En clair
Ce que dit cet article, en clair
Cet article oblige le responsable du traitement (l'organisme qui décide pourquoi et comment les données personnelles sont utilisées) à notifier à l'autorité de contrôle compétente (en France, la CNIL) toute violation de données à caractère personnel, sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Le sous-traitant (l'organisme qui traite les données pour le compte du responsable) doit de son côté informer le responsable du traitement dans les meilleurs délais. Le responsable du traitement doit aussi documenter chaque violation pour permettre à l'autorité de contrôle de vérifier le respect de ces obligations.
Points clés
- Notification à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après avoir pris connaissance de la violation.
- Si le délai de 72 heures n'est pas respecté, la notification doit être accompagnée des motifs du retard.
- Pas de notification obligatoire si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.
- La notification doit contenir au moins : la nature de la violation, les coordonnées d'un point de contact (comme le délégué à la protection des données), les conséquences probables, et les mesures prises ou proposées pour y remédier.
- Si toutes les informations ne peuvent pas être fournies en même temps, elles peuvent être communiquées de manière échelonnée.
Résumé rédigé par Loilà à partir du texte officiel ci-dessous, qui seul fait foi.
Votre situation
Texte officiel · EUR-Lex
1. En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.
2. Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.
3. La notification visée au paragraphe 1 doit, à tout le moins:
a) décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés;
b) communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;
c) décrire les conséquences probables de la violation de données à caractère personnel;
d) décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
4. Si, et dans la mesure où, il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.
5. Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article.