MON PORTAIL

Registre des incidents (B)

Qu'est-ce qu'une violation de données à caractère personnel ?

Pour qu'il y ait violation, 3 conditions doivent être réunies :

Vous avez mis en œuvre un traitement de données personnelles.
Ces données ont fait l’objet d'une violation (destruction, perte, altération, divulgation ou un accès non autorisé à des données personnelles, de manière accidentelle ou illicite).
Cette violation est intervenue dans le cadre de votre activité de fourniture de services de communications électroniques(par exemple, lors de la fourniture de votre service de téléphonie ou d'accès à d'internet).

Que va faire la CNIL ?

Dès réception, la CNIL va instruire la notification. La procédure relative à la violation notifiée pourra être clôturée si la CNIL constate que :

La violation ne porte pas atteinte aux données personnelles ou à la vie privée des personnes (pour vous permettre d'auto-évaluer le niveau de gravité de la violation, la CNIL met à votre disposition un outil d'analyse).
Vous avez correctement informé les personnes concernées.
Vous avez mis en place, préalablement à la violation, des mesures techniques de protection appropriées.

La CNIL pourra vous imposer d'informer les personnes concernées si elle constate que :

Vous ne les avez pas correctement informées.
Les mesures techniques de protection que vous avez mises en place préalablement à la violation ne sont pas appropriées.

La CNIL dispose d'un délai de 2 mois pour vérifier le caractère approprié ou non de ces mesures techniques. En l'absence de retour de la CNIL dans ce délai, vous devrez considérer que les mesures ne sont pas appropriées et vous devrez immédiatement informer les personnes de la violation. Si vous essayez d'écrire pour une audience large et générale, votre histoire sonnera fausse et fade. Personne ne sera intéressé. Ecrivez-la pour une personne. Si elle est authentique pour une personne, elle le sera pour les autres.

Identification du responsable de traitement

Personne à contacter pour obtenir des informations complémentaires

Type de notification

Notification complète

Notification en deux temps

Notification initiale

Notification complémentaire

Date de la violation

Date de constatation de la violation

Circonstances de la violation (cocher au moins une case)

Perte de confidentialité : des données à caractère personnel ont été compromises (accès non autorisé ou divulgation).

Perte d’intégrité : des données à caractère personnel ont été modifiées de manière non désirée.

Perte de disponibilité : des données à caractère personnel ont disparu.

Nature et teneur des données à caractère personnel concernées:

État civil (ex : nom, sexe, date de naissance, âge...)

Coordonnées (ex : adresse postale ou électronique, numéros de téléphone fixe ou portable…)

Données d’identification ou d’accès (ex : identifiant, mot de passe, numéro client…)

Données relatives à des informations financières (ex : revenus, numéro de carte de crédit, coordonnées bancaires…)

Données sensibles (opinions philosophiques, politiques, religieuses, appartenance syndicale, données relatives à la vie sexuelle ou à la santé, origine raciale ou ethnique)

Données spécifiquement liées à la fourniture d’un service de communications électroniques (ex : données de localisation ou de connexion, données relatives aux historiques de navigation internet, aux courriers électroniques et aux listes d’appels téléphoniques détaillées...)

Inconnue (pour le moment).

Précisez la teneur des données à caractère personnel concernées:

Mesures techniques et organisationnelles appliquées par le responsable de traitement à la violation de données à caractère personnel

Mesures de protection technologiques appropriées mises en oeuvre, préalablement à la violation, pour rendre les données

incompréhensibles à toute personne non autorisée à y avoir accès :

(décrire ces mesures et les dispositions prises pour leur conférer une pleine efficacité)

Le cas échéant, références du dossier de formalités accomplies auprès de la CNIL préalablement à la mise en oeuvre du traitement et dans lequel ces mesures sont décrites :

Autres mesures préventives mises en oeuvre :

Mesures prises par le responsable de traitement en réaction immédiate à la violation :

Recours à un tiers pour fournir le service concerné par la violation

non

oui, préciser le nom du tiers et sa qualité : sous-traitant, prestataire, fournisseur...

oui, préciser le nom du tiers et sa qualité : sous-traitant, prestataire, fournisseur :

Informations sur la violation

Lieu de la violation :

Supports des données concernées par la violation (serveur, poste fixe, ordinateur portable, disque de sauvegarde,

document papier...)

Nombre de personnes concernées par la violation

Conséquences potentielles en cas de perte de confidentialité: :

Les données ont été, ou pourraient vraisemblablement être (il est possible de cocher plusieurs cases) :

... diffusées plus que nécessaire et avoir échappé à la maîtrise des personnes concernées (ex. : diffusion plus ou moins large, diffusion non désirée d’une photo sur Internet, perte de contrôle d’informations publiées un réseau social...) ;

... corrélées avec d’autres informations relatives aux personnes concernées (ex. : corrélation d’adresses de résidence et de données de géolocalisation en temps réel...) ;

... exploitées à d’autres fins que celles prévues et/ou de manière injuste (ex. : fins commerciales, usurpation d’identité, utilisation à l’encontre des personnes concernées...).

Conséquences potentielles en cas de perte d’intégrité: :

Les données ont été, ou pourraient vraisemblablement être (il est possible de cocher plusieurs cases) :

... modifiées en des données invalides, qui ne seront pas utilisées de manière correcte, le traitement pouvant engendrer des erreurs, des dysfonctionnements, ou ne plus fournir le service attendu (ex. : altération du bon déroulement de démarches importantes...) ;

... modifiées en d’autres données valides, de telle sorte que les traitements soient détournés (ex. : exploitation pour usurper des identités en changeant la relation entre l’identité des personnes et les données biométriques d’autres personnes...).

Conséquences potentielles en cas de perte de disponibilité :

Les données ont été, ou pourraient vraisemblablement être (il est possible de cocher plusieurs cases) :

... manquantes à des traitements qui ne peuvent plus du tout fournir le service attendu (ex. : ralentissement ou blocage de processus administratifs ou commerciaux, impossibilité de fournir des soins du fait de la disparition de dossiers médicaux, impossibilité pour des personnes concernées d’exercer leurs droits...) ;

... manquantes à des traitements et générer des erreurs, des dysfonctionnements, ou fournir un service différent de celui attendu (ex. : certaines allergies ne sont plus signalées dans un dossier médical, certaines informations figurant dans des déclarations de revenus ont disparu, ce qui empêche le calcul du montant des impôts...).

Préjudices potentiels (impacts sur les personnes concernées)

Estimation du niveau de la gravité (choisir le niveau le plus approprié au vu de la description et des exemples) :

	Négligeable	Limité	Important	Maximal
Description du niveau
Préjudices potentiels représentatifs du niveau

Mesure techniques et organisationnelles prises par le responsable de traitement suite à la violation:

Autres mesures prises ou prévues pour réduire l’impact sur les personnes concernées :

Mesures prises ou prévues pour revenir à une situation normale :

Mesures prises ou prévues pour éviter que la violation se reproduise :

Information des personnes concernées par la violation:

Oui, les personnes ont été informées.

Non, mais elles le seront.

Non, car des mesures de protection technologiques appropriées ont été mises en oeuvre, préalablement à la violation, pour rendre les données incompréhensibles à toute personne non autorisée à y avoir accès.

Non, car : le responsable de traitement considère qu’il y a un risque que la notification nuise à l’efficacité de l’enquête sur la violation (détailler) :

Non, car le responsable de traitement n’étant pas en mesure d’identifier toutes les personnes concernées dans le délai, il a procédé, sans retard injustifié, à l’information de ces personnes par des avis dans de grands médias nationaux ou régionaux, tout en continuant à tenter d’identifier ces personnes afin de les informer individuellement dès que possible (détailler):

Contenu de l’information fournie aux personnes concernées:

Télécharger

Moyen de communication utilisé pour informer les personnes concernées:

Information par voie postale.

Information par courrier électronique.

Si autre, précisez:

Nombre de personnes informées

Violations concernant des personnes localisées dans d’autres pays de l’Union européenne (UE)

Violation de données concernant des personnes localisées dans d’autres pays de l’UE.

Notification de la violation à d’autres autorités compétentes dans un ou plusieurs pays de l’UE.

Si autre, précisez:

MON PORTAIL

Registre des incidents (B)

Qu'est-ce qu'une violation de données à caractère personnel ?

Pour qu'il y ait violation, 3 conditions doivent être réunies :

Que va faire la CNIL ?

Identification

Identification du responsable de traitement

Personne à contacter pour obtenir des informations complémentaires

Type de notification

Informations principales

Date de la violation

Date de constatation de la violation

Circonstances de la violation (cocher au moins une case)

Nature et teneur des données à caractère personnel concernées:

Mesures techniques et organisationnelles appliquées par le responsable de traitement à la violation de données à caractère personnel

Le cas échéant, références du dossier de formalités accomplies auprès de la CNIL préalablement à la mise en oeuvre du traitement et dans lequel ces mesures sont décrites :

Autres mesures préventives mises en oeuvre :

Mesures prises par le responsable de traitement en réaction immédiate à la violation :

Recours à un tiers pour fournir le service concerné par la violation

Informations supplémentaires

Informations sur la violation

Lieu de la violation :

Nombre de personnes concernées par la violation

Conséquences potentielles en cas de perte de confidentialité: :

Conséquences potentielles en cas de perte d’intégrité: :

Conséquences potentielles en cas de perte de disponibilité :

Préjudices potentiels (impacts sur les personnes concernées)

Estimation du niveau de la gravité (choisir le niveau le plus approprié au vu de la description et des exemples) :

Mesure techniques et organisationnelles prises par le responsable de traitement suite à la violation:

Autres mesures prises ou prévues pour réduire l’impact sur les personnes concernées :

Mesures prises ou prévues pour revenir à une situation normale :

Mesures prises ou prévues pour éviter que la violation se reproduise :

Communication

Information des personnes concernées par la violation:

Contenu de l’information fournie aux personnes concernées:

Moyen de communication utilisé pour informer les personnes concernées:

Nombre de personnes informées

Violations concernant des personnes localisées dans d’autres pays de l’Union européenne (UE)

Observations

Info@Dataprivacybox.Com