RGPD : comment se mettre en conformité ? Que dit la loi ?

Lorsque votre entreprise est victime d'une violation susceptible de présenter un risque pour les droits et libertés des personnes concernées, vous devez effectuer ce signalement auprès de la Commission nationale de l'informatique et des libertés (CNIL) sous 72 heures.

Si l'atteinte en question ne constitue pas un risque pour les droits et libertés des personnes physiques le délai de notification dans les 72 heures n'est plus impératif.

La notification s'effectue en ligne, directement sur le site de la CNIL, si elle n'est pas effectuée dans les délais, elle doit préciser les motifs du retard.

La notification précise (1):

• la nature de la violation des données à caractère personnelles ainsi que le nombre approximatif de personnes et de données personnelles concernées, et les catégories de données concernées (sexe, numéro de téléphone, etc.) ;
• le nom et les coordonnées du délégué à la protection des données (DPO) ou un autre point de contact auprès duquel des informations supplémentaires peuvent être communiquées ;
• décrire les conséquences probables de la violation des données à caractère personnelle ;
• les mesures prises, ou envisagées par le responsable de traitement, afin de remédier ou d'atténuer les conséquences négatives de la violation des données à caractère personnelles

Néanmoins, le signalement n'est pas nécessaire lorsque certaines conditions sont remplies :

• le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement ;
• le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées n'est plus susceptible de se matérialiser ;
• lorsque les mesures exigent des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace.