1
urgent
Mon organisation subit une violation de données
Une violation de données ne se traite pas seulement comme un incident informatique. Il faut contenir l’incident, documenter les faits, évaluer le risque pour les personnes et vérifier rapidement les obligations de notification et d’information.
- Contenez l’incident sans détruire les preuves. Identifiez la nature de la violation, les catégories de données, le nombre approximatif de personnes et d’enregistrements concernés, les conséquences possibles et les mesures déjà prises. Inscrivez la violation dans votre registre interne.
- Évaluez le risque pour les droits et libertés des personnes. Si la violation présente un risque, notifiez-la à la CNIL au plus tôt et, si possible, dans les 72 heures après en avoir pris connaissance. Si toutes les informations ne sont pas encore disponibles, une notification initiale peut être complétée ensuite.
- Si le risque est élevé, informez aussi les personnes concernées dans les meilleurs délais, avec des termes clairs : ce qui s’est passé, les conséquences possibles, le contact utile, les mesures prises et les recommandations pour se protéger. En cas de cyberattaque, conservez les preuves techniques et envisagez le dépôt de plainte.
