Article considérant 38

(38) Il prévoit en outre des exigences spécifiques en ce qui concerne le traitement et la notification d’une violation de données. Premièrement, le responsable du traitement est tenu de notifier une violation de données au RPD dans les meilleurs délais (et, si possible, 72 heures au plus tard après en avoir pris connaissance), à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. De même, un sous-traitant est tenu de notifier une violation au responsable du traitement dans les meilleurs délais. La notification doit notamment décrire la nature de la violation, ses conséquences probables et les mesures prises ou proposées pour y remédier. Lorsqu’une violation de données est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement doit également communiquer la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. La communication à la personne concernée doit décrire la nature de la violation de données à caractère personnel en des termes clairs et simples et n’est pas requise si le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées n’est plus susceptible de se matérialiser.