance des données.
o Les données ont pu être utilisées de manière abusive ou illégale
o Des données à caractère personnel potentiellement incorrectes, incomplètes ou obsolètes sont utilisées au sein de sa propre organisation.
o des données à caractère personnel inexactes, incomplètes ou périmées peuvent être réutilisées à d'autres fins ou transmises à d'autres organisations
o un service essentiel peut cesser temporairement d'être fourni aux personnes concernées
o un service essentiel ne peut plus être fourni aux personnes concernées de manière permanente
o Autre, à savoir [à compléter].
- Quel impact la violation pourrait-elle avoir sur la vie privée des personnes concernées ?
o Discrimination
o Usurpation d'identité ou fraude
o Pertes financières
o Atteinte à la réputation
o Perte de confidentialité des données à caractère personnel protégées par le secret professionnel
o Annulation non autorisée de la pseudonymisation
o les personnes concernées sont empêchées d'exercer leurs droits et libertés
o Les personnes concernées sont empêchées d'exercer un contrôle sur leurs données à caractère personnel.
- Veuillez fournir une évaluation de la gravité de l'impact potentiel sur les personnes concernées :
o Négligeable
o Limité
o Important
o Très élevé
Mesures de suivi après la violation de données
- Avez-vous signalé la violation de données aux personnes concernées ou avez-vous l'intention de le faire ?
o Oui
o Non
o Pas encore connu
- Quand avez-vous signalé ou allez-vous signaler la violation de données aux personnes concernées ?
- Quel est le contenu de la notification aux personnes concernées ?
- Combien de personnes concernées avez-vous notifiées ou allez-vous notifier ?
- Quel(s) outil(s) de communication utilisez-vous ou utiliserez-vous pour notifier les personnes concernées ?
- Pourquoi vous abstenez-vous de notifier la violation de données aux personnes concernées ?
o Les mesures de protection technique que j'ai mises en place offrent une protection suffisante pour ne pas notifier la personne concernée.
o Il est peu probable que la violation de données ait un impact négatif sur la vie privée de la personne concernée pour les raisons suivantes : (veuillez compléter)
o J'ai des raisons impérieuses de ne pas notifier la personne concernée, à savoir : (veuillez compléter)
o Autre, à savoir : (veuillez compléter)
- Quelles mesures techniques et organisationnelles votre organisation a-t-elle prises pour remédier à la violation et prévenir d'autres violations ?
- La violation s'est-elle produite dans le cadre d'un traitement transfrontalier de données et l'autorité de contrôle des données à caractère personnel est-elle le superviseur principal de ce traitement ?
- S'il s'agit d'un traitement de données transfrontalier, quels sont les pays de l'UE concernés ?
- Avez-vous signalé ou allez-vous signaler la violation de données aux autorités de régulation d'un ou de plusieurs autres pays de l'UE ?
o Oui, à savoir : (veuillez compléter)
o Non
Autre
- Selon vous, cette notification est-elle complète ?
o Oui, les informations requises ont été fournies et aucune notification de suivi n'est nécessaire
o Non, il y aura une notification de suivi plus tard avec des informations supplémentaires sur cette violation de données.
Après avoir fait une déclaration à l'autorité de régulation, une confirmation de cette déclaration s'affiche dans le navigateur. La confirmation de réception doit être imprimée (au format pdf) et sauvegardée par STEAMRS. Cette confirmation indique également le numéro de la notification, qui est nécessaire pour modifier et/ou retirer une notification.
5. Quand la fuite doit-elle être signalée aux personnes concernées ?
5.1. Introduction
Une fuite de données peut nécessiter d'être signalée non seulement à l'autorité de régulation, mais aussi aux personnes dont les données ont été divulguées (les personnes concernées). C'est le cas lorsque la violation de données présente un risque élevé pour les droits et libertés des personnes concernées.
5.2. Conséquences négatives
Une fuite de données a des conséquences défavorables lorsque la vie privée des personnes concernées est affectée par la fuite. Voici quelques exemples de ces conséquences
- la publication illégale ;
- atteinte à l'honneur et à la réputation
- l'usurpation d'identité ;
- la discrimination ;
- la stigmatisation ou l'exclusion ;
- atteinte à la santé ;
- atteinte à la réputation.
Si des données à caractère personnel sensibles sont concernées ou si un très grand nombre de données ont été divulguées, le risque est presque toujours élevé. Les personnes concernées doivent alors toujours être informées (à moins qu'il n'y ait une sécurité adéquate, comme décrit dans la section suivante). Cela signifie, par exemple, que dès qu'il y a fuite de données financières qui ne sont pas suffisamment sécurisées, les personnes concernées doivent toujours en être informées.
Exemple : un employé du STEAMRS laisse des lettres de motivation et des CV dans une voiture et cette voiture est volée. L'usurpation d'identité à l'aide de ces CV ne peut être exclue et une notification aux personnes concernées est donc obligatoire.
5.3. Chiffrement et hachage
Une fuite de données ne doit pas nécessairement être signalée aux personnes concernées si les données à caractère personnel qui ont fait l'objet de la fuite sont inintelligibles ou inaccessibles aux personnes non autorisées. C'est le cas, par exemple, si les données à caractère personnel ont fait l'objet d'une sécurisation qui peut être considérée comme "sûre" selon les dernières technologies. Pensez par exemple aux formes de cryptage ou de hachage couramment utilisées.
Si la violation de données ne doit pas être notifiée aux personnes concernées parce que les données sont inintelligibles ou inaccessibles aux personnes non autorisées, il faudra évaluer de temps à autre si les données sont toujours inintelligibles ou inaccessibles (voir également le chapitre 7). Si, par exemple, aucune notification n'est requise (parce que les données sont cryptées), mais que le cryptage utilisé serait compromis après dix-huit mois, les personnes concernées devraient donc toujours être informées de la violation des données. Il est également possible d'opter pour une information proactive des personnes concernées immédiatement après la violation de données. Cela évite de devoir les informer longtemps après la violation de données.
Remarque: le cryptage ou le hachage ne protègent toutefois pas contre la destruction des données à caractère personnel. Dans ce cas, les personnes concernées doivent donc toujours être informées si la destruction a des conséquences défavorables pour elles.
5.4. Délai
La violation de données doit être signalée aux personnes concernées "sans délai" après sa découverte. Par "sans délai", on entend le plus tôt possible, même s'il faut parfois un certain temps pour rassembler les informations nécessaires à l'établissement d'un rapport circonstancié. En d'autres termes, la notification à la personne concernée doit être effectuée avec soin, mais ne doit pas être retardée inutilement. La loi sur la protection des données n'impose pas de délai strict, comme c'est le cas pour la notification à l'autorité de régulation.
C'est le responsable du traitement qui notifie les personnes concernées, sauf accord contraire.
6. Que faut-il notifier aux personnes concernées ?
La notification aux personnes concernées doit en tout état de cause être effectuée correctement et soigneusement et contenir les informations suivantes :
- La nature de la violation, une description générale de ce qui s'est passé étant suffisante ;
- L'endroit où poser des questions, par exemple le numéro de téléphone du service clientèle ou un numéro de téléphone ou une adresse électronique réservés aux questions ;
- les mesures recommandées pour atténuer les conséquences négatives, telles que la modification des mots de passe.
Le formulaire général suivant peut être utilisé comme modèle. Bien entendu, il est judicieux de présenter des excuses à la personne concernée dans une lettre d'accompagnement et d'indiquer clairement que le STEAMRS a mis fin à la violation de données et qu'il fera tout son possible pour éviter que de tels cas ne se reproduisent à l'avenir.
Notification de violation de données
Description de la violation de données
Le [DATE], nous avons subi une violation de données qui pourrait avoir concerné vos données.
Vous avez des questions ?
Pour toute question, veuillez contacter [NOM] par [EMAIL] ou [TÉLÉPHONE].
Que pouvez-vous faire ?
Pour atténuer l'impact de cette violation de données, nous vous recommandons de [MESURES].
Le point de départ d'une telle notification est qu'elle doit être effectuée au cas par cas. Par exemple, si des données de clients ont été divulguées, chaque client doit être notifié séparément. Si la fuite de données est d'une telle ampleur qu'un groupe plus important est touché, un courriel peut être envoyé à ces personnes pour les informer qu'une fuite s'est produite. Le courriel peut alors inclure un lien vers une page du site web où de plus amples informations sont fournies.
Un seul article de presse ne suffit pas pour informer les personnes concernées.
En principe, si les personnes concernées peuvent être informées individuellement, la notification doit être faite sur une base individuelle. Ce n'est que si cela n'est vraiment pas possible, en raison de la taille du groupe ou du fait qu'il n'est plus possible de savoir quelles personnes ont été ou n'ont pas été affectées par la violation de données, que d'autres moyens d'information peuvent être envisagés.
7. Obligation d'enregistrement
Dès qu'une violation de données se produit, qu'elle soit ou non signalée au régulateur et/ou aux personnes concernées, cette violation de données doit être documentée en interne par le STEAMRS dans les cas où le STEAMRS peut être considéré comme un responsable du traitement des données en ce qui concerne cette violation de données.
Le STEAMRS peut mettre en place un système distinct pour enregistrer les violations de données, mais cela n'est pas obligatoire. La simple ouverture d'un fichier séparé pour l'enregistrement des violations de données est suffisante à cette fin.
En ce qui concerne les violations de données qui ont été signalées à l'autorité de régulation, le STEAMRS doit conserver le pdf de la notification envoyée, ainsi que toute notification faite aux personnes concernées. Si la violation de données n'a pas été signalée au superviseur et/ou aux personnes concernées, les informations suivantes doivent être enregistrées :
- les faits relatifs à la violation de données
- les conséquences ; et
- les mesures correctives prises.
Ce dossier doit être conservé aux fins suivantes :
- apprendre la violation de données
- répondre aux questions des personnes concernées et des tiers ;
- procéder à une notification aux personnes concernées, si cela s'avère nécessaire au bout d'un certain temps ;
- permettre un audit du respect de l'obligation de notification de la violation de données par l'autorité de régulation.
Exemple : Une base de données contenant des données à caractère personnel a été rendue publique pendant une courte période à la suite d'un piratage. Les données à caractère personnel contenues dans la base de données étaient cryptées conformément à la norme de cryptage la plus récente et ne pouvaient donc pas être lues par des personnes ne disposant pas des autorisations nécessaires.
Cependant, six mois plus tard, il s'avère que la forme de cryptage utilisée est dépassée en raison des progrès de la technologie. Dans ce cas, la violation de données qui a eu lieu il y a six mois devra toujours être signalée aux parties concernées.
NB : Par ailleurs, les enregistrements ne doivent pas être rendus publics. Ils ne doivent être fournis au superviseur que sur demande.
8. Procédure interne en cas de violation de données
8.1. Introduction
Une violation de données peut se produire au STEAMRS au sein de sa propre organisation, mais aussi chez un tiers engagé par le STEAMRS (par exemple, le fournisseur d'un système CRM, l'hébergeur, une agence de marketing engagée, etc.) Lorsqu'une violation de données se produit, il faudra déterminer où elle s'est produite et comment elle sera finalement signalée à l'autorité de régulation et aux personnes concernées.
Au STEAMRS, cette tâche incombera initialement à Thomas (PDG). En l'absence de Thomas, cette tâche incombera à Charlotte (CEO). Les coordonnées de Thomas et de Charlotte figurent au point 8.5.
Il est évidemment important que toutes les personnes concernées, c'est-à-dire le personnel du STEAMRS et le personnel des tiers engagés, puissent identifier une violation de données. Il est donc très important de sensibiliser le personnel du STEAMRS. L'auteur de la découverte devra à tout moment signaler un incident à la personne mentionnée ci-dessus.
8.2. Violation de données interne
Lorsqu'une violation de données se produit au sein de l'organisation du STEAMRS, chacun doit savoir comment agir pour que la notification de la violation de données parvienne en temps utile aux bonnes personnes et, en fin de compte, au régulateur et aux personnes concernées.
Dans cette situation, il convient de suivre la démarche suivante. Le découvreur est la personne qui détecte une fuite (présumée) ; il peut s'agir de n'importe quel employé du STEAMRS. Le découvreur signale la fuite à Thomas (CEO), qui consulte alors Charlotte (CEO). À l'issue de cette consultation, Thomas décidera de signaler ou non la fuite de données.
Enregistrement
Thomas enregistre le rapport du découvreur. Les données suivantes seront enregistrées :
- Qui a signalé la fuite ?
- Qu'est-ce qui a été signalé ?
- D'où vient le rapport ?
- Quelles sont les données concernées ?
- Comment l'incident s'est-il produit (par exemple, quel transporteur a été perdu) ?
- Quels systèmes ont été impliqués/affectés par l'incident ?
- Quand l'incident s'est-il produit ?
- Qu'a-t-on fait pour résoudre/prévenir l'incident à l'avenir ?
Informer la direction
Si Thomas considère l'incident comme une violation de données à signaler, elle en informe Charlotte verbalement et/ou par courrier électronique en lui communiquant les informations suivantes :
- description de l'incident (violation de données interne/externe) ;
- les données concernées par l'incident
- le contexte de la qualification de l'incident (pourquoi il s'agit ou non d'une violation de données qui doit être signalée) ;
- les conséquences (éventuelles) ;
- les personnes qui ont déjà été informées
- les mesures de suivi à prendre (rapport au superviseur/aux parties concernées).
Thomas décidera ensuite si la fuite sera signalée au supérieur hiérarchique et aux personnes concernées. Si la fuite de données a été signalée au régulateur et/ou aux personnes concernées, Thomas veillera à la bonne administration interne de la fuite de données (voir chapitre 7). Lorsque STEAMRS est un sous-traitant et que son client est responsable, il est important de vérifier les accords relatifs à la notification des violations de données au client qui ont été conclus dans le cadre d'un accord de sous-traitance.
8.3. Violation de données externe
Une violation de données peut également se produire en dehors de l'organisation du STEAMRS. En effet, les données à caractère personnel sont partagées avec des tiers. Il s'agit par exemple de fournisseurs de logiciels, de parties qui fournissent des sites web au nom du STEAMRS ou qui prennent en charge le stockage des données personnelles. Si une violation de données se produit chez ces tiers, elle doit être signalée au STEAMRS dans les plus brefs délais. Actuellement, ces tiers ont le devoir de signaler au STEAMRS toute fuite dont ils ont connaissance. Dans le cadre de la LAV, ce devoir est également explicitement mentionné.
Des accords à ce sujet doivent être conclus avec ces tiers dans le cadre d'accords de (sous-)traitement. Pour chaque partie externe, le STEAMRS devrait avoir une personne de contact fixe afin de rendre ces rapports aussi rapides et rationnels que possible. Il peut s'agir de la même personne que celle désignée au sein du STEAMRS comme "point de contact" en cas d'incidents de sécurité et/ou de fuites de données, à savoir Thomas ou, en son absence, Charlotte, ou de la personne de contact de la tierce partie en question, qui transmettra ensuite l'information en interne.
8.4. Signalement aux personnes concernées
Si le STEAMRS est informé d'une violation de données, il sera nécessaire de déterminer comment la notification, le cas échéant, sera faite aux personnes concernées (par exemple, les membres). Le présent plan d'urgence peut servir de manuel à cet effet. Si le client est responsable et que le STEAMRS est un sous-traitant, le client lui-même devra effectuer la notification aux personnes concernées, sauf accord contraire.
8.5. Coordonnées
Les coordonnées suivantes sont importantes en cas de violation de données. Contactez toujours Thomas directement. S'il n'est pas disponible, veuillez contacter Charlotte.
Les coordonnées sont les suivantes :
PDG : Thomas, tél. : 614762272
Directeur général: Charlotte, tél. : 613834210