Article considérant 75

(75) L’article 3, point XII, du règlement sur la notification des incidents de sécurité définit un incident de sécurité comme «tout événement indésirable confirmé lié à la violation de la confidentialité, de l’intégrité, de la disponibilité et de l’authenticité de la sécurité des données à caractère personnel». Conformément à l’article 48 de la LGPD, une violation de données et un incident de sécurité susceptible de créer des risques pour les personnes concernées doivent toujours être communiqués à l’autorité chargée de la protection des données (ANPD) et aux personnes concernées. L’article 5 du règlement sur la notification des incidents de sécurité précise qu’un incident de sécurité peut entraîner un risque pour les personnes concernées lorsqu’il est susceptible d’affecter leurs intérêts et leurs droits fondamentaux et s’il porte sur au moins un des types de données suivants: 1) données à caractère personnel sensibles, 2) données relatives aux enfants, aux adolescents ou aux personnes âgées, 3) données financières, 4) données d’authentification dans les systèmes, 5) données protégées par le secret juridique, judiciaire ou professionnel, ou 6) bases de données à grande échelle. En outre, un incident de sécurité sera considéré comme affectant de manière significative les intérêts et droits fondamentaux des personnes concernées lorsque: 1) il peut empêcher l’exercice de droits ou l’utilisation d’un service, ou 2) il peut causer des dommages matériels ou moraux aux personnes concernées, tels qu’une discrimination, une violation de l’intégrité physique, du droit à l’image et de la réputation, une fraude financière ou une usurpation d’identité.