Une fuite ou un vol de données peut causer un préjudice pour les personnes concernées. Si l’incident résulte d’un manquement au RGPD, elles peuvent, sous certaines conditions, demander une indemnisation. C’est au juge, et non à la CNIL, de l’accorder.
Une , qu’est-ce que c’est ?
Une violation de données personnelles est un incident qui entraîne notamment la perte, la destruction, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles. Elle peut être accidentelle ou résulter d’un acte malveillant, comme une cyberattaque.
Par exemple, il peut s’agir :
- du vol d’une base de données ;
- d’une erreur ayant entraîné l’envoi de données personnelles au mauvais ;
- de la perte d’un ordinateur ou d’un support contenant des données ;
- d’un accès non autorisé à un compte ou à un .
Une telle violation peut exposer les personnes concernées à différents risques : perte de contrôle sur leurs données, usurpation d’identité, perte financière, atteinte à la réputation ou encore divulgation d’informations confidentielles.
Mais le seul fait qu’une violation de données ait eu lieu ne suffit pas pour obtenir une indemnisation.
Quand peut-on être indemnisé ?
Le RGPD prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD a le droit d’obtenir réparation auprès du responsable du traitement ou, dans certains cas, du (article 82 du RGPD).
Trois conditions doivent être réunies :
- Une violation du RGPD
- Par exemple, une entreprise peut avoir manqué à ses obligations de sécurité en ne mettant pas en place des mesures techniques ou organisationnelles adaptées pour protéger les données personnelles. Le RGPD impose en effet aux et aux sous-traitants de mettre en œuvre un niveau de sécurité adapté aux risques.
- La responsabilité du responsable du traitement repose sur une faute présumée : il peut toutefois s’exonérer s’il démontre qu’il n’est en aucune façon responsable de l’événement ayant causé le dommage.
- Un préjudice réel
- La violation du RGPD doit vous avoir causé un préjudice matériel ou moral. Il peut s’agir :
- d’une perte financière ;
- d’une usurpation d’identité ;
- d’une atteinte à la réputation ;
- d’une perte de confidentialité ;
- d’une perte de contrôle sur ses données ;
- ou encore de la peur ou de l’inquiétude liées au risque que les données soient utilisées de manière abusive.
- Il n’est pas nécessaire que le préjudice moral atteigne un niveau minimal de gravité. En revanche, il doit être réel et être personnellement subi : la simple constatation d’une violation du RGPD ne suffit pas.
En pratique : conservez tous les éléments permettant de démontrer la violation et ses conséquences : notification de l’organisme, courriels, captures d’écran, justificatifs de dépenses, démarches effectuées, plaintes, ou tout document permettant d’établie le préjudice subi.
- Un lien entre la violation et le préjudice
Excerpt from the official page. The original is authoritative. Continue reading at CNIL - Health Data ↗