Dès lors que l’organisme victime estime que l’incident de violation de données présente un risque au regard de la vie privée des personnes concernées, il convient de notifier l’incident à la CNIL dans un délai de 72 heures au plus tard après la prise de connaissance de l’incident (article 33 RGPD). Si le délai doit être dépassé, il convient pour l’organisme de préciser pour quelles raisons il ne peut respecter ce délai (besoin de davantage de temps pour estimer les impacts de la violation par exemple).
La CNIL a mis en place à ce titre un téléservice dédié afin d’aider les organismes dans le processus. Celle-ci va alors instruire une procédure afin de savoir si l’organisme ayant notifié a correctement mis en place toutes les mesures techniques de protection appropriées. La CNIL va juger à ce titre si les mesures mis en œuvre sont suffisantes ou appropriées, si la violation porte atteinte ou présente des risques par rapport aux droits des personnes, et s’il convient de notifier ces dernières de la violation. De plus, en cas d’informations complémentaires réunies par l’organisme, celui-ci doit les communiquer à la CNIL.
En effet, si l’incident est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, il convient de les informer dans les meilleurs délais de la violation (article 34 RGPD). La CNIL peut tout à fait aider l’organisme victime à savoir s’il faut notifier les personnes en cas de doute, et les téléservices mis en œuvre par la CNIL permettent d’accompagner les organismes dans ce sens. D’autant plus que la CNIL regardera dans le cadre de sa procédure d’instruction de la violation si les personnes doivent être notifiées et si elles l’ont été (la CNIL pourra même l’imposer si cela doit être fait et que l’organisme victime ne l’a pas fait).
Il est conseillé pour l’information des personnes de faire un formulaire contenant les éléments suivants :
- Une information claire et simple l’existence de la violation
- Le type de violation survenu
- Combien de personnes sont susceptibles d’être affectées
- Les conséquences probables de la violation
- Les mesures prises par le responsable de traitement pour régler le problème et atténuer les risques d’une réitération de l’incident
La communication du nom et des coordonnées du DPO ou de tout point de contact au sein de l’organisme pouvant apporter des informations supplémentaires.
