Protocole en cas de fuite de données

Protocole de notification et de traitement d’une faille de sécurité ou d’une fuite de données, Bureaubuitenland België BV, version 2.0, octobre 2026. Remplace la version 1.1 du 19 octobre 2018.

Objectif

Le règlement général sur la protection des données (RGPD) oblige les organisations à notifier une fuite de données à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures, et, dans certains cas, également aux personnes concernées. Le présent protocole décrit la manière dont Bureaubuitenland België BV agit en cas de faille de sécurité ou de fuite de données (ou de soupçon d’une telle faille ou fuite), au sein de notre propre organisation ou auprès d’une partie qui travaille pour nous.

Comme nous agissons dans les enquêtes en tant que sous-traitant pour le compte des CPAS, des sociétés de logement et d’autres donneurs d’ordre, nous notifions également, dans tous les cas et immédiatement, une fuite de données touchant leurs données au donneur d’ordre concerné, comme convenu dans le contrat de sous-traitance.

Par le présent protocole, nous entendons être prévisibles pour toutes les parties intéressées, protéger les intérêts des personnes concernées et des donneurs d’ordre, analyser soigneusement chaque incident et nous améliorer de manière structurelle.

• Personne concernée : la personne à laquelle se rapporte une donnée à caractère personnel.
• Faille de sécurité : une violation de la sécurité par laquelle des données à caractère personnel ont pu être exposées à une perte ou à un traitement illicite.
• Fuite de données : une faille de sécurité par laquelle des données à caractère personnel ont effectivement été perdues ou traitées de manière illicite. Toute fuite de données est une faille de sécurité ; toute faille de sécurité n’est pas une fuite de données.
• Responsable du traitement : la partie qui détermine la finalité et les moyens du traitement. Dans les enquêtes, il s’agit du donneur d’ordre.
• Sous-traitant : la partie qui traite les données pour le compte du responsable du traitement. Dans les enquêtes, il s’agit de Bureaubuitenland België BV.
• Équipe de réponse : la direction de Bureaubuitenland België BV, complétée si nécessaire par le délégué à la protection des données et des experts externes.
• Autorité de contrôle : l’Autorité de protection des données (APD), rue de la Presse 35, 1000 Bruxelles.

Toute personne qui constate une faille de sécurité ou une fuite de données (éventuelle), en interne ou en externe, la signale immédiatement à la direction via info@bureaubuitenland.be ou par téléphone au +31 (0)85 111 01 23. Le signalement n’est soumis à aucune forme particulière : décrivez aussi complètement que possible ce qui s’est passé, quand, quelles données sont concernées et qui est impliqué. Joignez si possible des éléments de preuve et indiquez le degré d’urgence.

La direction prend immédiatement le signalement en charge, tient un journal de tous les événements, décisions et heures, et préserve les éléments de preuve.

Étape 2 : évaluer

Dans les 24 heures suivant le signalement, la direction évalue s’il s’agit d’une faille de sécurité ou d’une fuite de données. Sont notamment pris en compte : des données à caractère personnel ont-elles été perdues ou traitées de manière illicite, s’agit-il de données sensibles, combien de personnes concernées sont touchées, et quelles sont les conséquences possibles pour elles.

S’il s’agit uniquement d’une faille de sécurité sans perte ni traitement illicite, l’incident est enregistré et corrigé, sans notification à l’autorité de contrôle. S’il y a (éventuellement) une fuite de données, l’équipe de réponse se réunit immédiatement.

Étape 3 : équipe de réponse

L’équipe de réponse assure et consigne : la fermeture immédiate de la faille et la limitation des conséquences, la décision de notifier ou non l’autorité de contrôle et de ce qui lui est notifié, la notification au(x) donneur(s) d’ordre concerné(s), la communication interne et externe, la question de savoir si un dépôt de plainte est nécessaire, et si un éventuel dommage est assuré.

Si la fuite de données touche des données que nous traitons en tant que sous-traitant pour un donneur d’ordre, nous informons ce donneur d’ordre dans les meilleurs délais et au plus tard dans les 24 heures suivant la constatation, en lui fournissant toutes les informations dont il a besoin pour sa propre notification à l’autorité de contrôle.

Étape 5 : notification à l’Autorité de protection des données

Si Bureaubuitenland België BV est elle-même responsable du traitement, la direction notifie la fuite de données à l’Autorité de protection des données dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte, au moyen du formulaire de notification disponible sur www.gegevensbeschermingsautoriteit.be. L’accusé de réception et le formulaire complété sont conservés dans le journal. La direction est le point de contact de l’autorité de contrôle.

Étape 6 : information des personnes concernées

Si la fuite de données est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, celles-ci sont informées directement. La communication contient au moins la nature de la fuite, nos coordonnées, les conséquences probables et les mesures que nous avons prises ainsi que celles que la personne concernée peut prendre elle-même. Dans les enquêtes, cela se fait en concertation avec le donneur d’ordre et généralement par celui-ci.

La direction examine les circonstances de fait et la manière d’éviter que l’incident se reproduise. Elle peut à cet effet s’entretenir avec toutes les parties concernées, consulter tous les documents et systèmes pertinents, interpeller les sous-traitants conformément au contrat de sous-traitance et faire appel à des experts externes. Les constatations et les mesures d’amélioration sont consignées, mises en œuvre et évaluées quant à leur effet.

Étape 8 : clôturer

Lorsque la fuite de données est définitivement traitée, la direction informe l’auteur du signalement et les personnes directement concernées. L’incident est inscrit, avec toutes les pièces, dans le registre des fuites de données, qui contient également les incidents qui ne devaient pas être notifiés.

Mise à jour

Le présent protocole est évalué chaque année et après chaque incident par la direction, puis à nouveau arrêté. Arrêté par la direction de Bureaubuitenland België BV à Anvers, octobre 2026.