Complément à cet article.

Avec l’entrée en vigueur en mai 2018 du Règlement général sur la protection des données (RGPD), tous les organismes seront soumis à une obligation de notification des violations de données personnelles à la CNIL. Pour une partie de ces organismes, cette obligation se cumule avec d’autres, déjà en place ou à venir.

Dans le cas d’une violation de données à caractère personnel, l’organisme doit porter à la connaissance de la CNIL, via un nouveau téléservice qui sera opérationnel en mai 2018, les éléments suivants :

 la description de la nature de la violation de données à caractère personnel ;
 les catégories de données ;
 le nombre approximatif de personnes concernées par la violation ;
 les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés ;
 le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues, de décrire les conséquences probables de la violation de données et enfin de préciser les mesures prises ou à prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Par ailleurs, en cas de risque élevé pour les personnes concernées, le responsable de traitement doit également informer, en des termes clairs et simples, les utilisateurs touchés par l’indicent, sauf si le responsable a pris préalablement ou postérieurement à la violation des mesures techniques ou organisationnelles appropriées. Dans le cas où la communication aux personnes concernées exigerait des efforts disproportionnés, une communication publique ou autre mesure similaire tout aussi efficace peut être réalisée. La CNIL peut, si elle l’estime nécessaire, demander au responsable de traitement ne l’ayant pas fait, d’effectuer cette communication.

Dès lors que de nouveaux éléments sont découverts, l’organisme les fait parvenir à la CNIL.

Lien vers l’article de la CNIL dont sont extraites ces lignes.