Article considérant 76

(76) La notification d’un incident de sécurité à l’ANPD et aux personnes concernées a lieu dans un délai de trois jours ouvrables à compter du moment où le responsable du traitement en prend connaissance. Le règlement contraignant sur la notification des incidents de sécurité précise aux responsables du traitement les informations qui doivent être fournies à l’ANPD et aux personnes concernées. La notification adressée aux personnes concernées comprend notamment: 1) une description de la nature et de la catégorie des données à caractère personnel concernées, 2) les mesures techniques et de sécurité utilisées pour protéger les données, 3) les risques liés à l’incident, en identifiant les incidences possibles sur les personnes concernées, 4) les raisons du retard, dans le cas où la communication n’a pas été effectuée dans les 72 heures, 5) les mesures qui ont été ou seront adoptées pour inverser ou atténuer les effets de l’incident, le cas échéant, 6) la date à laquelle l’incident de sécurité a été découvert, et 7) les coordonnées permettant d’obtenir des informations et, le cas échéant, les coordonnées de la personne responsable. Lorsqu’ils communiquent l’incident aux personnes concernées, les responsables du traitement utilisent un «langage simple et facile à comprendre». La notification est effectuée directement et individuellement, s’il est possible d’identifier les personnes concernées.