Annoncer les violations de la sécurité des données

• Vol d’un ordinateur portable contenant des données confidentielles ou permettant d’accéder à de telles données.
• Accès à des réseaux informatiques par des pirates ou des membres du personnel non autorisés.
• Destruction ou impossibilité d’utiliser des données personnelles importantes pour l’accomplissement de certaines tâches en raison d’une panne d’électricité ou d’une catastrophe naturelle. 
• Envoi par courrier électronique d’un dossier de patiente ou de patient au mauvais destinataire.
• Perte de dossiers au format papier contenant des données personnelles confidentielles.

Vous devez informer les personnes concernées par une violation de la sécurité des données lorsque les circonstances l’exigent ou que le Bureau pour la protection des données l’impose. Il convient en particulier d’informer les personnes concernées lorsqu’elles peuvent prendre les dispositions nécessaires pour prévenir un dommage (p. ex. modifier leur mot de passe, ou réagir avec prudence à des courriers électroniques inhabituels).

Vous pouvez renoncer à l’annonce si

• vous avez mis en place des mesures de protection techniques et organisationnelles appropriées qui ont permis d’éviter que l’incident ne cause un dommage aux personnes concernées;
• vous avez pris des mesures garantissant qu’il n’existe plus de risque élevé pour les personnes concernées ou
• l’annonce occasionnerait une charge disproportionnée et une publication a eu lieu.

Vous devez renoncer à l’annonce de l’incident aux personnes concernées, la restreindre ou la différer si celle-ci va à l’encontre d’obligations de maintien du secret ou d’intérêts publics ou privés prépondérants.

Les autorités doivent observer des règles spécifiques pour l’utilisation de l’IA. Elles ne doivent en principe saisir aucune donnée personnelle dans des outils d’IA, car nombre de ces outils réutilisent ensuite ces données à des fins d’entraînement, et il est rarement possible de savoir où et comment elles sont sauvegardées. L’exemple suivant montre que tout le monde ne maîtrise pas ces règles.
L’employée d’une autorité assumant un poste de direction a établi un certificat de travail pour son collaborateur à l’aide de ChatGPT. Pour ce faire, elle a fourni à l’IA différentes informations concernant cette personne: nom réel, date de naissance, diplômes, etc. Cette démarche était particulièrement risquée, car plusieurs collaboratrices et collaborateurs partageaient le même compte ChatGPT privé. Outre des tiers inconnus, certains collègues du collaborateur concerné avaient aussi accès à ces données. Après que cet incident nous a été signalé, nous avons contacté l’autorité impliquée afin de savoir quelles conséquences elle en avait tiré. La personne déléguée à la protection des données nous a présenté une série de mesures préventives et relatives au droit du personnel: offres de formation et d’information, discussion avec le collaborateur concerné ou encore avertissement aux collaboratrices et collaborateurs impliqués. De notre point de vue, ce train de mesures est approprié et à même de prévenir d’autres incidents de ce type à l’avenir. L’incident était donc réglé de notre côté.

Récemment, une décision de justice qui n’avait pas été suffisamment anonymisée a été publiée sur une plateforme prévue à cet effet. Le nom de la personne condamnée y figurait à plusieurs emplacements, il était même possible de le trouver au moyen d’une recherche Google. Le tribunal compétent en a informé la personne concernée, a supprimé la publication et a fait retirer les entrées correspondantes sur Google. Il nous a ensuite annoncé l’incident. Compte tenu des mesures déjà prises, nous avons estimé qu’aucune intervention supplémentaire n’était requise.

Une commune a été victime d’une cyberattaque. Dès qu’elle a eu connaissance de l’incident, elle a fait intervenir des spécialistes externes pour rétablir les systèmes concernés, procéder à une analyse judiciaire de l’attaque et relever les potentiels indices. Elle a en outre informé la Police cantonale, déposé une plainte contre inconnu et publié un communiqué de presse. Les enquêtes ont révélé que les auteurs de l’attaque n’avaient soustrait aucune donnée, mais qu’ils en avaient crypté certaines. La commune a pu restaurer ces données.

Au moment de l’incident, nous n’étions pas encore l’autorité compétente vis-à-vis des communes. La commune nous en a tout de même informés et nous a décrit les mesures prises, à la suite de quoi nous l’avons expressément félicitée pour sa démarche exemplaire.