Selon la CNIL, une fuite ou une violation de données est « tout incident de sécurité, d’origine malveillante ou non et se produisant de manière intentionnelle ou non, ayant comme conséquence de compromettre l’intégrité, la confidentialité ou la disponibilité de données personnelles ». Autrement dit, il faut donc d’une part un organisme qui a mis en œuvre un traitement de données à caractère personnelle ; et deuxièmement un problème impactant ces données traitées. Et cela s’entend au sens large puisque la définition comprend tout incident de sécurité, peu importe les circonstances dans lesquelles il se produit, et qui a pour conséquence d’impacter les données traitées. Peu importe par ailleurs la forme que peut prendre le support sur lequel sont stockées les données (article 4.12 du RGPD).
Concrètement cela couvre autant la perte d’un élément ou support physique comme une clé USB contenant des données à caractère personnel qu’une suppression suite à une erreur humaine ou mécanique de données par le responsable de traitement.
Tout organisme traitant des données est concerné, public comme privé, et se doit d’apporter les réponses adaptées dès lors qu’il a connaissance d’une violation de données. Quand aux sous-traitants, ceux-ci doivent en plus informer l’organisme pour le compte duquel ils traitent les données de l’existence de la violation.
