Gérer une violation de données personnelles : les 72 premières heures selon la KVKK et le RGPD

Une violation de données personnelles concerne plus que la sécurité informatique. Les équipes juridiques, de conformité KVKK/RGPD, de direction, de communication, de relation client et, si nécessaire, d’investigation numérique doivent suivre un même plan de crise.

L’erreur la plus grave est de réduire toutes les violations à une unique « règle des 72 heures ». Les systèmes de notification de la KVKK et du RGPD semblent similaires, mais leurs fondements juridiques et évaluations des risques diffèrent.

Comment la KVKK encadre-t-elle les notifications de violations ?

L’article 12, paragraphe 5, de la loi n° 6698 impose au responsable d’informer au plus vite la personne concernée et le Conseil turc de protection des données personnelles lorsque des tiers obtiennent illégalement les données traitées.

Selon la décision n° 2019/10 du Conseil turc de protection des données personnelles du 24.01.2019, la formule légale « dès que possible » signifie, pour la notification au Conseil, à compter de la prise de connaissance de la violation, sans délai et au plus tard dans les 72 heures.

Si un motif justifié empêche de notifier dans ce délai, expliquer le retard avec la notification.

La même règle des 72 heures s’applique-t-elle à l’information des personnes concernées ?

Non. Après identification des personnes touchées, l’approche du Conseil prévoit de les informer dans le délai raisonnablement le plus court.

Si les coordonnées de la personne concernée sont disponibles, elle peut être informée directement ; sinon, des moyens appropriés, tels qu’une annonce sur le site du responsable du traitement, peuvent être envisagés.

La notification au Conseil et l’information des personnes concernées sont coordonnées, mais leurs délais légaux ne sont pas formulés de la même manière.

Règle de 72 heures dans le RGPD

Selon l’article 33 du RGPD, le responsable notifie l’autorité compétente sans délai et, si possible, sous 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.

Si les 72 heures sont dépassées, la notification doit aussi expliquer le retard.

Le sous-traitant doit informer le responsable du traitement sans délai après avoir pris connaissance de la violation.

Avis à la personne concernée dans le RGPD

Selon l’article 34 du RGPD, le responsable du traitement doit informer la personne concernée sans retard injustifié lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

La notification à l’autorité et l’information d’une personne concernée nécessitent des évaluations distinctes selon le RGPD.

Les 15 premières minutes : Arrêtez l'événement, ne détruisez pas les preuves

Ne pas tout arrêter ou effacer les journaux par réflexe. Contenir la violation en préservant les traces qui expliquent son déroulement.

Identifier les systèmes touchés.
Limiter l'accès non autorisé.
Changer de manière contrôlée les clés d’accès nécessaires.
Empêcher la suppression des registres et des enregistrements des événements.
Consigner le début de l’incident et sa prise de connaissance.

Première heure : activer l’équipe de gestion de la violation

Une bonne réponse aux incidents dépasse l’informatique. Selon l’incident, mobiliser :

Sécurité de l'information / informatique,
les responsables KVKK ou de protection des données,
le service juridique,
la direction,
communication d'entreprise,
les opérations de clients,
des spécialistes externes en cybersécurité ou investigation numérique.

Pourquoi le moment de la prise de connaissance est-il crucial ?

Le processus de 72 heures est évalué non pas à partir du moment où l'événement techniquement s'est produit, mais à partir du moment où le responsable du traitement des données a appris la violation. Par conséquent, il est important de tenir des registres de détection, d'escalade et de décision au sein de l'institution.

La tenue d'une alerte de sécurité pendant des jours sans être examinée peut aussi présenter un risque pour la gestion des processus.

Établir un inventaire de la violation

Déterminer au plus vite la portée de l’incident avant de décider de notifier :

Quel système a été affecté?
Quelles catégories de données ont été touchées?
Combien de personnes ont été touchées?
Les données ont-elles été consultées, exportées ou modifiées?
Des catégories particulières de données personnelles sont-elles concernées ?
Les données ont-elles été cryptées ou protégées par d'autres mesures de protection?
L’accès non autorisé se poursuit-il ?
Quelles conséquences les personnes concernées pourraient-elles subir ?

Faut-il retarder la notification si des informations manquent ?

L’enquête technique peut ne pas être achevée sous 72 heures. Ne pas attendre la fin de toutes les investigations avant de notifier.

Engager les notifications requises avec les informations disponibles. Ajouter les détails et constats techniques selon la procédure applicable au fil de l’analyse, en documentant les retards éventuels.

Comment faire l'analyse des risques?

Un message envoyé au mauvais destinataire ne se gère pas comme une fuite de données d’identité et financières de milliers de personnes.

L'analyse des risques peut tenir compte des facteurs suivants :

la nature et la sensibilité des données,
Le nombre de personnes touchées,
le vol d'identité ou le risque de fraude,
les données de santé ou autres catégories particulières,
Si les données sont rendues publiques,
mesures de protection telles que le chiffrement ou la pseudonymisation,
Si la brèche continue,
les dommages matériels ou immatériels possibles pour les personnes.

Documenter l’incident technique

Le dossier de violation doit contenir la chronologie et le rapport final.

heure de la première alerte,
moment de la prise de connaissance de la violation,
La première intervention,
Identification des systèmes touchés,
changements techniques apportés,
Le moment de la décision de notification,
Notification du conseil/de l'autorité,
communications aux personnes concernées,
date de clôture de l’incident.

Horodater chaque étape.

Que dire aux personnes concernées

Ne pas se limiter à un message vague ou alarmant : « vos données ont fuité ». Expliquer clairement l’incident, les données concernées, les conséquences, les mesures prises et les moyens de se protéger.

Analyse des causes profondes après violation

Les rapports ne sont pas la fin de la gestion des événements. L'institution doit déterminer pourquoi l'événement s'est produit et quels contrôles doivent être modifiés pour éviter la récidive.

autorisations excessives,
faible authentification,
service cloud mal configuré,
phishing,
logiciels obsolètes,
erreur humaine,
Sécurité des fournisseurs

Associer à chaque cause des actions correctives distinctes.

Plan d'exploitation de 72 heures

0 à 4 heures

Contenir l’incident, préserver les preuves, déterminer la portée initiale et consigner la prise de connaissance.

4-24 heures

Identifiez les catégories de données, les groupes de personnes touchées, la cause technique et les conséquences possibles. Associez les équipes juridiques, les responsables KVKK et la direction au processus.

24-48 heures

Préparer le dossier de notification, lister les informations manquantes, planifier l’information des personnes et engager les corrections.

48-72 heures

Achever les notifications requises à l’autorité/au Conseil selon le droit applicable. Documenter tout retard et ses raisons. Informer les personnes selon les conditions du régime concerné.

L'approche B10

B 10 Digital Agency aborde les violations au-delà des textes juridiques, en coordonnant flux de données, droits d’accès, journaux, sécurité technique, dossiers d’incident et conformité KVKK.

Conclusion

Les 72 premières heures sont une phase critique de détection, d’analyse, de préservation des preuves, de notification, de communication et de réponse technique coordonnées. La KVKK et le RGPD exigent une discipline similaire, mais leurs obligations de notification doivent être évaluées séparément selon leurs règles propres.

Note : Ce contenu est à des fins d'information générale. Les obligations juridiques à appliquer dans le cas d'une violation concrète des données doivent également être évaluées en fonction des caractéristiques de l'incident et de la législation applicable.