Lorsqu'une entreprise perd le contrôle de données personnelles, le compte à rebours démarre vite. Selon le RGPD britannique et européen, les règles GDPR des 72 heures en cas de violation de données fixent une échéance ferme pour informer les autorités de ce qui s'est passé. Pour les personnes dont les données ont été exposées, ces règles comptent aussi, car elles déterminent ce que vous apprenez, quand vous l'apprenez et ce que vous devez faire ensuite.
Ce guide explique le processus en langage clair, du point de vue de l'entreprise et du vôtre.
Quand le compte à rebours de 72 heures commence
La fenêtre de 72 heures repose sur une idée unique : la prise de conscience. Selon l'article 33 du RGPD, un responsable du traitement doit notifier une violation de données à caractère personnel à l'autorité de contrôle compétente dans les 72 heures suivant le moment où il en a pris connaissance. Au Royaume-Uni, cette autorité est l'Information Commissioner's Office (ICO). Dans l'UE, il s'agit de l'autorité de protection des données de l'État membre concerné.
Deux points prêtent souvent à confusion :
- Le compte à rebours commence à la prise de conscience, pas à l'attaque. Une violation peut s'être produite des jours ou des semaines plus tôt. Le délai court à partir du moment où l'organisation a un degré raisonnable de certitude que des données personnelles ont été compromises.
- L'échéance n'est pas une pause pour enquêter. Les organisations sont censées agir rapidement. Lorsque tous les détails ne sont pas encore disponibles, l'approche habituelle consiste à signaler ce qui est connu et à fournir des informations complémentaires par étapes.
Manquer l'échéance sans justification raisonnable peut en soi constituer une violation de l'article 33, ce qui expose le responsable du traitement à des mesures d'exécution, selon les commentaires juridiques sur la règle.
Une remarque pratique : les 72 heures incluent les week-ends et les jours fériés. Les violations n'attendent pas les heures de bureau, donc un plan de réponse aux incidents testé compte plus qu'une bonne intention.
Ce que les entreprises doivent dire à l'ICO et aux personnes concernées
Notifier le régulateur et notifier les individus sont deux obligations distinctes avec des déclencheurs différents.
Informer l'ICO. Un rapport est généralement requis, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. La notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées pour y remédier. Elle doit également inclure les coordonnées du contact de l'organisation en matière de protection des données.
Informer les individus. Lorsqu'une violation est susceptible d'engendrer un risque élevé pour les personnes, l'organisation doit également informer les personnes concernées sans délai excessif. Ce message doit être rédigé en langage clair et expliquer ce qui s'est passé, quelles sont les conséquences probables et quelles mesures les personnes peuvent prendre pour se protéger.
Le seuil pour contacter les individus est plus élevé que celui pour contacter le régulateur. Des scans de passeports volés, des dossiers médicaux ou des coordonnées financières se situent généralement bien au-dessus. Des cas comme la fuite de données de passeports du LT Group par le rançongiciel Deadlock montrent comment des documents d'identité peuvent finir entre les mains de criminels, ce qui est exactement le type d'exposition qui indique un risque élevé.
Les organisations sont également tenues de conserver un registre interne de chaque violation, y compris celles qu'elles décident de ne pas signaler, avec le raisonnement.
Ce que vous devez faire si vos données sont exposées
Un avis de violation peut sembler abstrait. Voici une liste concrète que vous pouvez suivre le jour même.
- Changez le mot de passe concerné et tous ceux réutilisés. Si le même mot de passe protège d'autres comptes, changez-les aussi. Utilisez un mot de passe unique pour chaque service, idéalement stocké dans un gestionnaire de mots de passe.
- Activez l'authentification multifacteur. Privilégiez si possible une application d'authentification ou une clé matérielle plutôt que les SMS.
- Lisez attentivement l'avis. Notez quels types de données étaient concernés : coordonnées, documents d'identité, informations de santé ou financières. Cela vous indique quels risques prioriser.
- Surveillez vos comptes. Vérifiez vos relevés bancaires et de carte et envisagez un service de surveillance du crédit si des données financières ou des documents d'identité étaient concernés.
- Soyez sceptique face aux contacts inattendus. Les e-mails, textos ou appels qui mentionnent la violation peuvent être authentiques, ou il peut s'agir d'arnaques qui l'utilisent comme appât.
- Faites une demande d'accès. Selon le RGPD britannique et européen, vous pouvez demander à une organisation quelles données personnelles elle détient sur vous, et dans de nombreux cas comment elles sont utilisées. Cela vous aide à comprendre votre exposition réelle et crée une trace écrite.
- Connaissez votre voie de réclamation. Si vous estimez que l'entreprise a mal géré l'incident, vous pouvez le signaler à l'ICO au Royaume-Uni ou à votre autorité nationale de protection des données dans l'UE.
Pourquoi les données volées alimentent les arnaques ultérieures
La violation initiale n'est souvent que la première étape. Les données volées ont une valeur de revente et d'extorsion, et les attaquants les utilisent de plus en plus pour faire pression directement sur les individus.
La couverture de l'attaque par rançongiciel contre AnMed et l'arnaque à l'extorsion de patients montre comment cela fonctionne : des rapports suggéraient que les attaquants auraient pu utiliser des données de patients volées pour mener des tentatives d'extorsion personnalisées contre les personnes auxquelles elles appartenaient. Les détails personnels rendent une menace crédible, c'est pourquoi ces messages peuvent être si efficaces.
Les fuites peuvent aussi être publiques. Dans le cas de ShinyHunters divulguant 8,8 To de données volées de One Medical, les données ont été publiées après une pression extorsive, ce qui signifie que n'importe qui pouvait potentiellement y accéder. Une fois les informations divulguées, elles peuvent être utilisées pour le hameçonnage, l'usurpation d'identité et la fraude ciblée longtemps après que l'incident initial est oublié.
C'est pourquoi une notification rapide est importante. Plus tôt les gens savent, plus tôt ils peuvent verrouiller leurs comptes et reconnaître une arnaque pour ce qu'elle est. Les petites organisations ne sont pas non plus exemptées, comme l'illustre le cas du rançongiciel de Jaipur : les rançongiciels ne font pas de discrimination selon la taille de l'entreprise, et une équipe sans personnel de sécurité dédié a toujours besoin d'un plan de réponse.
Ce que cela signifie pour vous
La loi vous donne une attente raisonnable qu'une entreprise informera le régulateur dans les 72 heures suivant la prise de connaissance d'une violation, et vous informera directement si le risque pour vous est élevé. Elle ne garantit pas que vos données restent en sécurité et ne peut pas annuler une fuite. C'est votre propre réponse qui limite les dégâts.
Si vous dirigez une entreprise, traitez les 72 heures comme une contrainte de planification : sachez qui décide si une violation est à signaler, qui contacte l'ICO et comment vous joindriez rapidement les clients concernés.
Points clés à retenir
- La période de 72 heures commence lorsqu'une organisation prend connaissance d'une violation, pas lorsqu'elle a débuté.
- L'ICO ou l'autorité de l'UE doit être informée sauf si le risque pour les personnes est improbable ; les individus doivent être informés lorsque le risque est élevé.
- Changez les mots de passe, activez l'authentification multifacteur et surveillez vos comptes dès que vous recevez un avis.
- Traitez avec prudence tout message qui mentionne une violation, car les criminels réutilisent les données volées pour l'extorsion et le hameçonnage.
- Utilisez votre droit de demander vos données pour voir ce qu'une organisation détient.
Comprendre les règles GDPR des 72 heures en cas de violation de données vous aide à juger si une entreprise agit correctement, mais votre meilleure protection est d'agir rapidement vous-même. Sécurisez vos comptes dès aujourd'hui, restez vigilant face aux arnaques ultérieures et lisez la couverture d'AnMed et de ShinyHunters ci-dessus pour voir comment les données compromises sont utilisées à mauvais escient en pratique.
