Comment réagir en cas de violation de données personnelles ?

« Une violation de données est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. » (RGPD, Article 4.12)

Votre site affiche un contenu qui n’est pas le vôtre ? Il redirige vers un autre site ? Vous ne pouvez plus vous connecter au back-office ? Vous vous trouvez devant l’écran blanc de la mort, dit white screen of death (WSoD) ? Malgré toutes les mesures que vous avez mises en oeuvre pour assurer sa sécurité, votre site a été piraté !

Vous avez supprimé tous les traitements de données personnelles sur votre site ?

Si votre site ne collecte aucune donnée personnelle, en cas de piratage de celui-ci, il n’y a pas de violation de données.

Qu’est-ce qu’une violation de données personnelles ?

Une violation de données personnelles, c’est une atteinte aux données sur l’un ou l’autre de ces aspects :

Sur un site Web, la violation de données peut résulter de diverses causes : perte d’un disque dur externe sur lequel sont stockées vos sauvegardes, mauvaise gestion des habilitations… Mais la cause la plus fréquente reste l’acte malveillant ou le piratage de votre site Web.

En effet, malgré toutes les mesures de protection que vous aurez mises en place, votre site peut être piraté. Car aucun site n’est infaillible, et même les organisations les mieux protégées sont victimes des pirates du Web.

Quelles sont vos obligations en cas de violation de données ?

Une violation de données personnelles vous soumet à plusieurs obligations :

Si les 2 premières obligations sont systématiques, les notifications dépendent du risque encouru pour la vie privée des personnes concernées.

Voyons cela plus en détail…

1 · La correction du problème

Dans le cas d’un site WordPress, le piratage a le plus souvent comme origine une faille de sécurité. Les actions à envisager vont dépendre de la nature du problème :

2 · La documentation de l’incident

Vous devez documenter en interne l’incident, en l’inscrivant au registre des violations de données qui va préciser :

La forme de ce registre n’est pas imposée, il peut s’agir d’un fichier Word ou Excel.

Enfin, toutes les violations de données doivent être répertoriées, même celles ne nécessitant pas de notification à la CNIL et/ou aux personnes concernées.

3 · La notification à la CNIL

Toute violation de données qui présente un risque pour les droits et libertés des personnes concernées doit faire l’objet d’une notification à la CNIL. La notification n’est donc pas systématique.

Délai pour notification

La notification doit avoir lieu dans les meilleurs délais après constatation de l’incident, et obligatoirement sous 72h (donc 3 jours).

Il se peut que vous n’ayez pas tous les éléments en votre possession pour effectuer une notification complète sous 72h. Dans ce cas, vous pouvez notifier en 2 temps (via une notification initiale, puis une notification complémentaire sous 72h après la notification initiale). Vous préciserez les motifs de ce retard.

Comment notifier une violation de données ?

C’est au responsable de traitement que revient le devoir de notification. La CNIL a mis en place une procédure de notification des violations de données par téléservice.

Des sanctions existent en cas de manquement à votre devoir de notification

4 · La notification aux personnes concernées

Toute violation de données qui présente un risque élevé pour les droits et libertés des personnes concernées doit faire l’objet d’une notification aux personnes concernées.

Non systématique, la notification aux personnes concernées ne s’envisage que s’il y a également eu notification à la CNIL.

Le niveau de risque s’apprécie au cas par cas. Si pour certaines données personnelles le risque peut sembler évident (données bancaires), pour d’autres il faut avoir recours à votre imagination. Pour bien l’évaluer, il faut considérer la revente du fichier de données personnelles à des personnes mal intentionnées, et imaginer les scénarii qui pourraient porter préjudice aux personnes concernées.

Voici des exemples de violations de données qui présentent un risque élevé pour les personnes concernées :

• Données bancaires (site e-commerce),
• Site d’un professionnel de santé (données sensibles),
• Site de la paroisse de votre village (données sensibles),
• Adresse personnelle croisée avec des dates futures de vacances, sur un site de locations saisonnières (ces données pouvant renseigner des cambrioleurs).

La notification aux personnes concernées doit avoir lieu dans les meilleurs délais, et comporter au minimum :

Protégez votre site Web d’une violation de données

En plus d’être un cauchemar pour vous en tant que webmaster, un piratage provoque une violation de données personnelles, avec des risques pour la vie privée des personnes et des obligations contraignantes pour vous. Le mieux est donc de l’éviter !

Si aucun site n’est inviolable, il existe néanmoins des règles de sécurité qui permettent de réduire le risque de violation de la sécurité, et donc de violation des données personnelles. Découvrez-les dans l’article sur la sécurité des données personnelles.