Violations de données
Enregistrez, évaluez et notifiez les violations de données personnelles dans les 72 heures.
Selon l’art. 33 du RGPD, vous devez notifier l’autorité de contrôle dans les 72 heures suivant la prise de connaissance d’une violation. En cas de risque élevé, vous devez aussi informer les personnes concernées (art. 34). Ouvrez "Protection des données" puis "Violations de données". Des compteurs indiquent les violations ouvertes, les notifications en attente, les délais dépassés et les personnes concernées restant à informer. La liste indique le numéro, le titre, "Connue depuis", le délai de 72 heures, le risque et le statut.
Qui peut l’utiliser
- Propriétaire
- Administrateur
- Conformité
Étapes
1. Enregistrer la violation immédiatement
Cliquez sur "Enregistrer une violation". Le délai court à partir du moment où vous en avez pris connaissance. Saisissez le titre, ce qui s’est passé, quand vous en avez pris connaissance, qui l’a signalée, les catégories de données et de personnes concernées ainsi que le nombre approximatif de personnes concernées.
2. Évaluer
Ouvrez la violation et cliquez sur "Évaluer / modifier". Décrivez le type de violation (Confidentialité, Intégrité, Disponibilité), les conséquences probables, les mesures prises et proposées, et le risque : Non évalué, Aucun risque, Risque ou Risque élevé. Le risque détermine les obligations de notification tant qu’elles sont réglées sur "Automatique (selon le risque)". Vous pouvez aussi les régler sur Oui ou Non.
3. Notifier l’autorité
Cliquez sur "Enregistrer la notification". Indiquez quand et à quelle autorité de contrôle vous avez notifié la violation, ainsi que sa référence. Après plus de 72 heures, vous devez indiquer les motifs du retard. Cliquez sur "Notification (PDF)" pour obtenir un document contenant les informations de l’art. 33, par. 3.
4. Informer les personnes concernées
Si nécessaire, utilisez le brouillon "Communication aux personnes concernées (brouillon)". Il s’agit d’un modèle en allemand ; relisez ce modèle et complétez les espaces réservés. Cliquez ensuite sur "Enregistrer la communication" avec la date et le canal.
5. Clôturer
Cliquez sur "Clôturer". Un incident clôturé ne peut plus être modifié ensuite.
Champs et options
- Justification de l’évaluation du risque
Obligatoire si vous ne notifiez pas l’autorité (documentation selon l’art. 33, par. 5).
- Dérogation à la communication (art. 34, par. 3)
Le motif documenté pour lequel les personnes concernées ne sont pas informées.
- Statut
Ouverte, Notifiée ou Clôturée.
- Délai
Indique les heures restantes, le nombre d’heures "de retard", "notifiée", "notifiée en retard" ou "non notifiable".
Bon à savoir
- Le délai continue de courir tant que l’obligation de notification n’est pas tranchée.
- Une violation ne peut être clôturée qu’une fois le risque évalué et les notifications dues ou la dérogation documentée enregistrées.
- Chaque modification est consignée dans le journal d’audit.