Je ne comprends pas trop les délais. Normalement, c’est 72h pour notifier une violation de données (Article 33 du RGPD). Pourquoi cette date du 3 janvier alors si la faille a été notifiée à Twitter le 26 décembre ? Cela devrait être le 29 décembre au plus tard.

C’est plus compliqué que cela. Sinon, les “mauvais joueurs” n’examineraient jamais les failles. “Ah non ! On n’avait pas de déclaration à faire, puisqu’on a jamais su :p”.

Ici, il s’agissait quand même d’un bug bunty. Donc les conséquences étaient connues relativement tôt (dès la déclaration). Reste le côté exploitation. Est-ce que cette faille a été exploitée ? Si oui, cela concerne combien de personnes ? Des questions un peu plus dur à répondre.

C’est pour cela que le RGPD précise bien que les 72h, c’est la déclaration initiale. Déclaration qui peut être complétée par la suite pour apporter des éléments nouveaux.

Ici, on a un réseau social avec des centaines de millions d’utilisateurs. Devant l’ampleur potentielle, c’est déclaration à l’autorité compétente dès notification, car le nombre d’utilisateurs potentiellement impactés est un des critères permettant de juger de la criticité d’une violation.

D’ailleurs, c’est un des exemples que donne la CNIL où le responsable de traitement est considéré comme étant informé de la violation, dès lors qu’un cybercriminel contacte le responsable du traitement et lui indique qu’il a pu subtiliser des données sur les serveurs de la société (bug bounty, donc même si le terme cybercriminel me parait mal choisi ici, on est dans ce cas de figure).

Après, faut être pragmatique. Une déclaration tardive sera reprochée. Une déclaration inutile non. Donc vaut mieux faire une déclaration, quitte à dire ensuite, qu’après enquête, il n’y a pas eu de violation ou violation mais sans conséquence notable.