Lois sur la notification de violation de données : construire une stratégie de réponse solide et conforme

Avec le nombre de violations de données signalées qui augmente régulièrement chaque année, elles font l'actualité si fréquemment qu'il est difficile de toutes les suivre. En 2017, Equifax a subi une violation massive, et près de 150 millions de dossiers clients (représentant près de la moitié de la population américaine) ont été volés. En 2018, Marriott International a connu une violation où des centaines de millions de dossiers clients — incluant des informations personnelles, des numéros de carte de crédit et même des numéros de passeport — ont été compromis.

Les violations de données touchent tous types d'organisations — grandes et petites, connues et peu connues. Si les violations des grandes entreprises font la une, on entend rarement parler des petites entreprises qui sont souvent vulnérables et se retrouvent dans le viseur des cybercriminels. La plupart impliquent une forme de piratage, comme des attaques de phishing ou des logiciels malveillants, où un attaquant accède avec succès à des informations protégées ou privées.

Lois sur la notification de violation de données — C'est compliqué

Si votre entreprise manufacturière subit une violation, que ferez-vous ? Devriez-vous avertir les forces de l'ordre immédiatement ? Avertir les clients ? Y a-t-il d'autres personnes à informer ? Combien de temps avez-vous ?

Les réponses sont complexes. Bien qu'aucune loi fédérale exhaustive n'existe, chaque État et territoire a sa propre loi sur la notification de violation de données. Ces lois obligent quiconque subit, ou même soupçonne, une violation à informer les clients de tout ce qui implique des informations personnellement identifiables. Les lois exigent également d'avertir les forces de l'ordre et de prendre des mesures spécifiques pour remédier à la situation. Mais les lois des États varient considérablement en ce qui concerne les types d'informations couverts, les délais de notification et les normes de signalement. Qui doit se conformer et ce qui constitue des données personnelles varie d'un État à l'autre. Pour compliquer les choses, les exigences changent également, certains États ayant récemment mis à jour leurs lois.

Combien de temps ai-je pour signaler une violation de données ?

La plupart des lois de notification exigent que les entreprises informent les clients sans délai déraisonnable. La durée varie selon l'État et le secteur d'activité. Face à une violation de données, les fabricants ont des responsabilités concurrentes — envers leur entreprise, envers d'autres dans l'industrie, envers les clients et envers les forces de l'ordre. Il existe même des circonstances où les forces de l'ordre enquêtent sur une violation et celle-ci doit être temporairement masquée.

Préparez-vous aux violations de données avant qu'elles ne surviennent

Traitez les plans de notification de violation de données comme vous le feriez pour tout autre plan de catastrophe — n'attendez pas ! Comme il n'existe pas de réponse unique et standardisée à une violation de données, les fabricants américains doivent comprendre les lois étatiques et fédérales spécifiques qui s'appliquent à eux. Les fabricants doivent tenir compte des lois de tous les États où ils exercent leurs activités.

Heureusement, il existe plusieurs excellentes ressources vers lesquelles les fabricants peuvent se tourner pour plus de clarté. Plusieurs organisations résument les lois étatiques sur les violations de données, notamment la Conférence nationale des législatures d'État (NCSL), IT Governance et Perkins Coie.

Pour garantir que votre entreprise manufacturière se conforme aux lois sur la protection des données, vous devez rester au courant des réglementations actuelles pour votre État et votre secteur. Une violation de données sera toujours un événement stressant. La connaissance de vos obligations et un plan en place peuvent atténuer une partie du stress — et vous aider à éviter de lourdes amendes. Voici quelques conseils :

• Identifiez les lois étatiques et sectorielles qui couvrent votre entreprise
• Documentez les exigences de notification de violation de données qui affectent votre entreprise, ainsi que le(s) processus pour les respecter dans un scénario catastrophe
• Créez une politique autour des exigences de notification de violation de données qui affectent votre entreprise
• S'il y a des réglementations qui se chevauchent, utilisez la plus stricte pour la politique de votre entreprise
• Préparez à l'avance des modèles de lettres et d'emails de notification
• Élaborez une stratégie de communication claire pour les violations de données et faites-la valider par les services juridiques et relations publiques de votre entreprise à l'avance, si nécessaire

Le réseau national MEP est prêt à vous aider

Pour obtenir de l'aide sur la compréhension des lois de notification de violation de données de votre État et d'autres questions de cybersécurité, vous pouvez contacter l'un des 51 centres MEP, situés dans les 50 États et à Porto Rico, qui font partie du réseau national MEP^TM.