Expertises des Systèmes d'information - Janvier 2022 - N°475 - Le mensuel du droit de l'informatique et du multimédia - 38

DOCTR INE
RGPD
L'envoi d'un courriel à un
destinataire erroné doit-il
être notifié ?
Comme chaque mois, Alexandre Fiévée tente
d'apporter des réponses aux questions que tout
le monde se pose en matière de protection des
données personnelles, en nous appuyant sur les
décisions rendues par les autorités nationales de
contrôle au niveau européen. Ce mois-ci, il se
penche sur une décision de la CNPD, autorité de
contrôle luxembourgeoise, relative à l'envoi par
un assureur d'un courriel contenant des données
de santé d'un assuré à un mauvais destinataire qui
s'analyse comme une violation de données justifiant
une notification à l'autorité de contrôle ainsi qu'une
communication à la personne concernée.
«
38
Tous les organismes
qui traitent des données
personnelles doivent,
rappelle la Cnil, mettre en
place des mesures pour prévenir
les violations de données et réagir
de manière appropriée en cas d'incident.
Les obligations prévues
par le RGPD visent à éviter qu'une
violation cause des dommages
ou des préjudices aux organismes
comme aux personnes concernées.
»1
La violation de données
personnelles est définie à l'article
4.12) du RGPD comme « une
violation de la sécurité entraînante,
de manière
accidentelle
ou illicite, la destruction, la perte,
l'altération,
la
divulgation
non
autorisée de données à caractère
personnel transmises, conservées
ou traitées d'une autre manière,
ou l'accès non autorisé à de telles
données ». Il y a donc une violation
de données si un incident
de sécurité impliquant un traitement
de données personnelles se
produit et que cet incident a un
impact sur
l'intégrité, la confidentialité
et/ou la disponibilité des
données, et ce peu importe que
l'incident soit d'origine malveillante
ou non et qu'il se soit produit
de manière intentionnelle ou non.
Rappel du principe
En cas de violation de données,
l'article 33 du RGPD impose au
responsable du traitement de
documenter, dans un registre, les
violations de données personnelles
et de notifier les violations
présentant un risque pour les droits
et libertés des personnes à l'autorité
de contrôle et, dans certains cas,
lorsque le risque est élevé, aux
personnes concernées. La notification
à la Cnil doit intervenir dans
les meilleurs délais et au plus tard
EXPERTISES JANVIER 2022
72h après que le responsable du
traitement en a pris connaissance.
En pratique, le point de départ de
ce délai correspond au moment
où le responsable du traitement
a acquis « un degré de certitude
raisonnable » qu'un incident a eu
lieu et a touché des données personnelles.
« Cela implique, précise
la Cnil, qu'il ait mis en place des
mesures de détection des violations
et qu'il mène au plus tôt des investigations
permettant d'atteindre une
telle certitude raisonnable. Durant
cette phase
d'investigation, le
responsable du traitement n'est pas
considéré comme ayant connaissance
de la violation. »2
L'affaire
Un assuré a été informé par son
assureur qu'un courriel qui lui était
destiné a été adressé par erreur à
un mauvais destinataire.

Expertises des Systèmes d'information - Janvier 2022 - N°475 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2022 - N°475 - Le mensuel du droit de l'informatique et du multimédia