Le CEPD propose un modèle européen unique pour les notifications de violations de données

Le Comité européen de la protection des données a approuvé la version 1.0 d’un formulaire commun destiné à signaler les violations de données à caractère personnel. La proposition est ouverte à la consultation publique jusqu’au 5 août 2026, après quoi le CEPD devrait décider à partir de quand les autorités nationales de contrôle commenceront à l’utiliser en pratique, selon Aisa International.

L’initiative vise à remplacer les différents formats de notification utilisés par les autorités chargées de la protection des données dans les États membres de l’UE. Jusqu’à présent, les organisations ont été confrontées à des structures et à des exigences variables lorsqu’elles notifiaient des violations, notamment lorsqu’elles traitaient avec l’Office tchèque pour la protection des données à caractère personnel. Un formulaire commun fournirait aux responsables du traitement un cadre unique pour présenter les détails d’un incident.

Le modèle est très complet. Il demande aux organisations de décrire ce qui s’est passé, quand les faits se sont produits, qui a été touché, comment les risques ont été évalués et quelles mesures ont été prises en réaction. L’objectif affiché est de rendre la procédure plus cohérente et plus facile à suivre, en particulier pour les petites organisations qui ne disposent pas nécessairement d’équipes juridiques spécialisées. Dans le même temps, le niveau de détail requis signifie que les entreprises devront disposer de registres fiables des incidents et accéder rapidement aux informations techniques et juridiques.

Ce que couvre le formulaire proposé

Le document est divisé en sept grands domaines. Le premier concerne le statut de la déclaration : l’organisation doit indiquer s’il s’agit d’une notification initiale, d’une mise à jour d’une notification antérieure ou du retrait d’une notification précédente.

Une deuxième section consigne l’identité et le rôle de l’organisation. Elle comprend le secteur économique concerné, selon des classifications allant de A à V, ainsi que le type d’organisation impliqué. Le formulaire exige également des responsables du traitement qu’ils identifient les sous-traitants et les éventuels responsables conjoints du traitement liés à l’incident.

La section consacrée à la chronologie demande la date et l’heure auxquelles la violation s’est produite et a été découverte. Si la notification est déposée après le délai légal de 72 heures, l’organisation doit expliquer ce retard. La qualité de l’enregistrement interne des incidents revêt donc une importance particulière, puisque le délai de notification dépend du moment de la détection et de l’évaluation, par l’organisation, de ses obligations.

Le formulaire proposé demande ensuite aux organisations de qualifier la nature de la violation. Elles doivent préciser si la confidentialité, l’intégrité ou la disponibilité ont été compromises et indiquer, lorsque cette information est connue, si un acteur malveillant interne ou externe en est responsable.

Une autre partie porte sur les personnes et les informations concernées. Les organisations doivent identifier les catégories pertinentes de personnes concernées, telles que les employés, les clients, les enfants ou les personnes vulnérables, et fournir le nombre de dossiers impliqués. Lorsque les chiffres ne sont pas encore certains, le formulaire permet de présenter une première notification fondée sur des estimations. Celle-ci peut ensuite être modifiée au moyen d’une notification complémentaire.

Éléments probants, risques et incidents transfrontaliers

La section consacrée à l’évaluation des risques exige une explication de la manière dont l’organisation a évalué les effets possibles sur les personnes. Elle demande également des informations sur les mesures de protection déjà en place, notamment des dispositifs tels que le chiffrement et l’authentification multifacteur.

La dernière partie traite des incidents qui concernent plusieurs pays de l’Espace économique européen ainsi que des pièces justificatives. Parmi les exemples cités par Aisa International figurent les évaluations des risques, les messages envoyés aux personnes concernées, les courriels d’hameçonnage et les notes de rançongiciel. Ces exigences signifient que la notification ne se limite pas à une brève description de l’événement ; les autorités peuvent également attendre des éléments montrant comment l’organisation a enquêté et réagi.

La responsabilité peut rester celle du responsable du traitement même lorsque la violation se produit chez un prestataire de services extérieur. L’obligation prévue par le formulaire proposé de consigner les sous-traitants et les responsables conjoints du traitement reflète cette répartition des rôles. Une entreprise ne peut pas partir du principe que l’externalisation du traitement des données la dispense de ses propres obligations de notification.

Le formulaire reconnaît également qu’un responsable du traitement peut ne pas connaître le nombre précis de personnes touchées dans les 72 heures. Une notification incomplète peut être déposée sur la base des estimations disponibles, puis complétée une fois que l’enquête aura permis d’obtenir des chiffres plus précis. Les organisations disposent ainsi d’un moyen de respecter le délai initial sans attendre que tous les faits soient établis.

Pas encore de date de mise en œuvre

La date limite de la consultation est fixée au 5 août 2026. Tant que le CEPD n’aura pas défini les prochaines étapes, l’article n’indique pas de date définitive à laquelle le modèle commun deviendra obligatoire pour les autorités nationales ou les organisations. Les entreprises ont donc le temps d’examiner la manière dont leurs procédures de réponse aux violations recueillent les informations demandées par le formulaire proposé.

Aisa International indique qu’elle ne remplit pas les notifications de violations pour ses clients, ne tient pas de registres manuels des données divulguées et ne rapproche pas les rapports de transactions des dépositaires. L’entreprise décrit son rôle comme relevant de la supervision stratégique de la conformité et affirme que l’enquête technique et la notification devraient être prises en charge par des conseillers spécialisés en sécurité de l’information et en droit.

L’éditeur présente le formulaire proposé comme un élément d’une évolution plus large vers une supervision plus structurée des risques numériques. Pour les organisations, la conséquence pratique est que la préparation aux violations ne peut pas reposer uniquement sur un travail improvisé en pleine crise. Des chronologies précises, une répartition claire des responsabilités des sous-traitants, des évaluations documentées des risques et la conservation des éléments probants pourraient tous être nécessaires si l’approche commune de notification est mise en œuvre.

L’article d’Aisa International précise que ses informations sont générales et ne constituent pas des conseils personnalisés, et avertit que les lois peuvent évoluer. Il recommande de consulter des conseillers qualifiés et les sources officielles du gouvernement afin d’obtenir des orientations à jour avant de s’appuyer sur la proposition dans un cas particulier.