Quand le délai de 72 heures du RGPD commence-t-il à courir ?

Quand le responsable du traitement prend connaissance de la violation de données, pas quand la violation a commencé. L'article 33, paragraphe 1, compte les 72 heures à partir de la prise de connaissance. Les lignes directrices du Comité européen de la protection des données considèrent qu'un responsable en a connaissance lorsqu'il a un degré raisonnable de certitude qu'un incident de sécurité s'est produit et a compromis des données personnelles. Une courte enquête initiale pour l'établir est admise, mais elle doit être rapide ; on ne retarde pas la prise de connaissance en évitant de regarder. Un sous-traitant qui découvre une violation doit en informer le responsable dans les meilleurs délais (article 33, paragraphe 2), et le délai du responsable court en général à partir de ce moment. Notez donc dans votre registre l'heure exacte à laquelle quelqu'un a conclu que des données personnelles étaient en jeu. NetSenX permet d'enregistrer ce moment par incident et conserve les alertes qui montrent quand l'activité a commencé.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes