Comme exposé dans les autres contributions de ce numéro spécial, la notion d’accountability consacrée par le RGPD est un principe fondamental et transversal de la protection des données à caractère personnel. Lorsque l’on évoque la gestion des fuites de données, ce principe trouve pour les responsables du traitement des applications juridiques, mais aussi des applications très pratiques et techniques en matière de cybersécurité. Le présent article tentera d’aborder au moins deux de celles-ci, à savoir la sécurité du traitement (I) et les violations de données (II).
La gestion de la continuité et des incidents fait partie intégrante de l’approche générale de la sécurité des données à caractère personnel.
Les articles 5, § 1er, f), et 32, § 1er, du RGPD imposent au responsable du traitement la mise en œuvre de mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle. Le responsable du traitement doit prendre en compte l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques. Cette obligation de sécurité constitue une obligation de moyens. Les mesures techniques « appropriées » peuvent être comprises dans un sens large comme toute méthode ou tout moyen que le responsable du traitement peut utiliser dans le cadre du traitement pour atteindre l’objectif visé, c’est-à-dire mettre en œuvre les principes de protection des données de manière efficac…