Notification de violation

La notification de violation est l'obligation pour un responsable de traitement d'alerter l'autorité de contrôle (la CNIL en France) lorsqu'un incident de sécurité survient. Une violation de données est définie comme la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles. Selon l'article 33 du RGPD, cette notification doit être effectuée dans un délai maximal de 72 heures après avoir pris connaissance de l'incident, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Parallèlement, l'article 34 impose d'informer directement les personnes concernées si la violation présente un risque élevé pour elles (ex: vol de coordonnées bancaires ou de mots de passe). Cette communication doit être claire, concise et expliquer les mesures prises pour remédier à la situation. Même si une notification n'est pas requise, l'entreprise doit obligatoirement documenter l'incident dans un registre interne des violations, précisant les faits, ses effets et les mesures correctives adoptées. Pour les PME, cette procédure est cruciale car elle démontre la bonne foi et la réactivité de l'entreprise face à la CNIL, limitant ainsi les risques de sanctions administratives lourdes en cas de contrôle a posteriori.