Une violation de données (data breach) désigne tout accès, divulgation, altération ou perte non autorisée de données personnelles. C’est une notion juridique précise, encadrée par le RGPD, à distinguer d’un piratage de site au sens large.
Un piratage n’est pas toujours une violation de données
Un défacement qui modifie uniquement l’apparence visuelle du site, sans accès à la base de données contenant des informations sur les visiteurs ou les clients, ne constitue pas nécessairement une violation de données au sens légal. À l’inverse, l’exfiltration d’une table d’utilisateurs ou de commandes clients en constitue une, même sans aucune modification visible du site.
Les trois types de violation reconnus par le RGPD
- Violation de confidentialité : des données personnelles sont divulguées ou consultées par une personne non autorisée
- Violation d’intégrité : des données sont modifiées de façon non autorisée
- Violation de disponibilité : des données sont perdues ou rendues inaccessibles, y compris de façon accidentelle (ex. absence de sauvegarde après un incident)
Les obligations en cas de violation avérée
Le RGPD impose une notification à la CNIL sous 72 heures pour les violations présentant un risque pour les personnes concernées, et parfois une information directe aux personnes elles-mêmes si le risque est élevé. Ce délai court rend la détection rapide d’un incident, via une surveillance continue plutôt qu’une découverte tardive, déterminante pour respecter ses obligations légales.
Comment réduire le risque de violation de données
- Chiffrer les échanges (certificat SSL/TLS) pour limiter l’interception de données en transit
- Limiter la collecte aux données réellement nécessaires, moins de données stockées réduisant l’impact d’un incident éventuel
- Surveiller activement le site pour détecter un accès non autorisé avant qu’il ne débouche sur une exfiltration massive
Ces informations sont fournies à titre informatif et ne constituent pas un conseil juridique personnalisé.
