Article considérant 54

(54) En vertu de l’article 68, paragraphe 1, de la loi DPA 2018, lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et les libertés d’une personne, le responsable du traitement doit communiquer la violation à la personne concernée dans les meilleurs délais. La communication doit inclure les mêmes informations que la notification adressée au commissaire à l’information, qui sont décrites au considérant 53. Cette obligation ne s’applique pas si le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et si celles-ci ont été appliquées aux données à caractère personnel affectées par ladite violation. Elle ne s’applique également pas si le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et les libertés des personnes concernées n’est plus susceptible de se matérialiser. Enfin, le responsable du traitement n’est pas tenu de notifier la violation à la personne concernée si cela exige des efforts disproportionnés. Dans ce cas, les informations doivent être mises à la disposition de la personne concernée d’une autre manière tout aussi efficace, en procédant par exemple à une communication publique. Si le responsable du traitement n’a pas communiqué à la personne concernée la violation de données à caractère personnel la concernant, le commissaire à l’information, qui a été informé en vertu de l’article 67 de la loi DPA, peut, après avoir examiné si cette violation est susceptible d’engendrer un risque élevé, exiger du responsable du traitement qu’il procède à cette communication.