La FCC adopte des règles mises à jour en matière de notification des violations de données

Le 13 décembre 2023, la Federal Communications Commission (FCC) a voté la mise à jour de ses règles de notification des violations de données, vieilles de 16 ans (les « Règles »). Conformément à la mise à jour de la FCC, les fournisseurs de services de télécommunications, de voix sur protocole Internet (VoIP) et de services de relais de télécommunications (TRS) sont désormais tenus d’informer la FCC d’une violation de données, en plus des obligations existantes d’informer les clients concernés, le FBI et le Services secrets américains.

Les règles mises à jour introduisent une nouvelle exigence de délai de notification aux clients, exigeant la notification d’une violation de données aux clients concernés sans délai déraisonnable après la notification à la FCC et aux organismes chargés de l’application de la loi, et en aucun cas plus de 30 jours après la détermination raisonnable d’une violation. Les nouvelles règles élargissent également la définition de « violation » pour inclure « l’accès, l’utilisation ou la divulgation par inadvertance d’informations sur les clients, sauf dans les cas où ces informations sont acquises de bonne foi par un employé ou un agent d’un transporteur ou d’un fournisseur TRS, et Ces informations ne sont pas utilisées de manière inappropriée ni divulguées davantage. Les règles mises à jour introduisent en outre un seuil de préjudice, selon lequel la notification du client n’est pas requise si un opérateur ou un fournisseur de TRS peut « raisonnablement déterminer qu’aucun préjudice aux clients n’est raisonnablement susceptible de se produire à la suite de la violation », ou lorsque la violation implique uniquement des données chiffrées. les données et la clé de cryptage n’ont pas été affectées.