RGPD : violations de données et registre
Comprendre les obligations RGPD relatives aux violations de données et à la tenue du registre des traitements dans un contexte d'infrastructure.
À retenir
- Une violation de données couvre destruction, perte, altération ou accès non autorisé.
- La notification à la CNIL doit intervenir sous 72 h en cas de risque pour les personnes.
- Le registre des traitements (art. 30) doit couvrir vidéoprotection et contrôle d'accès physique.
- Les rôles responsable de traitement / sous-traitant doivent être clarifiés contractuellement.
Ce qu'est une violation de données au sens du RGPD
Une violation de données à caractère personnel (article 4 du RGPD) est une violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles. Pour un opérateur de data center, cela peut résulter d'une intrusion physique en salle donnant accès à des supports de stockage, d'une cyberattaque compromettant les systèmes hébergés, ou même d'une perte de disque lors d'un transport non sécurisé vers un site de destruction.
Notification à la CNIL sous 72 heures
Lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, le responsable de traitement doit notifier la CNIL dans les meilleurs délais et si possible 72 heures au plus tard après en avoir pris connaissance (article 33 RGPD). Passé ce délai, toute notification tardive doit être motivée. Si le risque est élevé, les personnes concernées elles-mêmes doivent en outre être informées directement (article 34).
Point clé
un opérateur de data center agissant comme sous-traitant (au sens RGPD) pour le compte de ses clients doit notifier la violation à son client responsable de traitement sans délai injustifié, à charge pour ce dernier de notifier ensuite la CNIL — la chaîne contractuelle de notification doit être définie à l'avance dans le contrat de service.
Le registre des activités de traitement
L'article 30 du RGPD impose la tenue d'un registre des traitements, recensant les finalités, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité associées à chaque traitement. Pour un data center, ce registre couvre notamment les traitements liés à la vidéoprotection, aux registres d'accès physique et aux données biométriques éventuellement collectées pour le contrôle d'accès.
Sur le terrain
lors d'un audit croisé NIS 2 / RGPD, les auditeurs vérifient la cohérence entre le registre des traitements et les mesures de sécurité physique décrites au titre de l'article 21 de NIS 2 — un registre RGPD à jour facilite grandement la démonstration de conformité NIS 2, les deux démarches se nourrissant mutuellement.
Attention
la confusion entre l'obligation NIS 2 (sécurité des réseaux et systèmes d'information) et l'obligation RGPD (protection des données personnelles) est fréquente ; un incident purement technique sans donnée personnelle impliquée relève uniquement de NIS 2, tandis qu'une violation de données sans impact sur la disponibilité du service peut relever uniquement du RGPD — mais les deux se recoupent très souvent dans un data center.
Sous-traitance et clauses contractuelles
Le RGPD impose que tout sous-traitant traitant des données pour le compte d'un responsable de traitement soit lié par un contrat encadrant strictement les conditions de traitement (article 28). Pour un data center hébergeant des clients multiples, cela implique des clauses précises sur la localisation des données, les mesures de sécurité physique et logique, et les modalités de notification d'incident.
Astuce
tenez à jour une matrice croisant chaque client hébergé, son statut contractuel (responsable de traitement ou sous-traitant), et les délais de notification contractuellement engagés ; elle évite les mauvaises surprises lorsqu'un incident survient un week-end.