Considérant 86
Règlement général sur la protection des données · UE 2016/679
| (86) | Le responsable du traitement devrait communiquer une violation de données à caractère personnel à la personne concernée dans les meilleurs délais lorsque cette violation est susceptible d'engendrer un risque élevé pour les droits et libertés de la personne physique afin qu'elle puisse prendre les précautions qui s'imposent. La communication devrait décrire la nature de la violation des données à caractère personnel et formuler des recommandations à la personne physique concernée pour atténuer les effets négatifs potentiels. Il convient que de telles communications aux personnes concernées soient effectuées aussi rapidement qu'il est raisonnablement possible et en coopération étroite avec l'autorité de contrôle, dans le respect des directives données par celle-ci ou par d'autres autorités compétentes, telles que les autorités répressives. Par exemple, la nécessité d'atténuer un risque immédiat de dommage pourrait justifier d'adresser rapidement une communication aux personnes concernées, alors que la nécessité de mettre en œuvre des mesures appropriées empêchant la poursuite de la violation des données à caractère personnel ou la survenance de violations similaires peut justifier un délai plus long pour la communication. |
Au Luxembourg, la communication aux personnes concernées se fait sous le contrôle de la CNPD (jamais APDL), qui publie des orientations sectorielles via ses délibérations annuelles. La loi du 1er août 2018 portant organisation de la CNPD précise les pouvoirs de l'autorité, notamment celui d'ordonner au responsable du traitement de communiquer la violation aux personnes concernées s'il a sous-estimé le risque (art. 34(4) RGPD).
Pratique Luxgap : conservez la trace écrite de tout échange avec la CNPD pendant la gestion d'une violation (mail, compte rendu d'appel), car c'est la seule façon de justifier un éventuel délai de communication conformément au considérant 86.
