Violation de données : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Une violation de données est un incident de sécurité qui entraîne, de façon accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles.
Ce qu'il faut comprendre
Le RGPD retient une définition large. Une violation ne se limite pas au piratage : un ordinateur portable volé, un courriel envoyé au mauvais destinataire, un serveur détruit sans sauvegarde ou un fichier modifié par erreur sont aussi des violations. Le critère est l'atteinte à la confidentialité, à l'intégrité ou à la disponibilité des données personnelles.
Toute violation doit être consignée dans un registre interne des violations, même si elle reste sans conséquence. Si elle présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées.
La violation se distingue de la simple faille de sécurité : une faille est une vulnérabilité, la violation est l'incident qui touche réellement des données. L'erreur fréquente consiste à ne rien documenter quand l'incident paraît mineur. Or le registre interne est obligatoire dans tous les cas et la CNIL peut le demander lors d'un contrôle.
Exemple concret
Dans un EHPAD, une aide-soignante transmet par erreur le planning de soins de dix résidents, avec leurs pathologies, à la famille d'un autre résident. Il s'agit d'une violation de confidentialité portant sur des données de santé. L'établissement consigne l'incident, demande la suppression du message, évalue le risque, notifie la CNIL sous 72 heures et informe les familles concernées.
Textes de référence
- RGPD, art. 4, 12)
- RGPD, art. 33
- RGPD, art. 34
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
