Le logiciel de gestion des incidents RGPD qui vous maintient dans le délai de 72 heures

Points clés

Priverion est une plateforme de gestion des incidents RGPD hébergée en Suisse, conçue pour les organisations multi-entités. Elle automatise l'ensemble du cycle de vie d'une violation — de la réception par les collaborateurs à l'évaluation des risques alignée sur le CEPD, jusqu'à la notification à l'autorité de contrôle dans plusieurs juridictions et aux pistes d'audit inviolables — afin d'aider les équipes de protection des données à respecter le délai obligatoire de notification de 72 heures prévu par l'article 33 du RGPD. Toutes les données restent sur une infrastructure suisse, répondant aux exigences de résidence des données dans un contexte post-Schrems II.

Définitions

Qu'est-ce qu'une violation de données à caractère personnel au sens du RGPD ?

Une violation de données à caractère personnel est définie à l'article 4, point 12), du RGPD comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ». Cette définition couvre les atteintes à la confidentialité, à l'intégrité et à la disponibilité.

Qu'est-ce que l'obligation de notification dans un délai de 72 heures ?

L'obligation de notification dans un délai de 72 heures est énoncée à l'article 33, paragraphe 1, du RGPD : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle […] dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Le CEPD a précisé qu'un responsable du traitement « prend connaissance » d'une violation lorsqu'il dispose d'un degré raisonnable de certitude qu'un incident de sécurité s'est produit et a entraîné une compromission de données à caractère personnel (Lignes directrices 9/2022 du CEPD).

Qu'est-ce qu'une analyse d'impact relative à la protection des données (AIPD) ?

Une AIPD est un processus requis par l'article 35 du RGPD afin d'évaluer l'impact d'opérations de traitement sur la protection des données à caractère personnel. Bien que distincte de la gestion des incidents, les organisations qui ont mené des AIPD pour des traitements à haut risque sont mieux préparées à évaluer la gravité d'une violation lorsqu'un incident survient.

Quelle est la méthodologie d'évaluation de la gravité des violations du CEPD ?

La méthodologie d'évaluation de la gravité des violations du CEPD, exposée dans les Lignes directrices 9/2022 du CEPD, évalue les violations en fonction du type et de la sensibilité des données à caractère personnel, du volume et de l'identifiabilité des personnes concernées, de la gravité des conséquences pour les individus et des caractéristiques particulières du responsable du traitement ou de la personne concernée. Cette approche structurée détermine si une notification à l'autorité de contrôle et/ou une communication aux personnes concernées est requise.

Statistiques et contexte sectoriel

Selon le rapport annuel 2023 du CEPD, les autorités de contrôle de l'UE/EEE ont reçu plus de 120'000 notifications de violations de données à caractère personnel en 2023. Le rapport IAPP-EY 2023 sur la gouvernance de la vie privée a révélé que l'organisation moyenne emploie 5,2 professionnels de la protection des données à temps plein, tout en devant gérer la réponse aux violations dans plusieurs juridictions et entités. Selon le Threat Landscape 2024 de l'ENISA, les rançongiciels et l'exfiltration de données demeurent les principales menaces pour les organisations européennes, rendant indispensables des flux de gestion des incidents robustes. L'article 83, paragraphe 4, point a), du RGPD prévoit des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial en cas de défaut de notification d'une violation, soulignant le risque financier d'une gestion des incidents inadéquate.

Foire aux questions

Qu'est-ce que l'obligation de notification des violations dans un délai de 72 heures prévue par le RGPD ?

En vertu de l'article 33 du RGPD, les responsables du traitement doivent notifier toute violation de données à caractère personnel à l'autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Si la notification intervient au-delà du délai de 72 heures, le responsable du traitement doit en justifier le retard de manière documentée. Les Lignes directrices 9/2022 du CEPD fournissent des orientations pratiques détaillées sur le point de départ du délai de 72 heures.

Comment Priverion automatise-t-il la gestion des incidents RGPD ?

Priverion propose un flux de travail unique et structuré couvrant l'intégralité du cycle de vie d'une violation : formulaires de réception configurables avec attribution automatique au DPD, notation de la gravité alignée sur le CEPD, coordination multi-entités avec une logique de notification adaptée à chaque juridiction, formulaires de notification à l'autorité de contrôle préremplis automatiquement et alignés sur les exigences de l'article 33, ainsi que des pistes d'audit inviolables avec des dossiers de preuves horodatés. La plateforme réduit jusqu'à 70 % le temps de préparation des notifications par rapport à une rédaction manuelle, sur la base de modèles préremplis comparés à des processus manuels.

Où les données de Priverion sont-elles hébergées ?

Toutes les données de Priverion sont traitées et conservées exclusivement sur une infrastructure suisse. Dans un contexte post-Schrems II — où la CJUE a invalidé le bouclier de protection des données UE-États-Unis dans l'affaire C-311/18 —, la résidence des données en Suisse offre un fondement juridiquement défendable aux organisations européennes qui gèrent des données sensibles liées à des violations impliquant des transferts transfrontaliers.

Quelle est la méthodologie du CEPD pour l'évaluation des risques liés à une violation ?

Les Lignes directrices 9/2022 du CEPD recommandent une évaluation structurée de la gravité prenant en compte : le type et la sensibilité des données à caractère personnel concernées, le volume et l'identifiabilité des personnes concernées, la gravité des conséquences pour les individus et les caractéristiques particulières du responsable du traitement ou des personnes concernées. Le cadre d'évaluation des risques intégré de Priverion met en œuvre cette méthodologie avec une logique de décision transparente et auditable.

Comment Priverion gère-t-il la coordination des violations multi-entités ?

Pour les groupes actifs au sein de plusieurs filiales et juridictions, Priverion identifie automatiquement quelles entités sont concernées par un incident, détermine quelles autorités de contrôle doivent être notifiées selon la configuration de juridiction au niveau de chaque entité et attribue les tâches aux référents locaux en matière de protection des données grâce à des contrôles d'accès basés sur les rôles. Cela élimine la charge de coordination liée à la gestion de la réponse aux violations au fil de chaînes d'e-mails et de feuilles de calcul.

Quelles sont les sanctions prévues par le RGPD en cas d'absence de notification d'une violation de données ?

En vertu de l'article 83, paragraphe 4, point a), du RGPD, le défaut de notification d'une violation de données à caractère personnel à l'autorité de contrôle peut entraîner des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Plusieurs autorités de contrôle ont infligé des amendes significatives spécifiquement pour des notifications de violation tardives ou manquantes.

En quoi l'hébergement des données en Suisse facilite-t-il la conformité au RGPD ?

La Suisse bénéficie d'une décision d'adéquation de l'UE au titre de l'article 45 du RGPD, ce qui signifie que les données à caractère personnel peuvent circuler de l'UE/EEE vers la Suisse sans garanties supplémentaires telles que des clauses contractuelles types. Associée à la loi fédérale sur la protection des données (nLPD) de la Suisse, révisée en septembre 2023, une infrastructure hébergée en Suisse offre un cadre juridique solide pour le traitement des données à caractère personnel liées à des violations.

Quelles informations une notification de violation doit-elle contenir au titre de l'article 33 ?

Selon l'article 33, paragraphe 3, du RGPD, la notification doit décrire : la nature de la violation de données à caractère personnel, y compris les catégories et le nombre approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d'enregistrements concernés ; le nom et les coordonnées du DPD ou d'un autre point de contact ; les conséquences probables de la violation ; et les mesures prises ou proposées pour remédier à la violation et atténuer ses éventuelles conséquences négatives. Priverion préremplit ces champs à partir des données d'incident déjà saisies au cours du flux de travail.

Comparaison : approches de la gestion des incidents RGPD