Violation de données
Une violation de données à caractère personnel est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou l’accès non autorisé à ces données, et selon le RGPD elle doit en général être notifiée dans les 72 heures.La définition est celle de l’article 4, point 12 du RGPD. Elle couvre bien plus que le piratage : un e-mail envoyé à la mauvaise liste, un ordinateur portable perdu, une base de données supprimée sans sauvegarde ou un serveur mal configuré qui expose des fichiers sont tous des violations.
L’article 33 oblige le responsable de traitement à notifier la violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu’elle ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Une notification tardive doit expliquer le retard. Un sous-traitant doit prévenir son responsable de traitement dans les meilleurs délais. Chaque violation, notifiée ou non, doit être documentée. L’article 34 ajoute l’obligation d’informer directement les personnes concernées lorsque le risque est élevé, sauf si les données ont été rendues incompréhensibles, par exemple par chiffrement, si des mesures ultérieures ont fait disparaître le risque élevé, ou si une information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique la remplace.
Les sites web ont une exposition particulière : les scripts tiers. Une balise ou une bibliothèque compromise qui s’exécute sur une page de paiement peut lire ce que saisissent les visiteurs. L’ICO a infligé à British Airways une amende de 20 millions de livres sterling en octobre 2020, après que des attaquants ont utilisé en 2018 du code modifié sur son site pour détourner les données de paiement des clients. Réduire les scripts qui s’exécutent avant le consentement, et savoir lesquels un site charge grâce à un scanner de cookies, réduit aussi cette surface d’attaque. En Californie, la section 1798.150 du Code civil donne aux consommateurs un droit d’action privé pour certaines violations.