Violation de données personnelles

Une violation de données personnelles est un incident de sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération ou la divulgation non autorisée de données à caractère personnel. Concrètement, le vol d'un fichier clients après une intrusion informatique, ou l'envoi d'une base de contacts au mauvais destinataire, constitue une violation de données.

En cas de violation, le responsable de traitement doit notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33 du RGPD), sauf si l'incident n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Cette notification est une obligation de conformité distincte du dépôt de plainte qui conditionne l'indemnisation d'une cyberattaque : deux délais de 72 heures, deux destinataires, deux finalités.

Une violation survient fréquemment à la suite d'un rançongiciel ou d'un piratage de compte. Une assurance cyber peut couvrir les frais de notification, l'assistance juridique et la responsabilité civile engagée envers les clients dont les données ont fuité, selon France Assureurs. Votre courtier vérifie que le contrat prévoit bien ces garanties et vous rappelle l'enchaînement des démarches après l'incident.