Quand faut-il informer les personnes concernées d'une violation de données ?

Quand la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. L'article 34 du RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). impose alors au responsable du traitement de la leur communiquer dans les meilleurs délais, en des termes clairs et simples, en décrivant la nature de la violation, les conséquences probables, les mesures prises ou proposées et les coordonnées du DPODPO: délégué à la protection des données. La personne chargée de la protection des données dans l'entreprise au titre du RGPD.. Un risque élevé concerne en général des données pouvant causer un vrai préjudice, comme des pièces d'identité, des données bancaires ou de santé, des mots de passe ou des informations permettant une fraude. L'article 34, paragraphe 3, prévoit des exceptions : les données ont été rendues incompréhensibles, par exemple par un chiffrement robuste ; des mesures ultérieures font que le risque élevé n'est plus susceptible de se matérialiser ; ou des messages individuels exigeraient des efforts disproportionnés, auquel cas une communication publique les remplace. L'autorité de contrôle peut aussi exiger l'information. Dites aux personnes quoi faire, comme changer leurs mots de passe ou se méfier de l'hameçonnage.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes