Notification à la personne concernée (article 34 RGPD)

Définition

La notification à la personne concernée, prévue par l'article 34 du RGPD, est l'obligation qui incombe au responsable de traitement d'informer directement les personnes affectées par une violation de données à caractère personnel lorsque celle-ci est susceptible d'engendrer un risque élevé pour leurs droits et libertés, en complément de la notification à l'autorité de contrôle prévue par l'article 33. Cette communication doit être rédigée en des termes clairs et simples, décrivre la nature de la violation, indiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact, décrire les conséquences probables de la violation et présenter les mesures prises ou envisagées pour y remédier et en atténuer les effets négatifs éventuels. Le règlement prévoit des exceptions à cette obligation, notamment lorsque le responsable de traitement a mis en œuvre des mesures de protection technique appropriées rendant les données incompréhensibles pour toute personne non autorisée à y accéder, comme un chiffrement robuste, lorsque des mesures ultérieures garantissent que le risque élevé ne devrait plus se matérialiser, ou lorsque la communication individuelle exigerait des efforts disproportionnés, auquel cas une communication publique équivalente peut être substituée. La décision de notifier ou non les personnes concernées, distincte de celle de notifier l'autorité de contrôle, doit être documentée et justifiée au regard du niveau de risque effectivement évalué.