Registre des violations de données (article 33.5 du RGPD)

Le registre des violations de données est le document interne où le responsable de traitement consigne chaque violation de données personnelles, notifiée ou non, comme l'exige l'article 33.5 du RGPD (règlement général sur la protection des données). Le 15 décembre 2020, la Data Protection Commission (DPC) irlandaise annonce 450 000 euros d'amende contre Twitter. En décembre 2018, un défaut de code avait rendu publics des tweets protégés. La notification était arrivée en retard, et la DPC retient deux manquements : l'article 33, paragraphe 1, pour le délai, et l'article 33, paragraphe 5, parce que la violation avait été documentée trop mal pour que l'autorité reconstitue les faits sans multiplier les questions. C'est aussi la première décision passée par le règlement des litiges de l'article 65 devant l'EDPB (European Data Protection Board). Le texte est bref. Le responsable documente toute violation de données à caractère personnel, en indiquant les faits, ses effets et les mesures prises pour y remédier, et cette documentation permet à l'autorité de vérifier le respect de l'article 33. Toute violation : celle qu'on n'a pas notifiée parce qu'elle ne présentait pas de risque y figure aussi, avec le raisonnement qui a conclu à l'absence de risque. En contrôle, la CNIL (Commission nationale de l'informatique et des libertés) demande le registre très tôt. Un registre vide dans une organisation de 3 000 personnes ne rassure personne : il suggère que les incidents ne sont pas détectés, ce qui ramène à l'article 32. Pour le souscripteur, le registre sert deux fois. À la souscription, il dit la fréquence réelle des incidents mieux qu'un questionnaire, et un courtier qui le résume proprement obtient souvent une discussion plus courte. Au sinistre, il joue contre l'assuré : la ligne datée de mars qui décrit déjà l'accès anormal sert à l'assureur pour invoquer la connaissance antérieure, ou la circonstance non déclarée au renouvellement. Tenir le registre ne coûte presque rien et n'est couvert par aucune police ; mal le tenir alourdit la garantie des enquêtes réglementaires.