Article 19. Notification des violations de sécurité

Article 19. Notification des violations de sécurité

1. Une violation de la sécurité des données se produit lorsque les données à caractère personnel traitées par un responsable ou un sous-traitant du traitement subissent un incident de sécurité qui donne lieu à la violation de la confidentialité, de la disponibilité ou de l'intégrité des données.

2. Si la violation met en danger les droits et les libertés d'une personne, ainsi que le prévoit la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel, le responsable du traitement doit la notifier à l'autorité de contrôle dans les meilleurs délais et, au plus tard, 72 heures – y compris les heures écoulées pendant les fins de semaine et les jours fériés – après que le responsable a eu connaissance que l'incident de sécurité a affecté des données à caractère personnel. Si la notification n'a pas lieu dans ce délai, les motifs du retard doivent être justifiés. Le sous-traitant doit notifier chaque violation de la sécurité des données au responsable du traitement.

3. Lorsqu'au moment de la notification il n'est pas possible de fournir toutes les informations nécessaires, le responsable du traitement doit les communiquer de manière échelonnée, le plus tôt possible et sans retard.

4. Conformément à la Loi 29/2021 , du 28 octobre, qualifiée de protection des données à caractère personnel, si la violation de la sécurité des données engendre un risque élevé pour les personnes concernées, ces personnes doivent également en être informées dans les meilleurs délais raisonnablement possibles.

5. Lorsque le responsable du traitement notifie une violation de sécurité à l'autorité de contrôle, conformément à la Loi 29/2021 du 28 octobre, qualifiée de protection des données à caractère personnel, il doit, au minimum :

a) Décrire la nature de la violation de la sécurité des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation, ainsi que les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés.

b) Communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.

c) Décrire les conséquences possibles de la violation de la sécurité des données à caractère personnel.

d) Décrire les mesures prises ou proposées par le responsable du traitement pour remédier à la violation de la sécurité des données à caractère personnel, y compris, le cas échéant, les mesures prises pour en atténuer les éventuelles conséquences négatives.

6. La notification est effectuée au moyen du formulaire correspondant de l'Agence andorrane de protection des données. L'Agence peut exiger les informations supplémentaires nécessaires et émettre l'ordre ou la communication appropriés, ainsi que fixer le délai dans lequel le responsable doit satisfaire à la demande (mise en demeure).

7. S'il estime qu'il n'existe pas de risques pour les droits et les libertés des personnes physiques, le responsable doit documenter toute violation de la sécurité des données à caractère personnel, y compris les faits concernant la violation de sécurité, ses effets et les mesures correctives prises, afin que l'autorité de contrôle puisse vérifier le respect du principe de responsabilité proactive.