En cas de violation de données (notamment de données personnelles ou d’autres informations sensibles), HGA respectera toutes ses obligations légales et contractuelles de notification . Cette section décrit les exigences des principales réglementations et les normes appliquées par HGA en matière de notification aux autorités compétentes, aux personnes concernées et aux autres parties.

Principe général : HGA informera sans délai les parties concernées dès qu’une violation de données sera confirmée et que les informations nécessaires à une notification pertinente seront disponibles. Ces notifications comprendront toutes les informations requises concernant la violation et seront traitées en coordination avec les équipes Juridique/Conformité et Communication afin d’en garantir l’exactitude et la conformité.

1. Notification aux autorités réglementaires (RGPD de l’UE)

Si l’incident de sécurité constitue une violation de données à caractère personnel au sens du Règlement général sur la protection des données (RGPD) de l’UE – c’est-à-dire si des données à caractère personnel que nous contrôlons ont été détruites, perdues, altérées, divulguées ou consultées sans autorisation, de manière accidentelle ou illicite – HGA (en tant que responsable du traitement) en informant l’ autorité de protection des données compétentes dans les 72 heures suivant la découverte de la violation . Ce délai de 72 heures court à compter du moment où HGA a la certitude raisonnable qu’une violation compromettant des données à caractère personnel s’est produite (date de découverte). Si la notification ne peut être effectuée dans ce délai, elle précisera les raisons du retard, conformément à la réglementation .

La notification à l’autorité de contrôle contient les informations requises par l’article 33 du RGPD  : – Une description de la nature de la violation de données à caractère personnel, y compris, si connue, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données. – Le nom et les coordonnées du délégué à la protection des données (DPO) de HGA (ou d’un autre point de contact pertinent) pour obtenir des informations complémentaires. – Une description des conséquences probables de la violation (par exemple, risque d’usurpation d’identité, de fraude, risques pour la vie privée des personnes). – Une description des mesures prises ou envisagées par HGA pour remédier à la violation et en atténuer les effets (telles que les mesures de confinement, la récupération des données et les mesures visant à prévenir toute récidive).

Conformément aux obligations de conservation des données prévues par le RGPD, HGA documentera toutes les violations de données personnelles, qu’une notification ait été requise ou non . Ces documents (qui font partie du rapport d’incident) pourront être demandés par les autorités compétentes aux fins de vérification de la conformité.

Si HGA agit en tant que sous-traitant pour le traitement de certaines données (traitement pour le compte d’un client qui est le responsable du traitement), HGA informera ce client/responsable du traitement sans délai indu dès qu’elle aura connaissance d’une violation de données à caractère personnel, conformément à l’article 33, paragraphe 2, du RGPD . Il appartiendra ensuite au responsable du traitement d’informer les autorités compétentes, mais HGA lui apportera son concours si nécessaire pour fournir les informations requises.

2. Notification aux personnes concernées

Conformément au RGPD et aux réglementations analogues, si une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques , HGA communiquera cette violation aux personnes concernées sans délai indu . Concrètement, « sans délai indu » signifie dès que possible, après avoir suffisamment compris la violation pour fournir des informations utiles aux personnes concernées et après avoir pris les premières mesures de confinement.

Les critères de notification des personnes concernent la gravité et la sensibilité des données affectées, ainsi que le potentiel préjudice (par exemple, les violations impliquant des informations financières, des identifiants de connexion ou des numéros d’identification officiels présentent un risque élevé et justifient généralement une notification individuelle). Le délégué à la protection des données (DPO) évaluea les facteurs de risque, notamment le chiffrement des données (si les données ont été correctement chiffrées, le risque est moindre et la notification aux personnes concernées pourrait ne pas être requise au titre du RGPD), et la probabilité d’une utilisation abusive des données.

Si une notification individuelle est requise, la communication sera faite en langage clair et simple et comprendra : – La nature de la violation (ce qui s’est passé et quelles données sont concernées, en termes généraux). – Les coordonnées de HGA (personne à contacter pour toute question, comme le DPO ou une ligne d’assistance). – Les conséquences probables de la violation pour la personne concernée (par exemple, risque d’usurpation d’identité, nécessité de surveiller ses comptes). – Les mesures prises ou en cours de prise par HGA pour atténuer la violation et prévenir tout dommage supplémentaire (par exemple, réinitialisation forcée des mots de passe, offre de surveillance du crédit si des données financières ont été exposées, etc.). – Les mesures ou recommandations à prendre pour se protéger, le cas échéant (par exemple : « Nous vous recommandons de changer vos mots de passe et d’activer l’authentification à deux facteurs sur vos comptes » ou « Soyez vigilant face aux tentatives d’hameçonnage. »).

Le mode de communication sera adapté pour joindre directement les personnes concernées – généralement par courriel ou par courrier. En cas d’urgence nécessitant une action immédiate (par exemple, pour changer un mot de passe), nous pourrons utiliser plusieurs moyens (courriel et notification dans l’application ou SMS, le cas échéant). Le contenu et le format respectent les bonnes pratiques et les exigences légales (par exemple, la loi californienne spécifique à l’intitulé de la notification « Avis de violation de données » et des rubriques spécifiques pour les notifications aux résidents ).

Si le contact direct avec les personnes concernées exige des efforts disproportionnés (par exemple, si nous ne disposons pas de leurs coordonnées actuelles), le RGPD autorise d’autres mesures telles que la communication publique. Cependant, HGA s’efforcera de les informer directement chaque fois que cela sera possible, afin de préserver la confiance.

Il est important de noter que la notification aux personnes concernées peut être retardée si une autorité chargée de l’application de la loi en fait la demande (par exemple, si la notification risque d’entrer dans une enquête criminelle). Dans ce cas, nous consignons la demande et rapportons la communication jusqu’à ce que nous soyons autorisés à procéder.

3. États-Unis (CCPA et lois étatiques sur les violations de données)

Aux États-Unis, la notification des violations de données est principalement régie par les lois des États. La loi californienne CCPA/CPRA et les autres lois californiennes relatives aux violations de données définissent des normes élevées en matière de protection des consommateurs. HGA se conformera à toutes les lois étatiques applicables pour tout incident impliquant des informations personnelles de résidents américains : – Délais : La plupart des lois étatiques (y compris l’article 1798.82 du Code civil de Californie) exigent une notification aux personnes concernées « dans les meilleurs délais et sans délai injustifié » après la découverte d’une violation, en tenant compte des besoins des forces de l’ordre et des mesures prises pour déterminer l’étendue de la violation et rétablir l’intégrité du système . HGA ne retardera pas inutilement les notifications ; une fois la violation raisonnablement confirmée et la notification préparée avec les informations requises, nous l’enverrons. Par souci de transparence, HGA s’efforce de notifier les personnes américaines concernées dans les 30 jours suivant la découverte d’une violation, ou plus tôt si possible, même si la loi de certaines juridictions autorise un délai plus long (certains États fixent des limites maximales, par exemple 45 jours). – Contenu : Les lois étatiques précisent le contenu des notifications de violation. Les notifications de HGA aux résidents américains comprendront au minimum : – Une description générale de l’incident (date ou période de la violation et nature de l’incident en termes généraux). – Les types de renseignements personnels concernés (par exemple, nom et numéro de sécurité sociale, informations de compte bancaire, numéro de permis de conduire, renseignements médicaux, etc., conformément à la législation de l’État concerné). – Les mesures prises par HGA pour remédier à la situation (mesures de confinement et de rétablissement, et mesures de protection des personnes, comme la mise à disposition de services de protection contre l’usurpation d’identité si nécessaire ; veuillez noter que certains États, comme la Californie, exigent une surveillance du crédit d’au moins 12 mois en cas de fuite de données telles que le numéro de sécurité sociale ). – Les mesures que les personnes peuvent prendre pour se protéger (comme la mise en place d’alertes à la fraude, la prise de contact avec les agences d’évaluation du crédit – la Californie exige la communication des coordonnées des agences d’évaluation du crédit en cas de fuite de numéro de sécurité sociale ou de numéro d’identification ). – Les coordonnées permettant d’obtenir plus d’informations (numéro vert ou site Web). – Une référence vers des ressources complémentaires (certaines notifications renvoient aux ressources de l’État ou à la FAQ de l’entreprise concernant l’incident). – L’avis sera intitulé « Avis de violation de données » et utilisera des titres clairs, conformément à la loi californienne .

• Méthode : Les notifications destinées aux résidents américains seront généralement envoyées par écrit à leur dernière adresse postale connue ou par voie électronique si la personne concernée a consenti à recevoir des notifications électroniques (et si la notification est conforme à la loi américaine sur la signature électronique). En cas de compromission de données spécifiques, telles que les identifiants de compte en ligne, des méthodes de notification particulières peuvent être appliquées (par exemple, inviter l’utilisateur à modifier son mot de passe en ligne, conformément à la législation californienne ). Si la loi autorise un mode de notification alternatif en raison d’un grand nombre de notifications ou de coordonnées obsolètes (par exemple, un avis par courriel et une publication visible sur notre site web pendant 30 jours ), HGA n’aura recours à ces dispositions qu’en dernier ressort, lorsque la notification directe est impossible.
• Avis aux autorités de réglementation : Certaines lois américaines exigent la notification des organismes gouvernementaux. Par exemple, si une violation de données affecte plus de 500 résidents californiens, HGA soumettra un exemplaire de la notification au bureau du procureur général de Californie . D’autres États ont des seuils similaires ou exigent la notification des procureurs généraux d’État ou des services de protection des consommateurs. Nous coordonnerons ces notifications par l’intermédiaire de notre responsable juridique, en veillant à ce qu’elles soient effectuées dans les délais requis (souvent simultanément ou avant la notification individuelle).
• Avis aux tiers : Si HGA traite des données pour le compte d’une autre entité (par exemple, si nous agissons en tant que prestataire de services de traitement de données clients) et que ces données sont compromises, nous en informerons immédiatement le client (le propriétaire des données) afin qu’il puisse remplir ses obligations de notification . Cette pratique est conforme aux exigences légales et contractuelles.
• Spécificités du CCPA : La loi californienne sur la protection des données des consommateurs (telle que modifiée par le CPRA) confère aux consommateurs le droit d’intenter une action en justice en cas de violation de données résultant d’un manquement à l’obligation de mettre en œuvre des mesures de sécurité raisonnables. Bien que le CCPA ne fixe pas de délai de notification précis, le respect des dispositions générales relatives aux violations de données, telles que décrites ci-dessus, est requis. De plus, en vertu du CCPA, si HGA adresse une notification de violation de données à un consommateur, nous proposerons une protection contre l’usurpation d’identité si nécessaire et veillerons à ce que notre réponse s’inscrive dans le cadre du maintien de « procédures de sécurité raisonnables ». Le CCPA exige également que toute compensation ou tout service offert aux personnes concernées soit proposé de manière uniforme et sans conditions injustifiées.

Le processus de notification des violations de données de HGA tiendra également compte d’autres juridictions au besoin (par exemple, si des données de personnes au Canada, en Asie ou en Afrique sont concernées, nous nous référerons aux lois pertinentes comme la LPRPDE du Canada qui a ses propres règles de notification des violations, ou nous suivrons la norme équivalente la plus proche).

4. Meilleures pratiques internationales et autres juridictions

Dans les juridictions ne disposant pas de législation spécifique en matière de notification des violations de données, HGA se conformera aux meilleures pratiques internationales  : – Nous informons les personnes concernées et nos partenaires commerciaux de manière transparente et rapide, car cela est essentiel pour maintenir la confiance et relever de notre responsabilité éthique. – Nous respectons des délais similaires à ceux prévus par le RGPD (72 heures pour les autorités et notification rapide générale pour les particuliers). Par exemple, si un incident concerne un pays sans législation explicite, nous pourrons notifier l’autorité de régulation compétente du secteur ou, par défaut, informer les personnes concernées dans un délai de 72 heures à une semaine, selon la gravité de l’incident. – Nous nous conformons aux normes telles que les lignes directrices ISO/IEC 27002 et 29100 relatives à la gestion des violations de données, garantissant ainsi la fiabilité de nos processus à l’échelle mondiale. Si des normes sectorielles s’appliquent (par exemple, en cas de traitement de données de cartes de crédit, d’exigences PCI-DSS en matière de réponse aux violations ou de participation à des projets soumis à des réglementations spécifiques des bailleurs de fonds), elles seront intégrées.

Nous prenons également en compte les exigences contractuelles : de nombreux contrats clients ou notre propre contrat de consultant peuvent imposer des modalités de notification au client ou à d’autres parties impliquées. Par exemple, si des données client sont concernées, nous l’en informons conformément aux termes du contrat (généralement immédiatement ou dans les 24 heures suivant la découverte de l’incident).

Documentation des notifications : Pour chaque incident ayant provoqué une notification, HGA documentera : – La date et les modalités de notification aux autorités (avec une copie du rapport, le cas échéant). – La date et les modalités de notification aux personnes concernées (avec une copie du contenu de la notification). – Toute réponse ou suivi des autorités (par exemple, si un administrateur de la protection des données fournit des conseils ou pose des questions complémentaires). – Cette documentation est essentielle pour démontrer la conformité et sera conservée dans le dossier de l’incident.

Enfin, il convient de souligner que si la rapidité est importante, la précision l’est tout autant lors de la notification d’une violation de données. HGA s’efforcera de rassembler suffisamment d’informations pour fournir des notifications précises. Si certaines informations ne sont pas encore disponibles dans les délais impartis, nous enverrons une première notification avec les éléments dont nous disposons et indications que des informations complémentaires suivront (le RGPD autorisant une notification progressive ). Nous préférons éviter toute spéculation ou communication de chiffres erronés qui nécessiteraient une correction ultérieure. Des mises à jour seront fournies aux autorités ou aux personnes concernées au fur et à mesure que de nouveaux détails seront disponibles.