La violation de données (ou data breach) est un incident de sécurité, intentionnel ou accidentel, qui compromet la confidentialité, l’intégrité ou la disponibilité des données à caractère personnel traitées par un organisme. Elle se traduit par une destruction, une perte, une altération, une divulgation non autorisée ou un accès illicite à ces données.
Cadre légal (RGPD et loi française)
- Obligation de notification à la CNIL : tout responsable de traitement doit notifier la violation à la CNIL dans les 72 heures suivant sa découverte, sauf si elle ne présente pas de risque pour les droits et libertés des personnes.
- Contenu de la notification : description de la violation, catégories et nombre approximatif de personnes concernées, coordonnées du délégué à la protection des données (DPO), mesures prises ou envisagées.
- Communication aux personnes concernées : lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés (ex : usurpation d’identité, préjudice financier), l’organisme doit en informer les personnes concernées sans délai, de manière claire et compréhensible.
- Sanctions : en cas de non-notification, la CNIL peut infliger des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (selon le montant le plus élevé), voire 20 millions / 4 % pour les manquements plus graves.
Types d’incidents concernés
- Accès non autorisé : intrusion dans un système, piratage, usage frauduleux d’identifiants.
- Fuite accidentelle : envoi d’un e-mail à une mauvaise personne, perte d’un ordinateur ou d’un support de stockage.
- Destruction ou altération : attaque par ransomware, effacement accidentel.
- Exposition publique : base de données laissée accessible sur Internet sans protection.
Responsabilités
- Responsable de traitement (l’organisme) : doit mettre en œuvre les mesures techniques et organisationnelles pour prévenir les violations, et réagir en cas d’incident.
- Sous-traitant (hébergeur, prestataire technique) : doit notifier la violation au responsable de traitement sans délai dès qu’il en a connaissance.
- DPO (Délégué à la protection des données) : doit veiller à la conformité et peut être l’interlocuteur privilégié pour la notification à la CNIL.
Analogie
C’est comme un cambriolage du fichier clients d’une entreprise. Le voleur (ou l’intrus) s’introduit dans les locaux (le système informatique), s’empare du classeur (la base de données) qui contient les fiches de tous les clients, avec leurs noms, adresses, téléphones et coordonnées bancaires. L’entreprise découvre le vol à son retour (après l’incident). Elle doit alors :
- Déclarer le vol aux autorités (prévenir la police, ici la CNIL).
- Avertir tous ses clients pour qu’ils se méfient (changer leurs mots de passe, surveiller leurs comptes, signaler toute activité suspecte).
Conséquences pour les personnes concernées
Les victimes d’une violation de données peuvent subir :
- Usurpation d’identité : utilisation frauduleuse de leurs informations pour ouvrir des comptes, contracter des prêts, effectuer des achats.
- Hameçonnage (phishing) : réception d’e-mails ou de SMS frauduleux exploitant les données volées.
- Préjudice financier : pertes bancaires, frais de remplacement de documents.
- Préjudice moral : angoisse, sentiment d’insécurité, perte de confiance.
Conséquences pour l’organisme
- Sanctions financières : amendes pouvant atteindre des millions d’euros (comme l’amende record de 1,2 milliard d’euros infligée à Meta en 2023).
- Réputation : perte de confiance des clients, image de marque dégradée, fuite de clients vers la concurrence.
- Coût de remédiation : investigations, renforcement de la sécurité, frais juridiques, communication de crise.
- Poursuites judiciaires : actions en justice intentées par les personnes concernées ou par des associations de consommateurs.
Que faire en cas de violation ?
- Pour l’organisme : déclencher le plan de réponse à incident, notifier la CNIL dans les 72 heures, informer les personnes concernées, sécuriser le système, documenter l’incident.
- Pour la personne concernée : changer immédiatement ses mots de passe (notamment sur les comptes sensibles), surveiller ses comptes bancaires, se méfier des sollicitations suspectes, et contacter la CNIL pour signaler tout préjudice.
À retenir
La violation de données n’est pas seulement un problème technique : c’est une obligation légale qui engage la responsabilité de l’organisme. La transparence et la réactivité sont essentielles pour limiter les risques pour les personnes et les sanctions pour l’organisme.
Une violation de données est un accident grave qui peut avoir des répercussions durables, tant pour les personnes que pour les organisations. La rapidité d’action et la transparence sont les seules armes pour limiter les dégâts. Comme pour un cambriolage, on ne peut pas revenir en arrière, mais on peut protéger les victimes et éviter que cela ne se reproduise.