Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Violation de données à caractère personnel : place au doute ?

02 juil. 2019 - 11:36,
Tribune - Charles Blanc-Rolin
Le règlement général européen sur la protection des données à caractère personnel (RGPD), impose aux responsables de traitements de notifier les violations présentant un risque pour les droits et libertés des personnes à la CNIL.

RGPD

Alors qu’est-ce qu’une violation de données à caractère personnel ?

Lorsque nous parlons Cnil et données à caractère personnel, nous avons toujours tendance à penser : confidentialité des données.

La « violation du secret professionnel », dont la définition est très claire dans les esprits, d’autant plus dans le secteur de la santé, nous oriente une fois de plus dans cette direction.

Mais la violation de données se limite-t-elle vraiment à cela ?

Prenons un autre exemple d’expression utilisant ce terme : « Violation d’une sépulture ». Ici, il ne s’agit plus d’une atteinte à la confidentialité, mais bel et bien d’une atteinte à l’intégrité d’un tombeau ou d’un monument édifié à la mémoire de personnes décédées.

Une violation pourrait donc aussi bien décrire une atteinte à la confidentialité, qu’une atteinte à l’intégrité.

Ah, les subtilités de la langue française...

Dans les deux cas, et en se basant sur les différentes expressions reprenant le terme violation, telles que : 

« Violation du secret professionnel »

« Violation de domicile »

« Violation de sépulture »

« Violation des correspondances »

Nous pensons forcément à un acte délictuel, le non-respect d’une loi, la profanation…

Par définition, « violer », exprime une notion de volonté.

Est-ce toujours le cas, lorsqu’il s’agit de données à caractère personnel ?

La Cnil, autorité compétente en la matière, définit ainsi, la violation de données :

« Perte de disponibilité, d’intégrité ou de confidentialité de données personnelles, de manière accidentelle ou illicite ».

Simple, rapide et efficace, cette définition de la Cnil [1] a le mérite de nous donner toutes les réponses à nos questions en une seule phrase et de ne plus laisser place au doute.

Oui mais voilà, si demain mon établissement est victime d’une importante panne réseau, que mon système d’information est totalement inopérant et que les données à caractère personnel des patients de mon établissements ne sont plus disponibles, je peux dire que je suis confronté à une violation de données à caractère personnel. Accidentelle, certes, et sans aucune atteinte à la confidentialité ou encore à l’intégrité des données, mais d’après la définition de la Cnil, il y a bien violation malgré tout.

Si je pousse la réflexion un peu plus loin. Cet incident dure plusieurs jours (ne rigolez pas, ça pourrait arriver à tout le monde), je ne serais donc pas en mesure de donner accès à un patient qui en ferait la demande, aux données à caractère personnel que j’aurais collecté sur lui. Cette violation présente donc bien un risque pour les droits et libertés des personnes, et par conséquent, en plus d’effectuer ma déclaration obligatoire auprès des autorités de tutelle [2], je devrais également notifier la Cnil de cette violation, comme le rappelle également Vincent Trély, Président de l’Apssis, dans son excellent article sur le thème de la communication en cas de crise numérique [3].

Mais si lors de ma communication de crise, j’ai le malheur d’utiliser le terme de « violation » de données devant un journaliste, à votre avis, quelle est la probabilité de lire « Les données des patients de l’hôpital entre les mains des hackers » parmi les gros titre de la presse régionale, voir nationale, dès le lendemain matin ? 


[1] 

[2] 

[3] 

 

Avez-vous apprécié ce contenu ?

A lire également.

Illustration La cyber et les probabilités paresseuses

La cyber et les probabilités paresseuses

26 mai 2025 - 21:29,

Tribune

-
Cédric Cartau

Récemment, j’ai assisté à la conférence d’un entrepreneur qui propose des prestations de service relatives à des « calculs d’impact ». Oui, dit comme cela, c’est étrange, mais en fait pas autant qu’il y paraît : dans l’idée, si vous disposez d’un budget fixe, entre deux choix de projets cyber (par e...

Illustration Cybersécurité, simuler pour protéger : la force des formations immersives

Cybersécurité, simuler pour protéger : la force des formations immersives

19 mai 2025 - 23:41,

Tribune

-
Christine HEULIN

Dans un secteur aussi sensible que celui de la santé, la cybersécurité et la cyber résilience sont prioritaires. Les séquences immersives intégrées dans les formations à la cybersécurité jouent un rôle essentiel pour préparer les professionnels à faire face aux menaces. Ces approches pédagogiques re...

Illustration La cyber, les rillettes et les puces en 5 minutes

La cyber, les rillettes et les puces en 5 minutes

19 mai 2025 - 23:24,

Tribune

-
Cédric Cartau

C’est ce que je trouve bien dans la cyber : la discipline est au carrefour des possibles, et il ne faut pas bien longtemps pour tordre une nouvelle ou un article glanés çà ou là avant de les cyber-retourner, souvent avec la mauvaise foi qui me caractérise, j’en conviens. Exercice en live.

Illustration Cybersécurité hospitalière : le GHT Rhône Nord Beaujolais Dombes, premier lauréat du programme CaRE

Cybersécurité hospitalière : le GHT Rhône Nord Beaujolais Dombes, premier lauréat du programme CaRE

09 mai 2025 - 16:39,

Actualité

- DSIH

Le programme CaRE franchit une étape clé. Moins d’un an après le lancement de son premier appel à financement dédié à la sécurisation des annuaires techniques et de l’exposition sur Internet, la direction du programme annonce la validation du premier dossier ayant atteint l’ensemble des objectifs fi...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.