Une récente fuite de données a exposé des informations personnelles sensibles, telles que les dates de naissance et adresses, de clients sur Internet. Bien que cette violation ne semble pas être le résultat d’une intention malveillante, elle a incité la Commission de protection de la vie privée (CPVP) à intervenir et à transmettre l’affaire au parquet de Bruxelles pour violation des obligations de traitement des données. En réponse à ces incidents, la CPVP a publié des mesures de sécurité recommandées, qui incluent l’élaboration de plans écrits pour la sécurité, l’organisation interne des responsabilités et l’établissement de contrôles d’accès. Ces mesures visent à renforcer la protection des données personnelles dans un contexte où les fuites deviennent plus fréquentes. Parallèlement, le Parlement européen discute d’une réforme majeure de la législation sur la protection des données, qui pourrait inclure l’introduction d’un mécanisme d’alerte obligatoire en cas de violation. Cette réforme vise à responsabiliser les gestionnaires de données en les obligeant à notifier les autorités compétentes et, si nécessaire, les individus affectés. De plus, les responsables de traitement devront documenter toutes les opérations liées aux données personnelles, augmentant ainsi la transparence et la sécurité. Alors que ces débats se poursuivent, une orientation vers un renforcement des mesures de sécurité semble inévitable, incitant les entreprises à anticiper des changements réglementaires pour protéger efficacement les données personnelles.
Les clients concernés avaient ainsi subi la diffusion de leur date de naissance, adresse personnelle et numéro de téléphone sur Internet. Certes, aucune intention malveillante ne semble être à l’origine de cette fuite. Il n’en demeure pas moins qu’elle a été jugée suffisamment grave pour que la Commission de protection de la vie privée (CPVP), gendarme de la vie privée, transmette le dossier au parquet de Bruxelles au chef de la violation de l’obligation de traitement loyal et licite, et de la violation de l’obligation de sécurité, issues de la loi (voyez notamment L’Echo du 30 avril 2013).
En effet, cela est souvent mal connu car peu appliqué, les obligations de protection de la vie privée sont, pour les plus élémentaires, sanctionnées pénalement aux termes de la loi vie privée du 8 décembre 1992.
La réaction préventive de la Commission vie privée
La Commission de protection de la vie privée a publié des mesures de référence relatives à la sécurité le 21 janvier 2013 pour réagir à cette affaire et à quelques autres fuites récentes, situations qui risquent d’aller en s’amplifiant avec la massification des traitements de données. En résumé, ces onze mesures préconisent de (i) planifier la sécurité dans un document écrit, le travail d’écriture et de documentation devant permettre d’aborder ces sujets de manière plus complète et détaillée que des actions isolées et ponctuelles, (ii) organiser la sécurité dans l’entreprise, grâce à la définition des rôles et responsabilités de chacun, y compris des prestataires externes, et en nommant un responsable de sécurité des données, (iii) prendre les mesures matérielles, organisationnelles et financières pour que les principes de sécurité élaborés trouvent une application réelle dans l’activité quotidienne de l’entreprise, notamment en mettant en place des droits d’accès limités selon les rôles définis au préalable, et en s’assurant que le système technique informatique est fiable et sécurisé.
La Commission préconise également d’adopter un plan d’urgence, en cas d’incident pour permettre à la fois de ne pas interrompre le service et de protéger les données personnelles lors de l’activation de mécanismes de secours, et de prendre des mesures d’alerte en cas de fuite de données.
Ces mesures se rapprochent du projet de réforme européen en matière de protection de la vie privée.
La réforme européenne de gestion des données personnelles
La législation de protection des données personnelles est actuellement en profonde réforme devant le Parlement européen, sur la base d’un projet de règlement européen publié par la Commission européenne en janvier 2012, destiné à remplacer l’actuelle directive de 1995. Parmi les très nombreuses évolutions en discussion, il est question de généraliser un mécanisme spécifique d’alerte en cas de violation de données personnelles. Actuellement, un tel mécanisme d’alerte existe uniquement dans le secteur des communications électroniques, à la charge des entreprises telles que les fournisseurs d’accès à Internet.
L’idée serait donc de contraindre tout responsable de traitement victime d’une fuite de données, d’alerter son autorité de référence ainsi que, si nécessaire, les personnes concernées par la fuite – outre la mise en place de mesures de réparation d’urgence et de prévention. Ce mécanisme pourrait être fortement incitatif pour les responsables de traitement, en raison du caractère infamant de devoir notifier un événement négatif à l’autorité voire à ses propres clients. Les détracteurs avancent au contraire que ce mécanisme, appliqué de manière large et générale, manquerait finalement son but car les personnes concernées recevraient alors trop de notifications !
Un autre axe important du nouveau texte européen serait de durcir les obligations de sécurité des responsables de traitements de données personnelles. Tout responsable devrait documenter en détail toutes les opérations effectuées sur les données, en conserver un historique, et devrait coucher sur papier toutes les procédures de collecte, d’accès, de conservation, etc. Ce système pourrait alourdir la gestion des traitements de données, mais il procède de la même logique que les mesures de référence de la Commission, précitées, à savoir contraindre les gestionnaires de fichiers à réfléchir à tous les risques et à toutes les questions liées à la gestion de leurs bases de données, qui sont après tout des actifs à la fois sensibles aux fuites et violations, et valorisables pour les entreprises.
Les débats autour de ce texte font rage dans les couloirs du Parlement européen, mais il semble que l’orientation générale de sécurisation devrait demeurer dans la version finale, qui devrait être adoptée avant la fin de l’année.
En toute hypothèse, compte tenu de l’accroissement des risques nés de la diffusion de données sur les réseaux, les autorités nationales de protection des données sont nombreuses à s’impliquer très concrètement dans l’amélioration de la sécurité des systèmes. Les organismes qui traitent des données personnelles ont donc tout intérêt à s’adapter et à anticiper un durcissement des conditions de gestion des traitements, qui semble aujourd’hui inévitable.
(Article paru dans de l’Echo du 05 juin 2013.)
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
