qui est responsable du signalement d'une violation de données au sein de mon entreprise

La responsabilité incombe à l'organisation, non à un seul employé

Le RGPD impose l'obligation de signalement à l'organisation qui est responsable du traitement, non à un collaborateur individuel qui a découvert ou causé la fuite. Le RGPD ne précise pas qui, au sein de l'entreprise, effectue concrètement la notification — c'est une question interne. En pratique, il s'agit généralement du propriétaire, d'un directeur, ou d'une personne spécifiquement désignée pour gérer les questions de confidentialité, comme un délégué à la protection des données si l'organisation en a nommé un. Pour un travailleur indépendant ou une petite entreprise sans fonction dédiée, cette responsabilité incombe souvent naturellement à la personne qui dirige l'entreprise.

Ce qui est certain, c'est qu'il doit y avoir quelqu'un qui sache qu'une notification peut être nécessaire dès qu'une fuite survient, et qui puisse évaluer si ce qui constitue exactement une violation de données s'applique ici. Une entreprise qui n'a rien défini sur la personne qui prend en charge cette question risque qu'une fuite soit signalée mais que personne ne prenne l'étape suivante — alors que le délai court à partir du moment de la découverte. Même si le traitement a été confié à un tiers, cela ne change rien à la question de savoir qui reste responsable de la notification : c'est et reste l'organisation elle-même, y compris lorsque un prestataire signale lui-même une violation de données.

D'où cela découle : article 33 du RGPD

L'article 33 du RGPD parle toujours du « responsable du traitement » comme la partie qui doit notifier l'autorité de contrôle, sans prescrire de fonction ou de personne interne particulière ; c'est à l'organisation elle-même de déterminer qui l'exécutera concrètement. L'Autorité néerlandaise de protection des données confirme sur sa page consacrée aux violations de données que l'obligation de signalement incombe à l'organisation et non à un collaborateur spécifique. L'autorité de contrôle auprès de laquelle une notification doit être effectuée varie selon l'État membre : aux Pays-Bas, il s'agit de l'Autorité néerlandaise de protection des données, tandis que dans le reste de l'UE, l'autorité de contrôle nationale compétente est l'instance désignée. Plus d'informations sur les démarches à suivre et le rôle de l'autorité de contrôle figurent à quand une violation de données doit être signalée à l'Autorité néerlandaise de protection des données.