1. Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.
2. La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d).
3. La communication à la personne concernée visée au paragraphe 1 n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie:
| a) | le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement; |
| b) | le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 n'est plus susceptible de se matérialiser; |
| c) | elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace. |
4. Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation de données à caractère personnel est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie.
Deux manquements sont relevés par l'autorité de contrôle - Non respect de l'article 32 du RGPD (sécurité) - Manquement à l'article 34 du RGPD (communication de la violation aux personnes concernées) La sanction : 500 000 euros L'amende a été calibrée au regard de l'unité économique formée avec le groupe RAMSAY SANTÉ, et non du seul chiffre d'affaires de l'hôpital, pourtant déficitaire. Trois injonctions sous astreinte de 1 000 € par jour de retard, à exécuter dans des délais de 3 à 15 mois sont également prononcées par la CNIL. […] Pour en savoir plus sur cette décision, lire l'article détaillé sur mon site internet : " Sanction CNIL : 500 000 € d'amende contre un hôpital privé pour violation du RGPD " Jessy Pollux Avocate Déléguée à la protection des données
Lire la suite…