En 2024, 5 629 violations de données personnelles ont été notifiées à la CNIL, soit une augmentation de 20 % par rapport à 2023.
Dans un contexte où les cyberattaques et les incidents de sécurité se multiplient, les organisations peuvent être confrontées à plusieurs obligations de notification issues de réglementations différentes.
➡️ RGPD, NIS2, DORA : plusieurs textes peuvent imposer de notifier une violation de données ou un incident de sécurité à une autorité compétente.
Toute la difficulté consiste alors à déterminer :
- quelle autorité doit être informée ;
- quelles informations doivent être transmises ;
- dans quel délai la notification doit intervenir ;
- quelles organisations sont concernées ;
- et comment articuler les différentes obligations lorsqu’un même incident relève de plusieurs réglementations.
En matière de RGPD, une violation de données personnelles présentant un risque pour les droits et libertés des personnes doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où l’organisme en a pris connaissance.
Toutes les violations de données doivent par ailleurs être documentées en interne.
D’autres réglementations peuvent ajouter leurs propres obligations. DORA prévoit notamment des obligations de déclaration pour certains incidents majeurs liés aux technologies de l’information et de la communication concernant les entités financières soumises à ce règlement.
⚠️ Face à un incident, il est donc essentiel d’avoir identifié en amont les réglementations auxquelles l’organisation est soumise et de disposer d’une procédure permettant de déterminer rapidement les notifications à effectuer.
L’enjeu n’est pas uniquement de réagir à l’incident : il faut être en mesure de respecter simultanément plusieurs obligations réglementaires, parfois dans des délais très courts.
🎥 Vous souhaitez approfondir le sujet ?
Le replay du webinaire consacré à la notification des violations de données personnelles et des incidents de sécurité, organisé avec le CEFCYS, est disponible en ligne.
Ce webinaire revient notamment sur les autorités à notifier, le contenu des notifications, les délais applicables et l’articulation entre les différentes obligations issues du RGPD, de NIS2 et de DORA.
📩 Vous souhaitez vérifier ou mettre à jour vos procédures de notification des violations de données et incidents de sécurité ? Contactez-moi.