Article considérant 53

(53) Le régime régissant le respect des principes de sécurité des données est très similaire à celui énoncé aux articles 29 à 31 de la directive (UE) 2016/680. En particulier, dans le cas d’une violation de données à caractère personnel touchant les données sous sa responsabilité, le responsable du traitement doit, conformément à l’article 67, paragraphe 1, de la loi DPA 2018, notifier cette violation au commissaire à l’information dans les meilleurs délais et, si possible, dans un délai de 72 heures au plus tard après en avoir pris connaissance. Cette obligation de notifier la violation de données à caractère personnel ne s’applique pas lorsque celle-ci n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Le responsable du traitement doit consigner les faits relatifs à toute violation de données à caractère personnel, ses effets et les mesures prises pour y remédier, de manière que le commissaire à l’information soit en mesure de vérifier le respect de la loi DPA. Si un sous-traitant prend connaissance d’une violation de sécurité, il doit en informer le responsable du traitement dans les meilleurs délais.