Ce que dit la loi
Une violation de la sécurité des données est toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données (art. 5, let. h, LPD). La LPD exige de l'annoncer au PFPDT dans les meilleurs délais si elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24 LPD) ; le RGPD exige de la notifier dans les 72 heures, à moins qu'elle ne soit pas susceptible d'engendrer un risque (art. 33 RGPD).
L'estimation du risque de cet outil est un point de départ : l'évaluation vous appartient et dépend de toutes les circonstances, comme le type de données, le nombre de personnes, qui les a reçues et ce que vous pouvez encore faire.
Ce que demande le formulaire du PFPDT
- la nature de la violation et, si possible, le moment et la durée ;
- les catégories et le nombre approximatif de données et de personnes concernées ;
- les conséquences et les risques pour les personnes concernées ;
- les mesures prises ou envisagées ;
- un nom et un contact.
Questions liées
- Violation de la sécurité des données : quand et comment l'annoncer au PFPDT ?
- Un e-mail contenant des données personnelles est parti à la mauvaise personne : est-ce une violation ?
- Quelles mesures de sécurité des données la nouvelle LPD exige-t-elle ?
- Qu'est-ce que le PFPDT et quels sont ses pouvoirs ?
Modèles utiles
Une orientation générale, pas un conseil sur votre cas : pour votre cas, c'est le texte de la loi qui compte, et l'évaluation vous appartient.