Le nouvel article 34 bis de la loi de 1978 transpose l'obligation de notification des violations de données à caractère personnel prévue par la directive 2002/58/CE modifiée dite "Paquet Télécom". Cette obligation a été insérée dans la loi informatique et libertés bien qu'elle ne concerne pas toutes les entreprises, mais seulement les fournisseurs de services de communications électroniques. Des mesures d'application ont été précisées par le décret n°2012-436 du 30 mars 2012.
Pour qu'il y ait violation, trois conditions préalables et cumulatives doivent être réunies (art. 34 bis de la loi informatique et libertés) :
Les éléments constitutifs d'une violation
Selon l'article 34bis, la violation est constituée par une destruction, une perte, une altération, une divulgation, ou un accès non autorisé à des données à caractère personnel.
Elle peut se produire de manière accidentelle ou illicite, l'intention malveillante étant l'un des possibles cas de figure, mais pas le seul.
Seraient constitutifs d'une violation :
En revanche, ne seraient pas des violations de données à caractère personnel au sens de l'article 34 bis :
Vis à vis de la CNIL, toutes les violations doivent lui être notifiées quelle que soit la gravité de la violation.
Seules les violations portant "atteinte aux données à caractère personnel ou à la vie privée" doivent faire l'objet d'une notification aux personnes concernées. Ainsi, selon la directive 2002/58/CE modifiée, "une violation devrait être considérée comme affectant les données à caractère personnel ou la vie privée d'un abonné ou d'un particulier lorsqu'elle est susceptible d'entraîner, par exemple, le vol ou l'usurpation d'identité, une atteinte à l'intégrité physique, une humiliation grave ou une réputation entachée en rapport avec la fourniture de services de communications accessibles au public dans la Communauté".
Cela pourrait, par exemple, être le piratage de bases de données du fournisseur d'accès contenant des adresses email ou des données de facturation.
Le fournisseur doit donc analyser les conséquences de la violation sur les personnes afin d'en déterminer la gravité, puis vérifier s'il a appliqué les mesures de protection technologiques requises.
L'article 34bis vise les "fournisseurs de services de communications électroniques accessibles au public".
Il s'agit des opérateurs devant être déclarés auprès de l'ARCEP (article L33-1 alinéa 1 du code des postes et des communications électroniques).
Les "services de la société d'information " (selon une expression utilisée dans les avis du G29) tels que les banques en ligne, les sites d'e-commerce ou les téléservices des administrations, etc., ne sont pas concernés.
La notification à la CNIL est systématique et sans délai (art.34 bis II).
Elle se fait par lettre remise contre signature et contient les éléments suivants :
Il s'agit de toute mesure technique efficace destinée à rendre les données incompréhensibles à toute personne qui n'est pas autorisée à y avoir accès.
Par exemple, le fait de chiffrer les données permettrait de rendre les données incompréhensibles à des tiers. Toutefois, si la clé de chiffrement est compromise et qu'un tiers y a accès, il pourrait déchiffrer les données et faire en sorte que cette mesure s'avère inefficace.
En pratique, ces éléments d'information devront être transmis au moment de la notification à la CNIL.
En conséquence, le fournisseur doit avertir les personnes.
La notification aux personnes se fait par tout moyen permettant d'apporter la preuve de l'accomplissement de cette formalité et contient les éléments suivants :
Non, la notification aux personnes ne doit être réalisée qu'en cas de risque d'atteinte aux données à caractère personnel ou à la vie privée de la personne. En outre, si le fournisseur décide de ne pas notifier aux personnes, il doit faire constater par la CNIL que les mesures de protection appropriées ont été mises en œuvre et efficacement appliquées aux données concernées par la violation.
Lorsqu'elle est nécessaire, la notification aux personnes doit être effectuée sans délai (art. 34 bis II al.2).
Lorsqu'elle est imposée par la CNIL, l'information les personnes doit être réalisée dans un délai fixé par la Commission qui ne peut excéder un mois.
Oui, la CNIL peut mettre en demeure le fournisseur d'avertir les personnes si elle estime que la violation est grave.
Le fournisseur encourt des sanctions pénales car le fait pour un fournisseur de services de communications électroniques de ne pas procéder à la notification d'une violation de données à caractère personnel à la Commission nationale de l'informatique et des libertés ou à l'intéressé est puni de cinq ans d'emprisonnement et de 300 000 € d'amende (art. 226-17-1 du code pénal).
En outre, tout manquement à la loi "informatique et libertés" est passible de sanctions administratives, notamment financières pouvant aller jusqu'à 300 000€.
Oui, il doit tenir à jour un inventaire des violations qui doit "notamment " contenir
Ce recensement des violations peut être réalisé sous format papier ou numérique.
Attention ! Cet inventaire doit être conservé à la disposition de la CNIL.
