Un incident de sécurité des données qui devait être signalé s'est-il produit au cours des deux dernières années?

Oui/non sur une fuite de données est rarement à justifier en une seule fois

Cette question ne demande pas si quelque chose a mal tourné, mais si une fuite de données donnant lieu à une notification s'est produite — c'est une étape intermédiaire. Une fuite qui a été détectée en interne et traitée sans obligation de notification est différente d'une fuite qui a été notifiée à l'autorité de contrôle et éventuellement aux personnes concernées. La réponse « non » ne peut donc être donnée que si vous êtes certain qu'aucun incident donnant lieu à une notification ne s'est produit, pas simplement parce que vous n'en avez aucun souvenir. La réponse « oui » demande à pouvoir répondre à une question de suivi : quand, ce qui a été notifié et à qui.

Dans la pratique, c'est l'une des questions dont la réponse peut varier d'un cycle de remplissage à l'autre, car la période « deux dernières années » est mouvante. Une fuite datant de deux ans et un mois ne s'y retrouvera pas cette année, alors qu'elle y était incluse l'année dernière. C'est pourquoi ce n'est pas une réponse que vous fixez une fois et que vous laissez ensuite de côté : le dossier doit vérifier à chaque cycle s'il y a une période qui sort ou qui entre. Ceux qui remplissent ce sujet plus souvent reconnaissent aussi la question connexe sur un canal de signalement interne pour les lanceurs d'alerte: les deux questions ne testent pas seulement l'existence de quelque chose, mais aussi si le processus a vraiment été utilisé.

D'où cela vient : pas un article fixe, mais un point de contrôle récurrent

Cette question ne provient pas d'un article spécifique qui aurait été fourni à Supplia ; elle fait partie de la catégorie plus large des questions sur le traitement des données, aux côtés de questions telles que si l'entreprise tient un registre des activités de traitement. La source de cette réponse réside donc non pas dans une réglementation externe, mais dans le propre registre des incidents de l'entreprise : l'enregistrement de ce qui s'est passé, quand, et si une notification a été envoyée. Sans ce document interne, il n'y a pas de base pour confirmer « non », et avec un registre incomplètement rempli, il n'y a pas non plus de base pour justifier pleinement « oui ».