Lignes directrices de l'EDPB sur la notification des violations (9/2022)

Les lignes directrices 9/2022 sont le texte par lequel l'EDPB (European Data Protection Board) fixe la lecture européenne des articles 33 et 34 du RGPD (règlement général sur la protection des données) sur la notification des violations de données ; leur version 2.0 a été adoptée le 28 mars 2023. Le seul changement de fond tient au paragraphe 73 : désigner un représentant dans l'Union au titre de l'article 27 du RGPD ne donne pas accès au guichet unique. Un responsable établi hors de l'Espace économique européen notifie donc l'autorité de chaque État membre où résident des personnes touchées. La version 1.0, du 10 octobre 2022, reprenait les lignes directrices WP250 du groupe de l'article 29. Le texte précise le règlement (UE) 2016/679 sur le point qui fait les contentieux : la prise de connaissance. Le responsable a connaissance d'une violation lorsqu'il a un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles. Une courte phase d'investigation est admise avant ce moment, et elle commence dès la première alerte : elle ne sert pas à repousser l'horloge. Les lignes directrices 01/2021, version 2.0 adoptée le 14 décembre 2021, donnent les cas : rançongiciel avec ou sans sauvegarde, exfiltration, erreur d'envoi, avec pour chacun ce qu'il faut notifier et à qui. Pour le souscripteur, deux conséquences. Une société américaine assurée qui sert des clients dans dix États membres paiera dix notifications, dix interlocuteurs, et un coach qui coordonne des conseils locaux. Les frais de réponse à incident montent donc avec la géographie du portefeuille de clients, pas avec la taille de l'assuré. Et la date de prise de connaissance retenue par l'autorité ne coïncide pas toujours avec la date de découverte de la police. Une notification hors délai expose à une enquête, dont la défense relève de la garantie des enquêtes réglementaires, même quand l'amende elle-même n'est pas assurable.