Article considérant 73

(73) Conformément à l’article 48 de la LGPD, en cas d’incident de sécurité susceptible de présenter un risque ou de causer un préjudice important aux personnes concernées, le responsable du traitement est tenu d’en informer l’ANPD et les personnes concernées. Cette notification doit avoir lieu dans un délai raisonnable, tel que déterminé par l’ANPD, et doit comprendre, au minimum: 1) une description de la nature des données à caractère personnel concernées, 2) des informations permettant d’identifier les personnes concernées touchées, 3) une indication des mesures techniques et de sécurité mises en œuvre pour protéger les données, sous réserve de la préservation du secret commercial et industriel, 4) une évaluation des risques associés à l’incident, 5) une explication de tout retard éventuel de communication, et 6) une description des mesures prises ou à prendre pour atténuer ou réparer le dommage causé. L’approche suivie dans la LGPD est largement semblable à celle établie par les articles 33 et 34 du règlement (UE) 2016/679.