Article 36. Notification d'une violation de la sécurité des données personnelles à l'autorité de contrôle

Article 36. Notification d'une violation de la sécurité des données personnelles à l'autorité de contrôle

1. En cas de violation de la sécurité des données personnelles, le responsable du traitement doit la notifier à l'Agence andorrane de protection des données, sans retard injustifié et, si possible, dans un délai maximal de soixante-douze heures après en avoir pris connaissance, à moins qu'il soit improbable que cette violation de la sécurité constitue un risque pour les droits et les libertés des personnes physiques. Si la notification n'intervient pas dans le délai de soixante-douze heures, les motifs du retard doivent être justifiés.

2. Le sous-traitant doit notifier au responsable du traitement, sans retard, les violations de la sécurité des données personnelles dont il a connaissance.

3. La notification prévue au paragraphe 1 doit, au minimum :

a) Décrire la nature de la violation de la sécurité des données personnelles, y compris, si possible, les catégories et le nombre approximatif de personnes intéressées concernées, ainsi que les catégories et le nombre approximatif d'enregistrements de données personnelles concernés.

b) Communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.

c) Décrire les conséquences possibles de la violation de la sécurité des données personnelles.

d) Décrire les mesures prises ou proposées par le responsable du traitement pour remédier à la violation de la sécurité des données personnelles, y compris, le cas échéant, les mesures prises pour en atténuer les éventuelles conséquences négatives.

4. Si toutes les informations ne peuvent pas être fournies simultanément, dans la mesure où cela n'est pas possible, elles doivent être fournies de manière échelonnée sans retard injustifié.

5. Le responsable du traitement doit documenter toute violation de la sécurité des données personnelles, y compris les faits qui s'y rapportent, ses effets et les mesures correctrices qui ont été prises, afin de permettre à l'autorité de contrôle de vérifier le respect de la notification.