Nous avons été actifs dans la communication sur les violations dans des secteurs particuliers, les exigences en matière de violation dans les 50 États et les effets du RGPD sur la conservation des données, la notification des violations et la sécurité des courriels. Maintenant, avec les exigences de l’Australie en matière de notification des atteintes à la vie privée, il y a une autre considération à ajouter au giron.
Le 22 février 2018, les atteintes à la protection des données devant faire l’objet d’un avis sont entrées en vigueur. Elle exige que les organismes et les organisations australiens, visés par la Loi sur la protection des renseignements personnels, informent les personnes dont les renseignements personnels sont impliqués dans une atteinte à la protection des données susceptible d’entraîner un « préjudice grave », dès que possible après avoir pris connaissance de l’atteinte.
Comme nous l’avons mentionné dans des articles précédents, les normes de préjudice peuvent souvent être ambiguës. La mise en œuvre par l’Australie en tant que norme à l’échelle nationale signifie qu’il y a moins d’ambiguïté et de place à l’interprétation de ce qui constitue une notification d’atteinte à la protection des données justifiable. Les avis d’atteinte à la protection des données ne sont pas nécessairement requis à moins qu’une norme de préjudice n’ait été respectée, mais souvent les autorités ne fournissent pas de règles claires à suivre pour aider à déterminer ce qui constitue un préjudice grave pour les utilisateurs, les clients ou les consommateurs.
Le gouvernement australien a donc établi un nombre important de lignes directrices qui permettent de comprendre étape par étape ce qui peut être légalement considéré comme une « atteinte à la protection des données » et comment déterminer si cette atteinte est susceptible de causer un « préjudice grave » et justifie donc une notification.
Essentiellement, ces lignes directrices sont assez familières au monde des atteintes à la protection des données. Des renseignements sensibles sont considérés comme justifiant un avis s’il est possible que des auteurs malveillants puissent obtenir les renseignements et les utiliser pour causer du tort ou frauder la personne OU être utilisés pour contourner toute technologie ou méthodologie de sécurité connexe.
Selon le NDB de l’Australie, les types de renseignements suivants seraient considérés comme sensibles :
- Renseignements sur la santé d’une personne;
- Documents couramment utilisés pour la fraude d’identité (y compris une carte d’assurance-maladie, un permis de conduire ou des détails de passeport);
- Renseignements financiers;
- Toute combinaison de types de renseignements personnels qui permet de déduire plus de renseignements sur une personne que ce que l’on sait déjà.
De façon générale, la sensibilité des renseignements des victimes, l’ampleur de l’atteinte, les circonstances de l’atteinte, la durée de l’accès à l’information et plus encore, sont tous des critères utilisés pour déterminer si un avis d’atteinte est nécessaire. Cela s’étend aux préjudices potentiels qui peuvent résulter de l’atteinte, qui pourraient inclure, sans s’y limiter :
- Vol d’identité
- Perte financière importante du particulier
- Menace pour la sécurité physique d’une personne
- Perte d’occasions d’affaires ou d’emploi
- Humiliation, atteinte à la réputation ou aux relations
- Toute forme d’intimidation ou de marginalisation
Au-delà de la notification, les organisations doivent remédier à toute perte de données tout en assurant une meilleure protection par la suite, que ce soit par le chiffrement des données, l’accès limité ou d’autres moyens. Des solutions comme le chiffrement sécurisé des courriels peuvent être essentielles dans ces circonstances, tandis que la protection générale des courriels peut également fournir une couverture plus générale contre les risques d’une violation de données et le drame de la notification et de la correction qui en découle.
Comme nous pouvons le constater, l’Australie se joint à un groupe international de pays qui mettent en œuvre des politiques fédérales de sécurité des données (comme l’UE, le Canada et d’autres). Ce n’est probablement qu’une question de temps avant que les États-Unis ne lui emboîtent le pas. Il y a d’importantes ramifications à ce règlement sur les avis d’atteinte. Comment pensez-vous que la protection des données pourrait évoluer pour affecter le commerce international (quelle que soit la taille)?
