Considérant 88
Règlement général sur la protection des données · UE 2016/679
| (88) | Lors de la fixation de règles détaillées concernant la forme et les procédures applicables à la notification des violations de données à caractère personnel, il convient de tenir dûment compte des circonstances de cette violation, y compris du fait que les données à caractère personnel étaient ou non protégées par des mesures de protection techniques appropriées, limitant efficacement la probabilité d'usurpation d'identité ou d'autres formes d'abus. Par ailleurs, ces règles et procédures devraient tenir compte des intérêts légitimes des autorités répressives lorsqu'une divulgation prématurée risquerait d'entraver inutilement l'enquête sur les circonstances de la violation des données à caractère personnel. |
Au Luxembourg, la notification s'effectue via le formulaire en ligne dédié de la CNPD (jamais APDL, qui n'existe pas) et la coordination avec l'enquête pénale passe par la Police Grand-Ducale et le Parquet, avec l'appui possible du CIRCL (Computer Incident Response Center Luxembourg) opéré par Securitymadein.lu. La loi du 1er août 2018 portant organisation de la CNPD précise les pouvoirs d'instruction et de contrôle de l'autorité, sans modifier le délai de 72 heures de l'article 33 RGPD.
Pratique Luxgap : déclarer le CIRCL en point de contact technique dans votre plan de réponse à incident accélère la qualification de la violation et préserve la coordination avec la Police Grand-Ducale, sans grignoter les 72 heures CNPD.
