Communication de la violation aux personnes concernées (article 34 du RGPD)
Obligation, posée par l'article 34 du RGPD (règlement général sur la protection des données), de prévenir directement et dans les meilleurs délais les personnes dont les données sont touchées quand la violation crée un risque élevé pour leurs droits et libertés. L'une des trois dispenses du paragraphe 3 peut l'écarter.
La communication de la violation aux personnes concernées est le message que le responsable de traitement adresse directement aux personnes touchées quand la violation crée pour elles un risque élevé. L'article 34 du RGPD (règlement général sur la protection des données) l'impose. Le 28 décembre 2021, la formation restreinte de la CNIL (Commission nationale de l'informatique et des libertés) inflige 180 000 euros d'amende à Slimpay, établissement de paiement. Un serveur resté en ligne sans protection après un projet de recherche interne exposait les données de quelque 12 millions de personnes, coordonnées bancaires comprises, et aucune d'elles n'avait été prévenue. La CNIL retient le manquement à l'article 34, à côté des articles 28 et 32. Le mécanisme tient en quatre paragraphes. L'article 33 du règlement (UE) 2016/679 vise l'autorité. L'article 34 vise les personnes, et seulement si le risque est élevé, par un message en termes clairs et simples qui décrit la nature de la violation, donne le contact du délégué, les conséquences probables et les mesures prises. Le paragraphe 3 dispense dans trois cas : les données étaient rendues incompréhensibles, chiffrement en tête ; des mesures prises ensuite rendent le risque élevé improbable ; prévenir chacun exigerait des efforts disproportionnés, et une communication publique d'efficacité égale le remplace. Le paragraphe 4 donne le dernier mot à l'autorité, qui peut exiger la communication ou constater qu'une dispense joue. Pour le souscripteur, c'est l'article qui fait la facture. Courriers, centre d'appels, surveillance de crédit offerte : les frais de notification suivent le nombre de personnes prévenues, et ce nombre se décide ici. Le libellé à lire porte sur la notification « exigée par la loi » : certaines polices s'arrêtent là, d'autres paient aussi la notification volontaire décidée sur conseil du coach. L'assuré qui prévient 400 000 clients par prudence alors que le chiffrement ouvrait la dispense peut se voir opposer le premier texte. Se taire pour économiser coûte autrement, et Slimpay le montre : le silence est sanctionné en tant que tel, ce qui renvoie à la garantie des enquêtes réglementaires.
Cas d'école : une enseigne fictive perd 200 000 fiches clients, noms, adresses et numéros de carte en clair. Le risque est élevé et aucune dispense ne joue. Courrier à 0,80 euro l'envoi : 160 000 euros. Centre d'appels pendant six semaines : 90 000 euros. Surveillance de crédit acceptée par 10 % des personnes, soit 20 000 abonnements à 15 euros : 300 000 euros. Total : 550 000 euros, avant les honoraires du coach. Avec des numéros chiffrés et une clé restée hors d'atteinte, l'article 34.3 a) aurait pu dispenser de tout envoi.
Information des personnes concernées, Article 34 du RGPD, Communication aux personnes concernées, Information des victimes d'une violation, Notification individuelle, Dispenses de l'article 34.3
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.