Lorsqu’une violation de données personnelles présente un risque élevé pour les droits et libertés des personnes concernées, le RGPD impose de les en informer dans les meilleurs délais.
Mais encore faut-il que cette information soit suffisamment complète pour leur permettre de comprendre ce qui s’est passé et, surtout, de prendre les mesures nécessaires pour se protéger.
Les récentes sanctions prononcées par la CNIL à l’encontre de FREE et FREE MOBILE apportent justement des précisions intéressantes sur ce point.
En octobre 2024, les deux sociétés ont subi une violation massive de données ayant concerné 24 millions de contrats d’abonnés, avec notamment l’exposition d’IBAN pour certaines personnes.
Les personnes concernées avaient bien été informées par courriel. Toutefois, la CNIL a considéré que cette première communication ne contenait pas toutes les informations nécessaires.
⚠️ Elle ne précisait notamment pas suffisamment :
- les conséquences et les risques auxquels les personnes concernées étaient exposées ;
- les mesures qu’elles pouvaient mettre en œuvre pour se protéger, alors même que ces risques et ces mesures avaient été identifiés par les sociétés.
L’information adressée après une violation de données ne doit donc pas se limiter à annoncer qu’un incident a eu lieu.
Elle doit permettre aux personnes de comprendre la nature de la violation, ses conséquences possibles et les précautions à prendre pour en limiter les effets.
Cette décision rappelle l’intérêt de préparer en amont une procédure de gestion des violations de données, mais également des modèles de communication qui pourront être rapidement adaptés à la situation rencontrée.
📩 Vous souhaitez revoir votre procédure de gestion des violations de données et les modalités d’information des personnes concernées ? Contactez-moi.