Votre base de données a fui ? L'EDPB veut vous aider (et vous faire suer)

Une bonne nouvelle qui sent bon le GDPR

Vous vous souvenez de la dernière fois où vous avez dû notifier une violation de données ? Entre le stress, les emails en panique et la tentative de comprendre si vous deviez prévenir la CNIL ou juste vos clients, c'était probablement aussi amusant que de remplir une déclaration d'impôts en mandarin. Eh bien, l'EDPB (Comité européen de la protection des données) a décidé de vous simplifier la vie – ou du moins d'essayer.

Le 15 octobre 2024, l'EDPB a ouvert une consultation publique sur un nouveau modèle de notification de violation de données. L'objectif ? Standardiser les formulaires que les entreprises doivent remplir quand elles perdent des données personnelles. Parce qu'avouons-le, le formulaire actuel est aussi clair qu'un contrat d'assurance écrit en vieux français.

Pourquoi ce modèle est-il important ?

Le GDPR, dans son article 33, exige que vous notifiiez une violation à l'autorité de contrôle dans les 72 heures. Mais concrètement, comment faire ? Quelles informations fournir ? Jusqu'à présent, chaque autorité nationale avait son propre formulaire, ce qui était un casse-tête pour les entreprises opérant dans plusieurs pays. Le nouveau modèle vise à harmoniser tout ça.

Imaginez : vous êtes responsable de la conformité dans une PME. Vous recevez un email de votre DSI : « On a perdu 5000 adresses email. » Votre première réaction ? Panique. Ensuite, vous devez décider si c'est une violation « susceptible d'engendrer un risque pour les droits et libertés ». Avec le nouveau modèle, vous aurez une checklist claire pour évaluer la gravité et remplir la notification sans vous arracher les cheveux.

Ce que le modèle contient (spoiler : c'est pratique)

Le projet de lignes directrices propose un formulaire structuré en plusieurs sections : description de la violation, catégories de données concernées, nombre de personnes impactées, mesures prises, etc. Rien de révolutionnaire, mais la standardisation est une bénédiction pour les juristes fatigués.

Un point intéressant : le modèle inclut des exemples concrets pour chaque champ. Par exemple, pour la « nature de la violation », vous pourrez choisir entre « accès non autorisé », « perte de données », « divulgation non autorisée », etc. Fini les réponses vagues comme « incident informatique ».

Comment participer à la consultation ?

Vous avez jusqu'au 27 novembre 2024 pour soumettre vos commentaires. L'EDPB encourage les entreprises, les associations professionnelles et les particuliers à donner leur avis. C'est votre chance de dire que le formulaire est trop long, trop court, ou que vous préférez un format Excel plutôt qu'un PDF.

Pour participer, rendez-vous sur le site de l'EDPB et remplissez le questionnaire. Si vous ne le faites pas, vous n'aurez pas le droit de vous plaindre quand le modèle final sera publié. (Ok, vous aurez le droit, mais ce sera moins légitime.)

Et si vous ne faites rien ?

Rappel : ne pas notifier une violation peut vous coûter jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial. Alors autant prendre 10 minutes pour lire les lignes directrices et donner votre avis. C'est comme vérifier la pression de vos pneus : chiant, mais moins cher qu'un accident.

En attendant, préparez-vous : une fois le modèle adopté, il deviendra la référence pour toutes les notifications. Si vous voulez être en avance, commencez à structurer vos procédures internes autour de ce modèle. Votre futur vous remerciera.