Enseignements des violations de données en Turquie en 2025 : réponse aux incidents et notification
Additionner les nombres de personnes touchées dans les annonces de différentes entreprises n’est pas une méthode fiable pour établir un « total 2025 » des violations de données en Turquie. Un…
Que contient cet article ?
Additionner les nombres de personnes touchées dans les annonces de différentes entreprises n’est pas une méthode fiable pour établir un « total 2025 » des violations de données en Turquie. Un même incident peut faire l’objet de mises à jour à différentes dates, son périmètre peut évoluer et les notifications publiques ne couvrent pas toutes les violations. Ces facteurs peuvent rendre ces totaux trompeurs.
Ce guide ne présente donc pas de totaux nationaux ou sectoriels de personnes touchées, ni de délais moyens de détection, qui ne puissent être vérifiés à partir de sources officielles publiques.
Comment interpréter les notifications de violations de données de 2025 ?
L’Autorité turque de protection des données publie les violations dont la divulgation publique a été décidée dans sa rubrique Notifications de violations de données sur son site.
Pour chaque incident, ces annonces peuvent préciser :
- le responsable du traitement,
- les dates de survenue et de détection de la violation,
- le périmètre des personnes ou des enregistrements touchés,
- Catégories de données concernées
Ces éléments peuvent figurer dans l’annonce.
La simple addition des chiffres des archives ne doit toutefois pas être présentée comme un total national des violations de données.
72 heures en KVKK
Selon la décision n° 2019/10 du Conseil turc de protection des données du 24 janvier 2019, le responsable du traitement doit notifier le Conseil sans délai et au plus tard 72 heures après avoir pris connaissance de la violation.
Pourquoi le moment de la prise de connaissance est-il essentiel ?
La date du début technique de l'infraction et la date à laquelle le responsable du traitement des données a découvert l'incident peuvent ne pas être les mêmes.
Le système de gestion des incidents doit consigner :
- La première alarme,
- La première confirmation,
- le moment où il a été établi que l’incident constituait une violation de données,
- la notification au Conseil turc de protection des données
Chaque étape doit être associée à un horodatage distinct.
Contrôles essentiels pour répondre à une violation de données
Identité et accès
L’authentification multifacteur (MFA), le principe du moindre privilège et la vérification régulière des comptes autorisés sont des couches de sécurité essentielles.
Journalisation
Il doit y avoir suffisamment de registres pour comprendre quand et comment l'événement s'est produit.
Endpoint et sécurité des serveurs
Les signaux d'accès non autorisés doivent être surveillés de manière centralisée.
Risques liés aux fournisseurs
Une violation peut provenir d’un fournisseur SaaS, d’un hébergeur ou d’un autre sous-traitant, et pas seulement des propres systèmes de l’entreprise.
Information des personnes concernées
La notification au Conseil turc de protection des données et l’information des personnes concernées sont deux démarches distinctes.
Une fois les personnes touchées identifiées, elles doivent être informées par des moyens appropriés dès que possible.
Registre des incidents
Tout incident de sécurité n’est pas nécessairement une violation de données. Les incidents doivent néanmoins être consignés de manière centralisée.
| Champ | Exemple |
|---|---|
| Date et heure de l’incident | Premier signal technique |
| Moment de la prise de connaissance | Le moment où la violation des données est confirmée |
| Catégories de données | Coordonnées, données d’identité, données de transaction, etc. |
| Système affecté | CRM / SaaS / serveur |
| Action | Confinement de l’incident / notification / réinitialisation du mot de passe |
Un enseignement solide à tirer de 2025
L’enseignement à tirer n’est pas un nombre total précis de personnes touchées. C’est la nécessité, pour les organismes, de préparer en amont leurs processus de détection, d’escalade, de collecte des preuves techniques, de notification et d’information des personnes concernées.
Liste de contrôle de réponse aux violations de données
- Les responsables de la réponse aux incidents sont-ils clairement désignés ?
- Le moment de la prise de connaissance peut-il être prouvé ?
- Le délai de 72 heures est-il suivi automatiquement ?
- Les journaux sont-ils conservés suffisamment longtemps ?
- Les fournisseurs sont-ils dans la chaîne d'escalade?
- Existe-t-il un modèle de notification pour les personnes concernées ?
- Un retour d’expérience est-il réalisé après l’incident ?
L'approche B10
B10 Digital Agency considère la gestion des violations de données non comme le simple remplissage de formulaires, mais comme un processus commun réunissant journalisation, contrôles de sécurité, inventaire technique et démarches juridiques.
Sources officielles
- KVKK – Notifications de violations de données
- KVKK – Décision n° 2019/10 relative aux notifications de violations de données
Conclusion
L’analyse des violations de données doit s’appuyer sur les notifications officielles propres à chaque incident, une chronologie technique et des données opérationnelles réelles, plutôt que sur des totaux non vérifiés.