Article 34 du RGPD : Communication à la personne concernée d’une violation de données à caractère personnel

L’Article 34 du RGPD prévoit que les personnes concernées doivent être informées directement et dans les meilleurs délais lorsqu’une violation de données personnelles est susceptible d’entraîner un risque élevé pour leurs droits et libertés.

L’Article 34 du RGPD expliqué

Le responsable du traitement doit informer les personnes concernées :

Lorsque la violation est susceptible d’engendrer un risque élevé (ex. : vol d’identité, perte financière, atteinte à la vie privée…) ;
Par une communication claire et compréhensible ;
En précisant la nature de la violation, les conséquences possibles et les mesures prises.

Cette obligation ne s’applique pas si :

Des mesures de protection efficaces (ex : chiffrement) ont été mises en place ;
Des mesures ultérieures ont supprimé le risque élevé ;
La communication exigerait des efforts disproportionnés (dans ce cas, une information publique peut être utilisée).

Pourquoi cet article est-il important pour votre conformité RGPD ?

Informer les personnes concernées en cas de risque grave est essentiel pour leur permettre de protéger leurs droits (ex. : changer un mot de passe, surveiller leur compte bancaire…). Cela participe à une démarche de transparence et de confiance, au cœur des principes du RGPD.

Comment se mettre en conformité avec l’Article 34 du RGPD ?

Évaluez systématiquement les risques pour les personnes concernées en cas de violation ;
Prévoyez des modèles de communication prêts à être diffusés ;
Soyez réactifs et transparents dans votre communication ;
Documentez les décisions prises dans le registre des violations.

Exemples d’application de l’Article 34 du RGPD

Une banque informe ses clients après un piratage de données bancaires sensibles ;
Une entreprise alerte ses salariés après la perte d’une clé USB contenant des fiches de paie non chiffrées ;
Une collectivité publique publie une note officielle après une faille dans son portail de téléservices.