Violation de données personnelles : comment gérer les demandes des personnes concernées ?
.png)
DPO Consulting Rejoint Grant Thornton
La notification à la CNIL et l’information des personnes concernées ne mettent pas fin à la gestion d’une violation de données personnelles. Dans les jours qui suivent, le DPO, le service juridique, la relation client ou le support peuvent recevoir des demandes variées : comprendre ce qui s’est passé, savoir quelles données sont concernées, demander leur effacement ou solliciter une indemnisation.
Chaque situation doit être examinée au cas par cas afin d’apporter une réponse claire, cohérente et transparente, sans communiquer d’informations susceptibles de fragiliser la sécurité des systèmes ou une enquête en cours.
Le meilleur moment pour s’organiser reste celui qui précède l’afflux des demandes. Une petite cellule réunissant le DPO, le juridique, la sécurité et la relation client, avec un circuit de validation court et des éléments de langage communs, permet de répondre plus efficacement.
Le délai de réponse est, en principe, d’un mois à compter de la réception de la demande. Il peut être prolongé de deux mois si les demandes sont complexes ou nombreuses, à condition d’en informer la personne dans le délai initial, conformément à l’article 12, paragraphe 3 du RGPD.
Un registre mentionnant les demandes et leurs échéances permet d’éviter les oublis.
À noter qu’une violation de données attire souvent des tentatives d’hameçonnage. En cas de doute sur l’identité du demandeur, celle-ci peut être vérifiée, sans lui réclamer plus d’informations que nécessaire.
Même après avoir été informées du type de données touchées, les personnes concernées demandent souvent quelles données ont été compromises, pendant combien de temps et qui a pu y accéder.
Ces questions peuvent relever du droit d’accès prévu à l’article 15 du RGPD.
Tout ne peut cependant pas être communiqué. Le mode opératoire de l’attaque, les failles exploitées ou les éléments d’une enquête en cours n’ont pas vocation à être partagés. Il convient d’être transparent sur les données de la personne sans fragiliser la sécurité des systèmes ni la procédure.
Certaines personnes veulent simplement savoir si leurs données sont concernées.
Après une vérification proportionnée de leur identité, l’organisation doit rechercher leur présence dans les fichiers touchés et préciser les catégories de données exposées, les risques identifiés ainsi que les précautions à prendre.
Par exemple, si un assuré demande si son RIB a été compromis alors que seuls son nom, son adresse et son numéro de contrat ont été exposés, la réponse doit le préciser clairement et l’alerter sur les risques pertinents, notamment les tentatives d’hameçonnage.
Cette question vient souvent d’anciens clients, assurés ou salariés qui découvrent que leurs données figuraient encore dans le périmètre de l’incident.
L’organisation doit alors vérifier si leur conservation était justifiée par une obligation légale, un archivage intermédiaire ou un délai de prescription.
Si la conservation était justifiée, son fondement et sa durée doivent être expliqués simplement.
Dans le cas contraire, l’organisation doit reconnaître l’anomalie, supprimer les données lorsque cela est possible et corriger le processus de conservation.
Une demande d’indemnisation, même accompagnée d’une demande d’accès, d’effacement ou d’information, doit être enregistrée avec les pièces utiles et transmise sans délai au service juridique.
Elle peut d’abord être qualifiée de réclamation indemnitaire ou de dossier précontentieux. Elle ne devient contentieuse qu’en cas, notamment, de mise en demeure, d’intervention d’un avocat ou de saisine d’une juridiction.
Le service juridique vérifie la réalité de la violation, le préjudice invoqué et le lien entre les deux, avec l’appui du DPO, des équipes concernées et, si nécessaire, du sous-traitant.
Selon l’article 82 du RGPD, une indemnisation suppose un dommage matériel ou moral réel. Une inquiétude peut être prise en compte si elle est concrète et étayée.
Dans l’attente de cette analyse, la réponse doit uniquement accuser réception de la demande, sans reconnaître de responsabilité ni promettre d’indemnisation, tout en vérifiant si une déclaration à l’assureur est nécessaire.
Après un incident, de nombreuses personnes demandent l’effacement immédiat de leurs données conformément à l’article 17 du RGPD.
La suppression est possible, mais le responsable de traitement doit conserver les données nécessaires au respect d’une obligation légale, à l’exercice ou à la défense de droits en justice ou à la documentation de l’incident dans son registre des violations, conformément aux articles 17.3 et 33.5 du RGPD.
La bonne réponse consiste donc à expliquer ce qui est supprimé, ce qui est conservé, pourquoi et pour quelle durée.
Une violation de données met à l’épreuve la sécurité d’un système d’information, mais aussi la capacité d’une organisation à rendre des comptes. Bien gérées, ces demandes sont l’occasion de restaurer la confiance.
Les principaux réflexes à retenir sont les suivants :
Vous souhaitez renforcer vos procédures de gestion des violations de données personnelles ou sécuriser votre conformité RGPD ? Les experts de DPO Consulting vous accompagnent dans la mise en place de processus adaptés, de la gouvernance à la gestion des incidents.
Découvrez notre expertise en protection des données sur notre site dpo-consulting.com.
.svg)
