Obligation du sous-traitant en cas de violation (article 33.2 du RGPD)
Règle de l'article 33.2 du RGPD (règlement général sur la protection des données) : le sous-traitant qui découvre une violation prévient le responsable de traitement dans les meilleurs délais, et c'est ce message qui fait courir les 72 heures du responsable envers l'autorité.
L'obligation du sous-traitant en cas de violation est la règle de l'article 33.2 du RGPD (règlement général sur la protection des données) qui vise le prestataire traitant des données pour un client. S'il découvre une violation, il doit prévenir ce client, responsable de traitement, dans les meilleurs délais. Le 31 mai 2023, Progress Software avertit ses clients d'une faille d'injection SQL (Structured Query Language) dans MOVEit Transfer, la CVE-2023-34362 (identifiant du catalogue Common Vulnerabilities and Exposures), que le groupe Cl0p exploitait depuis plusieurs jours. Parmi les victimes, Zellis, prestataire de paie britannique, puis ses clients : British Airways, la BBC et Boots apprennent par lui que les données de leurs salariés sont parties. La chaîne juridique est celle de l'article 33, paragraphe 2, du règlement (UE) 2016/679 : le sous-traitant notifie la violation au responsable dans les meilleurs délais après en avoir pris connaissance. Il ne notifie l'autorité que si le client l'a mandaté pour le faire en son nom, et il n'a pas à juger du risque. L'article 28, paragraphe 3, point f), lui impose d'aider le responsable à remplir les articles 32 à 36. C'est le contrat qui chiffre les « meilleurs délais » : souvent 24 ou 48 heures dans les accords de traitement négociés, parfois rien de plus que le texte. L'EDPB (European Data Protection Board) considère que le responsable a connaissance de la violation quand son sous-traitant l'en a informé ; ses 72 heures partent de là, pas de l'intrusion. Pour le souscripteur, MOVEit a montré l'agrégation par le prestataire : des centaines d'assurés touchés par une seule faille, sans qu'aucun de leurs systèmes ait été compromis. Le premier point à lire est donc la définition du système informatique de l'assuré, et si elle couvre les données confiées à un prestataire. Les frais de notification des salariés restent ceux du client, responsable de traitement. Le recours contre le sous-traitant existe, mais il bute souvent sur un plafond de responsabilité égal à quelques mois d'honoraires. Et un assuré prévenu au neuvième jour par son prestataire a peu de chances d'opposer ce retard à l'autorité.
Cas d'école : un distributeur fictif confie sa paie à un prestataire, contrat à 48 heures, plafond de responsabilité fixé à douze mois d'honoraires, soit 60 000 euros. La faille touche le prestataire un lundi ; il prévient le mercredi. Le distributeur notifie la CNIL (Commission nationale de l'informatique et des libertés) le vendredi, écrit à 4 000 salariés et paie 75 000 euros de frais de réponse et de notification. Sa police les prend en charge, déduction faite d'une franchise de 25 000 euros, et l'assureur exerce son recours dans la limite des 60 000 euros du contrat.
Article 33.2 du RGPD, Notification par le sous-traitant, Violation chez le sous-traitant, Clause de notification de l'article 28, Délai contractuel de notification, Incident chez un prestataire
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.