CRÉEZ GRATUITEMENT Notification aux clients en cas de violation de données personnelles

Lorsque votre entreprise collecte des données personnelles sur vos clients, certaines obligations s’imposent à vous, et notamment si les données collectées font l'objet d’une violation. Lorsque vous constatez qu'il y a eu violation des données personnelles, le responsable du traitement des données doit faire une déclaration à la Cnil, et en plus de cela, est tenu de prévenir chacun de vos clients concernés par ce problème. Utilisez notre document pour vous faciliter cette démarche.

Utilisez ce document lorsque :

• votre entreprise collecte des données personnelles ;

• vous constatez une violation de ces données personnelles ;

• cette violation est susceptible de porter atteinte à la vie privée des clients concernés.

Ce document contient :

• les coordonnées de votre entreprise et celles du responsable du traitement des données ;
• les coordonnées du délégué à la protection des données ;
• l’origine de la violation ;
• la description de cette violation ;
• les mesures prises pour y remédier. 

Selon l'article 4-12 du Règlement européen à la protection des données (RGPD), entré en vigueur le 25 mai 2018, il y a violation des données personnelles lorsqu'il y a "une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données".

Cette violation peut être due à un accident (incident technique par exemple) ou à un acte illicite (acte malveillant), qui a pour conséquence de porter atteinte à l'intégrité, à la confidentialité ou la disponibilité des données personnelles.

Exemples de violations de données personnelles (selon la Cnil) :

• la suppression accidentelle de données médicales conservées par un établissement de santé et non sauvegardées par ailleurs ;
• perte d’une clef USB non sécurisée contenant une copie de la base clients d’une société ;
• introduction malveillante dans une base de données scolaires et modification des résultats obtenus par les élèves.

Vous devez prévenir vos clients lorsque cette violation est susceptible de porter atteinte aux données ou à la vie privée des personnes. Si c’est le cas, utilisez ce document pour leur transmettre les informations nécessaires.

Il existe une exception qui vous dispense de cette obligation. Lorsque vous avez mis en place des mesures techniques préventives qui ont permis de crypter les données violées. Dans ce cas, bien que violées, les données concernées sont inexploitables.

Vous devez notifier au client des informations claires, qu’il est en mesure de bien comprendre. Il y a lieu de lui expliquer dans des termes simples, la nature de la violation et la date à laquelle elle a eu lieu, ainsi que les mesures prises pour remédier au problème.
Vous devez également lui transmettre les coordonnées d’une personne capable de le renseigner plus précisément.