1. En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.
Article 33 RGPD - Notification à l’autorité de contrôle d’une violation de données à caractère personnel
2. Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.
3. La notification visée au paragraphe 1 doit, à tout le moins:
a) décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;
b) communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;
c) décrire les conséquences probables de la violation de données à caractère personnel;
d) décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
4. Si, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.
5. Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l’autorité de contrôle de vérifier le respect du présent article.
Foire aux questions
Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.
Le paragraphe 1 exige une notification dans les meilleurs délais et, si possible, 72 heures au plus tard après que le responsable du traitement a pris connaissance de la violation, à l’autorité de contrôle compétente conformément à l’article 55. Lorsque la notification n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.
Oui. Le paragraphe 1 dispense le responsable du traitement lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. L’appréciation porte sur le risque pour les personnes physiques et non sur l’ampleur ou la cause de l’incident, et le paragraphe 5 exige toujours que la violation soit documentée en interne.
En vertu du paragraphe 2, le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Le présent article n’impose au sous-traitant aucune obligation de notifier lui-même l’autorité de contrôle, l’obligation de notification envers l’autorité incombant au responsable du traitement.
Le paragraphe 3 fixe un contenu minimal. La notification doit décrire la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère personnel concernés, communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact, décrire les conséquences probables, et décrire les mesures prises ou proposées pour remédier à la violation et en atténuer les éventuelles conséquences négatives.
Oui. Le paragraphe 4 permet de communiquer les informations de manière échelonnée sans autre retard indu lorsqu’il n’est pas possible de les fournir toutes en même temps. Le responsable du traitement n’est donc pas fondé à attendre la clôture de l’enquête avant de procéder à une première notification dans le délai de 72 heures.