Modèle de traitement de données RGPDGestion des violations de données personnelles

Par: bc4946f8-1de1-4b70-bb67-62a0ce536160

Organisme : PrivéOrganisme : PublicFonction : Juridique et conformité

Ce modèle de traitement est relatif à la détection, l'analyse et la qualification des violations de données personnelles, à leur notification à la CNIL et aux personnes concernées lorsque c'est requis, ainsi qu'à la tenue du registre interne des violations et au retour d'expérience.

Finalités (4)

La finalité d'un traitement est l'objectif principal de l'utilisation des données personnelles. Ces données doivent être collectées pour un but bien déterminé et légitime et ne doivent pas être traitées ultérieurement de façon incompatible avec cet objectif initial

Détection, analyse et qualification des incidents

Repérer les incidents de sécurité, déterminer s'il s'agit d'une violation de données personnelles et évaluer le risque pour les personnes (la CNIL recommande de prévoir des procédures d'alerte, de qualification et de traitement des incidents). Base retenue : intérêt légitime de l'organisme à protéger ses systèmes, la sécurité des données relevant par ailleurs de l'article 32 du RGPD.

Intérêts légitimes du responsable du traitement ou d'un tiers

Notification à la CNIL et information des personnes concernées

Notifier la violation à la CNIL lorsqu'elle présente un risque pour les personnes (art. 33 du RGPD, en principe dans les 72 heures) et informer les personnes concernées en cas de risque élevé (art. 34 du RGPD).

Obligation légale

Tenue du registre interne des violations

Documenter toute violation, ses effets et les mesures prises, qu'elle ait été notifiée ou non, afin de pouvoir le démontrer à la CNIL (art. 33.5 du RGPD).

Obligation légale

Retour d'expérience et amélioration de la sécurité

Analyser les causes de chaque violation et décider des mesures pour éviter qu'elle se reproduise ou en atténuer les effets. Choix du responsable de traitement, fondé sur son intérêt légitime.

Intérêts légitimes du responsable du traitement ou d'un tiers

Données (3)

L’article 30 du RGPD exige l’inscription des catégories de données traitées. Il s’agit ici de définir les catégories de données traitées. Celles-ci peuvent être dites courantes ou sensibles.

Fiche d'incident et de qualification

Détails des données

Date et heure de détection de l'incidentoptionel

Nature et description de l'incidentoptionel

Identité et fonction du déclarantoptionel

Journaux de connexion associés à l'incidentoptionel

Règles de conservation

Sort final

Registre interne des violations

Détails des données

Nature de la violation (confidentialité, intégrité, disponibilité)optionel

Catégories et nombre approximatif de personnes concernéesoptionel

Catégories et nombre approximatif d'enregistrements concernésoptionel

Conséquences probables et niveau de risque évaluéoptionel

Mesures prises ou envisagéesoptionel

Date de notification à la CNIL et motifs d'un éventuel retardoptionel

Règles de conservation

Base active:

Obligation de documenter toute violation (art. 33.5 du RGPD), sans durée fixée par le texte.

Sort final

Communication aux personnes concernées

Détails des données

Nom et prénom du destinataire de l'informationoptionel

Coordonnées (adresse électronique ou postale)optionel

Contenu et date de la communication envoyéeoptionel

Règles de conservation

Sort final

Personnes concernées (5)

Une personne concernée est toute personne dont les données sont collectées, retenues ou traitées par le traitement de données en question. Ex : Dans le cadre d'un traitement de gestion du recrutement, n'importe quel candidat pour le poste concerné constitue une personne concernée

Parties prenantes aux traitements de données à caractère personnel
Employés
Clients
Utilisateurs des SI
Autre

Auteur:

bc4946f8-1de1-4b70-bb67-62a0ce536160

Créé le:02/10/2026

Mis à jour le:02/10/2026

Nombre d'utilisations:0