Infractions donnant lieu à une violation de données à caractère personnel
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Infractions donnant lieu à une violation de données à caractère personnel
1. Lorsque les autorités compétentes prennent connaissance, dans le cadre de la supervision ou de l’exécution, du fait que la violation commise par une entité essentielle ou importante à l’égard des obligations énoncées aux articles 21 et 23 de la présente directive peut donner lieu à une violation de données à caractère personnel au sens de l’article 4, point 12, du règlement (UE) 2016/679, devant être notifiée en vertu de l’article 33 dudit règlement, elles en informent sans retard injustifié les autorités de contrôle visées à l’article 55 ou 56 dudit règlement.
2. Lorsque les autorités de contrôle visées à l’article 55 ou 56 du règlement (UE) 2016/679 imposent une amende administrative en vertu de l’article 58, paragraphe 2, point i), dudit règlement, les autorités compétentes n’imposent pas d’amende administrative au titre de l’article 34 de la présente directive pour une violation visée au paragraphe 1 du présent article et découlant du même comportement que celui qui a fait l’objet d’une amende administrative au titre de l’article 58, paragraphe 2, point i), du règlement (UE) 2016/679. Les autorités compétentes peuvent toutefois imposer les mesures d’exécution prévues à l’article 32, paragraphe 4, points a) à h), à l’article 32, paragraphe 5, et à l’article 33, paragraphe 4, points a) à g), de la présente directive.
3. Lorsque l’autorité de contrôle compétente en vertu du règlement (UE) 2016/679 est établie dans un autre État membre que l’autorité compétente, l’autorité compétente informe l’autorité de contrôle établie dans son propre État membre de la violation potentielle de données à caractère personnel visée au paragraphe 1.
Au Luxembourg, la passerelle de l'article 35 est opérée concrètement entre l'ILR (autorité compétente NIS 2 désignée par la loi du 28 juillet 2023 relative à la cybersécurité, modifiée par la loi du 28 juillet 2025) et la CNPD (autorité de contrôle RGPD). L'ILR informe la CNPD sans retard injustifié dès qu'un incident notifié au titre de l'article 23 NIS 2 révèle une violation potentielle de données personnelles. La CNPD reste seule compétente pour qualifier la violation au sens de l'article 4(12) RGPD et pour décider d'une amende au titre de l'article 58(2)(i). Concrètement, un même incident chez un opérateur essentiel luxembourgeois (banque CSSF, hôpital, opérateur télécom POST, datacenter eBRC ou LuxConnect) peut donc déclencher deux enquêtes coordonnées mais distinctes.
Pratique Luxgap : nous préconfigurons votre Dual-Track Incident Orchestrator avec les canaux officiels ILR (portail e-incidents) et CNPD (formulaire électronique), et nous testons la coordination via un exercice de table commun ILR/CNPD une fois par an, intégré à votre mandat DPO + CISO.
