Dois-je moi-même informer les personnes concernées en cas de violation de données ?

En cas de risque élevé pour les personnes concernées, l'obligation s'impose

Oui, si une violation de données est susceptible de présenter un risque élevé pour les droits et libertés des personnes dont les données sont affectées, alors l'obligation d'informer directement ces personnes s'impose. Cela est indépendant de la notification à l'autorité de contrôle, qui doit déjà intervenir dans un délai de 72 heures à partir d'un simple « risque ». L'obligation d'informer la personne concernée elle-même établit donc une exigence plus stricte : elle s'applique aux situations où, sans intervention, des conséquences négatives graves peuvent survenir, telles que l'usurpation d'identité, les dommages financiers ou les atteintes à la réputation. La personne concernée doit alors être informée en langage clair et simple de ce qui s'est passé, des conséquences prévisibles, des points de contact pour obtenir plus d'informations et des mesures prises ou en cours pour limiter les dommages.

Il existe des exceptions à cette obligation d'information individuelle. C'est le cas lorsque des mesures de sécurité appropriées — comme le chiffrement — ont rendu les données inintelligibles pour ceux qui n'y ont pas accès, lorsque des mesures prises ultérieurement font en sorte que le risque élevé ne se manifeste probablement plus, ou lorsque l'information individuelle demanderait des efforts disproportionnés. Dans ce dernier cas, une communication publique ou une mesure équivalente et tout aussi efficace peut remplacer l'approche individuelle de chaque personne concernée.

La base : article 34 du RGPD, à côté de l'article 33

Cette obligation découle de l'article 34 du RGPD, qui régit l'obligation d'information individuelle aux côtés de l'article 33, qui concerne la notification à l'autorité de contrôle — deux obligations distinctes, chacune avec son propre seuil. La définition précise d'une violation de données et la manière dont l'évaluation des risques est menée sont expliquées sur la page de l'Autoriteit Persoonsgegevens sur les violations de données. L'obligation découlant de l'article 34 est la même dans toute l'UE, car le RGPD s'applique directement ; seul l'itinéraire de notification auprès de l'autorité de contrôle varie selon le pays — aux Pays-Bas auprès de l'Autoriteit Persoonsgegevens, en Allemagne auprès de l'autorité de contrôle du Land où l'établissement est situé.