RGPD Article 33 (Notification Violation)

conformite

Définition

L'Article 33 du Règlement Général sur la Protection des Données (RGPD) impose au responsable de traitement l'obligation de notifier à l'autorité de contrôle compétente, en France la CNIL, toute violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, dans un délai de 72 heures maximum à compter de sa découverte. Passé ce délai sans notification, le responsable de traitement doit motiver le retard auprès de l'autorité. La notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, ainsi que les mesures prises ou proposées pour y remédier et en atténuer les effets. Lorsque la violation présente un risque élevé pour les personnes concernées, l'article 34 impose en complément une communication directe aux personnes affectées, sauf mesures d'atténuation efficaces (chiffrement notamment) ou communication disproportionnée. Le sous-traitant est tenu de notifier le responsable de traitement dans les meilleurs délais après avoir eu connaissance de la violation, afin de permettre le respect du délai de 72 heures. Le non-respect de cette obligation expose à des sanctions de la CNIL pouvant atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel.

Description

L'article 33 du RGPD impose de notifier l'autorité de contrôle (CNIL en France) dans les 72 heures suivant la découverte d'une violation de données à caractère personnel présentant un risque pour les droits des personnes. Les violations sans risque peuvent ne pas être notifiées mais doivent être documentées.

Exigences clés

La notification doit décrire la nature de la violation, les catégories et nombre de personnes affectées, les conséquences probables et les mesures prises. Si le risque est élevé pour les personnes, l'article 34 impose en plus de les notifier directement sans délai inutile.

Points clés

Le délai de 72h court dès que l'organisation a connaissance de la violation, pas depuis sa survenance
Une notification incomplète peut être complétée par étapes si toutes les informations ne sont pas disponibles immédiatement
Un registre interne de toutes les violations (notifiées ou non) est obligatoire selon l'article 33(5)

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis