Modèle de notification de violation de données - client gratuit

Présentation

La notification de violation de données aux personnes concernées est le courrier ou email par lequel un responsable de traitement informe ses clients, utilisateurs ou toute personne physique concernée qu'une violation de données personnelles les affectant est survenue, conformément à l'article 34 du Règlement général sur la protection des données (RGPD). Contrairement à la notification à la CNIL (article 33 du RGPD), qui doit intervenir dans tous les cas où une violation présente un risque pour les droits et libertés des personnes, la notification aux personnes concernées elles-mêmes n'est obligatoire que lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Condition déclenchante : risque élevé uniquement (article 34.1 du RGPD) : le responsable de traitement doit évaluer le niveau de risque de chaque violation constatée. Une violation présentant un risque simple (non élevé) déclenche l'obligation de notification à la CNIL sous 72 heures (article 33 du RGPD), mais pas nécessairement l'obligation d'informer individuellement chaque personne concernée. Cette évaluation du niveau de risque doit prendre en compte la nature de la violation (confidentialité, intégrité, disponibilité), la nature et le volume des données concernées (données bancaires, données de santé, identifiants de connexion), la facilité d'identification des personnes, la gravité des conséquences potentielles (usurpation d'identité, préjudice financier, atteinte à la réputation) et les caractéristiques particulières des personnes concernées (mineurs, personnes vulnérables). Contenu obligatoire de la notification (article 34.2 du RGPD, par renvoi à l'article 33.3) : la notification doit décrire, dans un langage clair et simple, la nature de la violation de données ; communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact ; décrire les conséquences probables de la violation ; et décrire les mesures prises ou envisagées par le responsable de traitement pour remédier à la violation et en atténuer les éventuelles conséquences négatives, y compris, le cas échéant, les mesures que les personnes concernées peuvent elles-mêmes prendre (changer un mot de passe, faire opposition sur un moyen de paiement, surveiller leur relevé bancaire). Exceptions à l'obligation de notification individuelle (article 34.3 du RGPD) : le responsable de traitement n'est pas tenu de notifier individuellement les personnes concernées s'il a mis en œuvre, avant la violation, des mesures techniques et organisationnelles rendant les données incompréhensibles pour toute personne non autorisée (chiffrement fort) ; s'il a pris des mesures ultérieures garantissant que le risque élevé n'est plus susceptible de se matérialiser ; ou si cette notification exigerait des efforts disproportionnés, auquel cas il peut recourir à une communication publique équivalente. Erreurs à éviter : notifier systématiquement chaque violation aux personnes concernées sans avoir évalué le niveau de risque, ce qui peut générer une inquiétude disproportionnée et une perte de confiance inutile ; à l'inverse, sous-évaluer le niveau de risque pour éviter la notification, ce qui expose à une sanction de la CNIL en cas de contrôle a posteriori ; ne pas décrire de manière concrète et actionnable les mesures que les personnes peuvent prendre elles-mêmes.