20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 20

20 
 
Les opérateurs internes qui réalisent des prestations pour le compte du responsable de traitement 
(notamment : prestation d’hébergement) sont tenus d’assurer le niveau de sécurité des données qui leur 
est demandé par le responsable de traitement. 
 
4.2 La notification des violations de données (art. 33 et 34 du RGPD). 
 
Les violations de données intervenant sur un traitement de données à caractère personnel et engendrant 
un risque pour les droits et libertés des personnes sont notifiées à la CNIL43 et  à la personne concernée 
par la violation, sauf dérogation44. Le responsable de traitement s’assure de la notification des 
violations de données Il conserve les documents qui s’y rapportent, permettant de démontrer la 
conformité de ses traitements vis-à-vis des dispositions du RGPD45.  
 
4.2.1 Notification à la CNIL.  
 
Les violations de données entraînant un risque pour les droits et libertés des personnes doivent 
faire l’objet, dans les 72 heures, d’une notification à la CNIL. Le responsable de traitement saisit à 
cet effet le DPD ministériel qui se rapprochera de la CNIL (cf. IV du chapitre II). 
 
4.2.2 Contenu de la notification.  
 
La notification de la violation décrit la violation, ses conséquences possibles et les mesures prises par 
le responsable de traitement pour y remédier.  
 
4.2.3 Notification à la personne concernée.  
 
Si la violation de données est susceptible d’engendrer un risque élevé pour les personnes concernées, 
le responsable de traitement notifie la violation à la personne concernée. Il décrit la violation, ses 
conséquences possibles pour la sécurité des données et les mesures prises pour y remédier. 
 
Si le responsable de traitement décide de ne pas notifier la violation à la personne concernée, la CNIL 
peut le lui imposer. Toutefois, ne sont pas soumis à ce régime les traitements entrant dans le cadre des 
dérogations prévues par le II de l’article 58 de la loi « informatique et libertés » et dont le décret 
d’application46 fixe la liste. C’est le cas par exemple des violations intervenant sur des données 
appartenant à des personnes protégées par le respect de l’anonymat au titre de l’article 39 sexies de la 
loi du 29 juillet 1881 sur la liberté de la presse. 
 
V. LES DROITS DES PERSONNES (art. 6 et 7; 12 à 22 du RGPD). 
 
Le responsable de traitement est tenu de donner suite aux demandes d’accès, de rectification et, le cas 
échéant de suppression des données qui sont formulées au titre du RGPD.  
 
5.1 Les droits des personnes. 
 
5.1.1 Information.  
 
Le responsable de traitement doit assurer l’information des personnes concernées par la mise en œuvre 
d’un traitement de leurs données à caractère personnel, à charge pour lui de déterminer la forme de 
l’information adéquate, en fonction du traitement (affichage, mention sur formulaire ou sur site 
internet, etc.).  
 
                                                          
43 Article 33 du RGPD. 
44 Article 34 du RGPD. 
45 La CNIL conseille à ce titre la tenue à jour d’un registre des violations.  
46 Décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, 
aux fichiers et aux libertés (article 85).