Un Règlement européen (Règlement n° 611/2013 de la Commission du 24 juin 2013, concernant les mesures relatives à la notification des violations de données à caractère personnel en vertu de la Directive 2002/58/CE
N° Lexbase : L2794IXR), publié au JOUE du 26 juin 2013, est venu préciser les mesures relatives à la notification des violations de données à caractère personnel en vertu de la Directive 2002/58/CE sur la vie privée et les communications électroniques (
N° Lexbase : L6515A43). La Commission était, en effet, habilité à adopter des mesures techniques d'application concernant les circonstances, le format et les procédures relatives aux exigences en matière d'information et de notification des violations de données à caractère personnel à l'autorité nationale compétente, à la charge des fournisseurs de services de communications électroniques. Ainsi, il est prévu que le constat d'une violation de données à caractère personnel est considéré comme établi dès lors que le fournisseur dispose d'assez d'éléments indiquant qu'il s'est produit un incident de sécurité ayant compromis des données à caractère personnel pour justifier une notification à l'autorité nationale compétente, qui doit être effectuée au plus tard 24 heures après le constat de la violation, si possible. Elle est accompagnée d'un certain nombre de documents listés en annexe. On relèvera que si la violation de données à caractère personnel porte atteinte à des abonnés ou des particuliers d'Etats membres autres que celui de l'autorité nationale compétente à laquelle la violation a été notifiée, ladite autorité informe les autres autorités nationales concernées. Lorsque la violation de données à caractère personnel est susceptible de porter atteinte aux données à caractère personnel ou à la vie privée d'un abonné ou d'un particulier, le fournisseur, en plus de la notification à l'autorité compétente, notifie également la violation à l'abonné ou au particulier. La notification à l'abonné ou au particulier n'est pas nécessaire si le fournisseur a prouvé, à la satisfaction de l'autorité nationale compétente, qu'il a mis en oeuvre les mesures de protection technologiques appropriées et que ces dernières ont été appliquées aux données concernées par ladite violation de sécurité. De telles mesures de protection technologiques rendent les données incompréhensibles à toute personne qui n'est pas autorisée à y avoir accès. Par ailleurs, lorsque, pour fournir une partie du service de communications électroniques, il est fait appel à un autre fournisseur qui n'est pas directement lié par contrat avec les abonnés, cet autre fournisseur informe immédiatement celui qui l'a engagé en cas de violation de données à caractère personnel. Ce Règlement entre en vigueur le 25 août 2013.
© Reproduction interdite, sauf autorisation écrite préalable
