Quand dois-je signaler une violation de données à l'Autorité néerlandaise de protection des données ?

La notification est la règle principale, sauf si un risque est peu probable

Vous signalez une violation de données à l'autorité de contrôle dès lors qu'il est probable que la violation présente un risque pour les droits et libertés des personnes dont les données ont été affectées. C'est le cœur de l'article 33 du RGPD : la notification est le point de départ, et ce n'est que lorsqu'il est raisonnable de penser qu'aucun risque ne se produit que cette notification est omise. Dans la pratique, cela signifie que la plupart des violations de données — un e-mail mal envoyé contenant des données clients, un ordinateur portable volé, une base de données piratée — tombent sous l'obligation de notification, alors qu'une violation qui ne peut clairement toucher personne (par exemple parce que les données étaient chiffrées et la clé n'a pas été compromise) peut en être exempte.

Pour cette évaluation, vous examinez ce qui s'est exactement passé, quelles données sont concernées et qui peut en être affecté. Les données sensibles, les données financières ou les données concernant des enfants pèsent davantage qu'une simple adresse e-mail. Le délai de 72 heures prévu à l'article 33 du RGPD commence à courir à partir du moment où vous avez connaissance de la violation, non pas à partir du moment où elle s'est produite — ces deux moments peuvent être espacés de plusieurs semaines. Un arbre de décision qui parcourt cette évaluation étape par étape n'est jamais un substitut au jugement personnel sur la violation concrète, mais il aide à aborder la question « obligation de notification ou non » de manière structurée.

D'où cela résulte de l'article 33 du RGPD et des lignes directrices du CEDPB

L'obligation de notification elle-même figure à l'article 33 du RGPD ; l'interprétation de concepts tels que « risque » et « sans délai injustifié » provient des lignes directrices du CEDPB sur les notifications de violations de données, et l'Autorité néerlandaise de protection des données l'explique pour la pratique néerlandaise. Le RGPD s'applique directement dans chaque État membre, mais le destinataire de votre notification varie : aux Pays-Bas, c'est le guichet de notification de l'Autorité néerlandaise de protection des données, la seule autorité de contrôle pour l'ensemble du pays. En Allemagne, vous signalez auprès de l'autorité de contrôle du Land où se trouve l'établissement, car il existe seize autorités de contrôle des Länder aux côtés d'une autorité de contrôle fédérale.