Article 37. Communication d'une violation de la sécurité des données personnelles à la personne intéressée

Article 37. Communication d'une violation de la sécurité des données personnelles à la personne intéressée

1. Lorsque la violation de la sécurité des données personnelles est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement doit la communiquer à la personne intéressée sans retard injustifié.

2. La communication à la personne intéressée visée au paragraphe précédent doit décrire, en des termes clairs et simples, la nature de la violation de la sécurité des données personnelles et doit contenir, au minimum, les informations et les mesures prévues aux lettres b),

c) et

d) du paragraphe 3 de l'article 36.

3. La communication à la personne intéressée visée au paragraphe 1 n'est pas nécessaire si l'une des conditions suivantes est remplie :

a) Le responsable du traitement a pris les mesures de protection techniques et organisationnelles appropriées et les a appliquées aux données personnelles concernées par la violation de la sécurité, en particulier celles qui rendent les données personnelles incompréhensibles pour toute personne qui n'est pas autorisée à y accéder, telles que le chiffrement.

b) Le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et les libertés des personnes intéressées n'est plus susceptible de se matérialiser.

c) Elle exige des efforts disproportionnés. Dans ce cas, il doit être procédé à une communication publique ou à une mesure similaire permettant d'informer les personnes intéressées de manière tout aussi efficace.

4. Lorsque le responsable n'a pas encore communiqué à la personne intéressée la violation de la sécurité des données personnelles, l'autorité de contrôle, après avoir examiné la probabilité que cette violation engendre un risque élevé, peut exiger du responsable qu'il y procède ou peut décider que l'une des conditions mentionnées au paragraphe précédent est remplie.