Notification de violation de données

La notification de violation de données est l'obligation pour les organisations d'informer les autorités compétentes et les personnes concernées lorsqu'une violation de données personnelles se produit. En vertu du RGPD, les responsables du traitement doivent notifier l'autorité de contrôle dans les 72 heures suivant la prise de connaissance d'une violation qui présente un risque pour les droits et libertés des individus (article 33). Si la violation est susceptible d'entraîner un risque élevé, le responsable doit également informer les personnes concernées sans retard injustifié (article 34). La notification doit décrire la nature de la violation, le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées pour remédier à la violation.

D'autres réglementations ont des exigences de notification variables. Le CCPA exige la notification aux résidents californiens concernés si leurs informations personnelles non chiffrées sont compromises. La LPRPDE exige la notification au Commissariat à la protection de la vie privée du Canada et aux personnes concernées pour les violations créant un risque réel de préjudice important. La LGPD du Brésil exige la notification à l'ANPD et aux personnes concernées pour les violations pouvant créer un risque ou un préjudice. Les organisations opérant dans plusieurs juridictions doivent suivre et respecter les exigences de notification les plus strictes applicables.