Obligation de sécurité dans le règlement européen (article 32 du GDPR)
Tenant compte de l’état de l‘art, du coût d’implémentation et de la nature, de la portée du contexte et des finalités du traitement ainsi que de la probabilité et de la sévérité des risques pour les droits et libertés fondamentaux des personnes, le Responsable de traitement et le Sous-traitant implémentent les mesures techniques et organisationnelles permettant d’assurer un niveau de sécurité adapté aux risques, ce qui comprend notamment :
- la capacité à garantir de manière continue la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et services de traitement
- la capacité à restaurer la disponibilité et l’accès aux données personnelles,
- des tests et évaluation de ces mesures.
Exemple de mesures : chiffrement, pseudonymisation
L’ adhésion à un code de conduite ou à un schéma de certification approuvé constitue une preuve simple de conformité de l’entreprise vis à vis de son obligation de sécurité des données.
La notification des failles de sécurité portant sur des données personnelles (art.33 et 34 du RGPD)
Notification des failles de données personnelles à l’autorité compétente :
- Qui ? Le responsable de traitement
- Pourquoi ? la violation présente des risques pour les droits et libertés des personnes
- Quand ? sans délai et dans la mesure du possible dans les 72 h après qu’il en ait eu connaissance,
- Exception ? si la violation de données ne présente pas de risques pour les droits et libertés des personnes.
Le sous-traitant notifie le responsable de traitement dans les 72h après qu’il en ait eu connaissance .
Information des personnes concernées :
- Qui ? Le Responsable de traitement
- Pourquoi ? La violation est susceptible de présenter des risques élevés pour les droits et libertés des personnes
- Quand ? sans délai
- Exception ? Le responsable de traitement a implémenté des mesures qui rendent les données inintelligibles telles que le chiffrement ou qui font que le traitement ne présente plus de risques élevés.
Obligation de sécurité des fournisseurs de services de communications électroniques sur les réseaux de communications électroniques ouverts au public
En cas de violation de données à caractère personnel, ledit fournisseur avertit, sans délai, la CNIL.
Lorsque cette violation peut porter atteinte aux données à caractère personnel ou à la vie privée d’un abonné ou d’une autre personne physique, le fournisseur avertit également, sans délai, l’intéressé.
Chaque fournisseur de services de communications électroniques tient à jour un inventaire des violations de données à caractère personnel, notamment de leurs modalités, de leur effet et des mesures prises pour y remédier.
L’obligation de sécurité des prestataires de services de paiement et notification des incidents (PSD2)
Les prestataires de services de paiement sont responsables des mesures de sécurité. L’obtention de l’agrément en tant qu’établissement de paiement est subordonnée à la soumission, aux autorités compétentes de l’État membre d’origine, d’une demande accompagnée des informations suivantes: (…)
- une description de la procédure en place pour assurer la surveillance, le traitement et le suivi des incidents de sécurité et des réclamations de clients liées à la sécurité, y compris un mécanisme de signalement des incidents;