Le règlement général sur la protection des données (RGPD) impose aux responsables de traitement de documenter, en interne, les violations de données personnelles et de notifier les violations présentant un risque pour les droits et libertés des personnes à la CNIL et, dans certains cas, lorsque le risque est élevé, aux personnes concernées.
Qu’est-ce qu’une violation de données à caractère personnel ?
Pour qu’il y ait violation, 2 conditions doivent être réunies :
- Mis en œuvre un traitement de données personnelles.
Localtaxi.fr n’a pas mis en oeuvre de traitement de données personnelles.
- Ces données ont fait l’objet d’une violation (perte de disponibilité, d’intégrité ou de confidentialité de données personnelles, de manière accidentelle ou illicite).
Si nous « perdons votre mail » avec votre message dedans…
En cas de perte de téléphone de nos chauffeur
Si pendant le court période d’une semaine où nous gardons votre mail de réservation qui contient votre nom, numéro de téléphone le mail et votre message il y a une violation de données à caractère personnel, nous documentons en interne l’incident en déterminant :
- la nature de la violation
- si possible, les catégories et le nombre approximatif de personnes concernées par la violation
- les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;
- description des conséquences probables de la violation de données ;
- description des mesures prises ou que nous envisageons de prendre pour éviter que cet incident se reproduise ou atténuer les éventuelles conséquences négatives.
Nous informons la CNIL
Dans les meilleurs délais, nous envoyons un document récapitulatif à la CNIL qui permet de répondre à l’obligation de documentation interne.
Si l’incident constitue un risque au regard de la vie privée des personnes concernées, nous notifions l’incident à la CNIL.
En cas de risque élevé, nous également notifions les personnes concernées.
A quel délais nous envoyons la documentation à la CNIL ?
- Une notification initiale dans les meilleurs délais à la suite de la constatation de la violation ;
- Puis, une notification complémentaire dans le délai de 72 heures si possible après la notification initiale.
- Si le délai de 72 heures est dépassé, il conviendra d’expliquer, lors de notification, les motifs du retard.
Que va faire la CNIL ?
Dès réception, la CNIL va instruire la notification. La procédure relative à la violation notifiée pourra être clôturée si la CNIL constate que :
- La violation ne porte pas atteinte aux données personnelles ou ne présente pas de risque pour les droits et libertés des personnes.
- Nous avons correctement informé les personnes concernées.
- Nous avons mis en place, préalablement à la violation, des mesures techniques de protection appropriées.
La CNIL pourra nous imposer d’informer les personnes concernées si elle constate que :
- Nous ne les avons pas correctement informées.
- Les mesures techniques de protection que nous avons mises en place préalablement à la violation ne sont pas appropriées.
Quel est le cadre légal ?
L’obligation de notifier à la CNIL les violations de données à caractère personnel est prévue à l’article 33 du règlement général sur la protection des données (RGPD). Elle concerne tous les responsables de traitement de données à caractère personnel. Dans le cas où la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, l’article 34 du RGPD impose de notifier ces dernières.
