Protocole de signalement des violations de données

Considérations

  • Dena Textile Productions B.V. attache de l'importance à une bonne sécurité de ses systèmes (électroniques) dans lesquels les données personnelles sont stockées et traitées.
  • Il n'est jamais possible d'éviter complètement qu'une violation de données ne se produise.
  • Dena Textile Productions B.V. est tenue, en vertu du Règlement général sur la protection des données (RGPD), de signaler les violations (graves) de données à l'Autorité de protection des données et aux personnes concernées.
  • Dena Textile Productions B.V. souhaite respecter ses obligations légales.
  • Dena Textile Productions B.V. a donc formulé une politique pour agir de la manière la plus appropriée possible si, contre toute attente, une violation de données se produit.

1. Définition d'une violation de données

Une violation de données se produit lorsqu'une infraction à la sécurité entraîne accidentellement ou de façon illicite la destruction, la perte, la modification ou la divulgation non autorisée ou l'accès non autorisé aux données transmises, stockées ou autrement traitées.

2. Responsable interne du signalement des violations de données

Dena Textile Productions B.V. a nommé un responsable interne pour le traitement des violations de données, chargé du signalement d'une violation de données. Ce responsable est le département Marketing, le premier point de contact étant Rolf van Eden, numéro de téléphone +31 (0)318 588 596, adresse e-mail sales@cheffix.eu, ci-après dénommé responsable interne.

3. Signalement interne lors de la découverte d'une violation de données

Toute personne découvrant une violation de données chez Dena Textile Productions B.V. le signale immédiatement au responsable interne. Si possible, la personne qui a découvert la violation veille simultanément à ce que les données divulguées soient immédiatement supprimées à distance ou rendues inaccessibles.

4. Enquête menée par le responsable interne

Le responsable interne enquête notamment sur:

  • si des données personnelles ont été perdues ou pourraient être utilisées illicitement;
  • qui ou quels départements au sein de l'organisation sont impliqués dans la violation de données;
  • si un responsable du traitement est impliqué dans l'incident.

5. Remédiation à la violation de données

Le responsable interne arrête la violation de données si cela est encore possible et prend en outre les mesures nécessaires pour y remédier au mieux.

6. Détermination des conséquences d'une violation de données

Le responsable interne enquête sur les conséquences possibles de la violation de données en fonction de la nature et de l'étendue des données divulguées et détermine les conséquences négatives possibles pour les personnes concernées.

7. Coopération à la fourniture d'informations concernant la violation de données

Le découvreur ou le signataire de la violation de données coopère pleinement avec le responsable interne en répondant aussi rapidement et complètement que possible (par écrit) aux questions suivantes:

  • que s'est-il passé? (description de l'incident)
  • s'agit-il d'un accident ou d'une action malveillante (par exemple, des données piratées)?
  • quand cela s'est-il produit? (date et heure)
  • quand a-t-on découvert?
  • quel type de données (registres) a été divulgué?
  • les données ont-elles été chiffrées et, le cas échéant, comment?
  • les données ont-elles pu être supprimées à distance ou rendues inaccessibles, et, le cas échéant, a-t-il été fait?
  • quelles sont les conséquences possibles pour les personnes concernées?
  • quel groupe ou quels groupes de personnes en ont été affectés?
  • combien de personnes (approximativement) en ont été affectées?
  • des données de personnes dans d'autres pays de l'UE ont-elles également été affectées par la violation de données?
  • des mesures techniques et/ou organisationnelles ont-elles pu être prises suite à l'incident?

8. Disponibilité du personnel après la découverte d'une violation de données

Le responsable du département à partir duquel la violation de données s'est produite ainsi que le découvreur de la violation de données et toute personne qui, en raison de sa fonction ou de ses connaissances, est en mesure de prendre des mesures organisationnelles et/ou techniques pour limiter les conséquences de la violation de données, restent disponibles pendant les 24 premières heures suivant la découverte de la violation pour consultations avec le responsable interne ou les experts qu'il aurait désignés, et pour l'exécution si nécessaire des tâches assignées en conséquence de la violation de données.

9. Décision concernant le signalement des violations de données

Le responsable interne décide, aussi rapidement que possible, mais en tout cas dans les 60 heures suivant la découverte de la violation de données, avec ou sans consultation du responsable du département à partir duquel la violation de données a été découverte et/ou des experts qu'il aurait désignés, si la violation de données doit être signalée à l'Autorité de protection des données et/ou aux personnes concernées. En principe, une violation de données est toujours signalée à l'Autorité de protection des données, sauf s'il n'est pas probable que la violation présente un risque pour les droits et libertés des personnes concernées. Le signalement de la violation de données s'accompagne des réponses aux questions décrites au point 7. Une violation de données signalée à l'Autorité de protection des données est également signalée aux personnes concernées si elle présente un risque élevé pour les droits et libertés des personnes physiques, sauf si des mesures appropriées ont entretemps été prises pour écarter ce risque élevé.

10. Signalement des violations de données à l'Autorité de protection des données et/ou aux personnes concernées

Le responsable interne veille, si nécessaire, à signaler à l'Autorité de protection des données et/ou à la ou aux personnes concernée(s). Le signalement se fait aussi rapidement que possible après la découverte et au plus tard dans les 60 heures suivant la découverte de la violation de données. Aucun autre employé que le responsable interne n'est autorisé à signaler lui-même la violation (possible) de données à l'Autorité de protection des données et/ou à la ou aux personne(s) concernée(s). Si un employé n'est pas d'accord avec la décision du responsable interne concernant le signalement ou non de la violation de données à l'Autorité de protection des données et/ou aux personnes concernées, il peut exprimer ses préoccupations à la direction. Si elle y est invitée, un employé coopère pleinement avec le responsable pour pouvoir informer les personnes affectées conformément à l'article 34 du RGPD concernant la violation de données.

11. Conséquences du signalement des violations de données

Si la violation de données a des conséquences négatives pour les personnes concernées, le responsable interne fait tout son possible pour en limiter les conséquences. En fonction de la nature et de l'étendue de la violation de données pour les personnes concernées, le responsable interne détermine:

  • la manière dont les personnes concernées seront informées (incluant en tout cas les communications sur les types de données personnelles affectées, les conséquences possibles, les mesures que Dena Textile Productions B.V. prend et la manière dont les personnes concernées peuvent prévenir ou limiter elles-mêmes les dommages);
  • le suivi fourni aux personnes concernées;
  • les actions nécessaires dans l'intérêt de l'organisation.

Si une violation de données se produit, qu'elle ait été signalée ou non, des mesures techniques et/ou organisationnelles appropriées sont prises dès que possible pour prévenir les violations de données similaires à l'avenir.

12. Tenue d'un registre des violations de données

Le responsable interne tient un registre de toutes les violations de données, dans lequel tous les renseignements concernant la violation de données sont enregistrés, notamment:

  • Une description de l'incident.
  • Date et heure de la violation de données.
  • Date et heure de la découverte de la violation de données.
  • Description du type de données personnelles divulguées.
  • Description de la ou des catégorie(s) de personnes concernées affectées.
  • Description du nombre (approximatif) de personnes concernées.
  • Si des données de personnes dans d'autres pays de l'UE ont été divulguées.
  • Si l'incident a été signalé à l'Autorité de protection des données et, le cas échéant, date et heure du signalement.
  • Si l'incident a été signalé aux personnes concernées et, le cas échéant, date et heure du signalement.
  • La manière dont les personnes concernées ont été informées.
  • Les conséquences de la violation de données, avec, si possible, mention de la date et de l'heure.
  • Les mesures techniques et/ou organisationnelles prises après la violation de données, avec mention de la date et de l'heure.

Ce protocole de signalement des violations de données a été établi le 1er mai 2020.