Faut-il notifier une attaque par rançongiciel au titre du RGPD ?

Souvent oui, si des données personnelles sont touchées, même si rien n'a été volé. Le RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). définit à l'article 4, point 12, la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci. Le chiffrement par un rançongiciel rend les données indisponibles, ce qui est une violation de disponibilité, et les attaquants copient souvent les données avant de chiffrer. Selon l'article 33, le responsable du traitement notifie l'autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes, par exemple parce qu'une sauvegarde récente a tout restauré rapidement et que rien n'est sorti du réseau. Documentez le raisonnement dans tous les cas. NetSenX peut montrer si des envois inhabituels sont partis d'appareils surveillés avant le chiffrement, ce qui compte pour cette appréciation.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes