Vente à emporter (AI)
- Les atteintes à la sécurité des données (par ex. piratage, vol de données, appareils perdus) sont prises en compte en premier lieu, et non pas toutes les atteintes à la protection des données.
- Les adresses électroniques erronées envoyées par inadvertance peuvent également être considérées comme une violation de la protection des données devant être signalée.
- L’interruption de la disponibilité doit être de longue durée ; seuls les obstacles involontaires à l’accès sont considérés comme des violations de données.
- L’obligation de notification n’existe qu’en cas de violation effective (par exemple, accès non autorisé à des données) ; sans accès, pas d’obligation.
Le commissaire hambourgeois à la protection des données et à la liberté d’information a publié le 15 novembre 2018 un Guide sur les notifications de violations de données conformément à l’article 33 du RGPD qui apporte quelques clarifications sur quelques points :
- pas toute violation de la protection des données, mais en principe seulement Violation de la sécurité des données sont couverts (par exemple, “le piratage et le vol de données ainsi que les failles SQL, les bugs dans le serveur web, la perte de clés USB ou d’ordinateurs portables, la transmission illégale et l’intrusion dans les locaux du serveur, qui s’accompagnent de la perte ou de la destruction de matériel ou de l’extraction de supports de données”) ; toutefois, sont également couverts, par exemple les erreurs d’adressage accidentelles d’un e‑mail ;
- une violation par interruption de la disponibilité “suppose une durée plus longue et peut être provoquée, par exemple, par une panne de courant ou une attaque par déni de service”, et “uniquement les obstacles involontaires à l’accès [sont] des violations de données au sens de l’article 33 du RGPD” ;
- il doit y avoir Succès de la blessure Si aucun accès non autorisé n’a eu lieu malgré l’existence d’une faille de sécurité, il n’y a pas d’obligation de notification”.
Pour l’évaluation du risque suite à la violation et la question de savoir à partir de quand il y a “connaissance” (déclenchant le délai) de la violation, le préposé renvoie au Document du Comité européen de la protection des données sur les notifications de violations de la protection des données;