Faut-il documenter les violations de données que nous décidons de ne pas notifier ?

Oui. L'article 33, paragraphe 5, du RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). impose au responsable du traitement de documenter toute violation de données personnelles, en indiquant les faits, ses effets et les mesures prises pour y remédier, qu'elle ait été notifiée ou non à l'autorité de contrôle. Il s'agit de permettre à l'autorité de vérifier ensuite le respect du règlement, y compris votre décision qu'une violation n'était pas susceptible d'engendrer un risque pour les personnes. Pour chaque violation, notez donc ce qui s'est passé, les données et personnes touchées, pourquoi vous avez jugé la notification nécessaire ou non, qui a décidé et quand, et ce que vous avez changé. Tenez un registre des violations distinct du registre des incidents de sécurité, mais relié à lui. Les autorités peuvent le demander lors d'un contrôle ou après une plainte, et l'absence de trace d'une violation non notifiée fait plus mauvais effet que la violation elle-même. NetSenX conserve les preuves d'alertes derrière chaque entrée pendant la durée prévue par votre offre.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes