Gérer une violation mineure de données : comment ça marche ?

Dans le cadre de la protection de vos données à caractère personnel (DCP), des événements redoutés (violations de données) peuvent malheureusement se produire. Par exemple : un accès illégitime à vos DCP, leur modification non désirée ou encore leur vol/ disparition.

Prenons l’exemple d’une violation mineure de DCP : l’envoi d’un mail à un mauvais destinataire, mais qui ne fait pas peser des risques sur les libertés fondamentales et les droits fondamentaux de la personne concernée (celle dont les données ont été divulguées). Cette violation ne doit pas être notifiée aux autorités de protection des données.

Mais comment gérer cette violation de DCP même si elle n’engendre pas de risques pour la personne concernée ?

En premier lieu, il convient de prendre contact avec le mauvais destinataire afin de lui demander de supprimer le mail et d’envoyer un mail de confirmation de suppression.

Après, il est nécessaire de consigner la violation dans le registre des violations de données afin de démontrer le principe de responsabilité ainsi que de démontrer sa conformité avec le RGPD.

Ensuite, il est également nécessaire de contacter la personne concernée afin de l’informer de la violation de DCP et lui expliquer la résolution de celle-ci dans une optique de loyauté ainsi que de transparence.

Enfin, il utile de communiquer à l’interne sur l’incident (en l’anonymisant, bien sûr). Ceci servira de « piqûre de rappel » aux équipes et permettra de garder chacun bien sensibilisé aux différents types de violation de donnée, aux moyens pour les éviter et aux réponses à y apporter.