Quelles informations doit contenir l'annonce d'une violation de données au PFPDT ?

• la nature de la violation;
• dans la mesure du possible, le moment et la durée;
• dans la mesure du possible, les catégories et le nombre approximatif de données personnelles concernées;
• dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées;
• les conséquences, y compris les risques éventuels, pour les personnes concernées;
• les mesures prises ou prévues pour remédier à cette défaillance et atténuer les conséquences, y compris les risques éventuels;
• le nom et les coordonnées d’une personne de contact.

^[1]

Certaines informations ne sont exigées que « dans la mesure du possible ». Cela vise notamment le moment et la durée de la violation, ainsi que les catégories et le nombre approximatif de données personnelles et de personnes concernées. Lorsque toutes les informations ne peuvent pas être annoncées simultanément, les éléments manquants doivent être fournis dans les meilleurs délais. Il faut donc vérifier, au moment de l’annonce, ce qui est déjà établi, ce qui ne peut être estimé qu’approximativement et ce qui devra être complété ensuite sans attendre inutilement.^[1]

Le même article prévoit aussi des obligations liées à la suite de l’incident. Si la personne concernée doit être informée, la communication doit être faite dans un langage simple et compréhensible et contenir au moins la nature de la violation, les conséquences, y compris les risques éventuels, les mesures prises ou prévues, ainsi que le nom et les coordonnées d’une personne de contact. En outre, les violations doivent être documentées: la documentation doit contenir les faits relatifs aux incidents, à leurs effets et aux mesures prises, et elle est conservée pendant au moins deux ans à compter de la date d’annonce au sens de l’al. 1.^[1]

Cette réponse résume le texte légal cité tel que publié sur Fedlex. Vérifiez la disposition actuellement en vigueur et toute modification ultérieure avant d’agir.^[1]