Le RGPD pour les organismes de formation utilisateurs de Digiforma

Quelle est la procédure en cas de violation des données ?

Les organismes qui traitent des données personnelles (responsable du traitement ou sous-traitant) doivent prévoir et mettre en place des procédures globales en matière de violation de données personnelles. 

Ces procédures doivent concerner l’ensemble du processus : la mise en place de mesures visant à détecter immédiatement une violation, à l’endiguer rapidement, à analyser les risques engendrés par l’incident et à déterminer s’il convient de notifier l’autorité de contrôle, voire les personnes concernées. Ces procédures participent ainsi à la documentation de la conformité au RGPD.

Toutes les violations ne doivent pas nécessairement être notifiées à l’autorité de contrôle ou aux personnes concernées. Lorsqu’elle est nécessaire, cette information des personnes concernées doit en revanche être la priorité du responsable du traitement, car cela leur permet de prendre des mesures destinées à les protéger de ces risques.

L’obligation de notifier dépend du risque que la violation de données personnelles fait peser sur les droits et libertés des individus dont les données ont été impactées :

Si la violation n’entraîne pas de risque pour les droits et libertés des personnes concernées, le responsable du traitement :

• Doit documenter, en interne sous forme d’un registre, la violation qui vient de se produire ;
• Ne doit pas notifier cette violation ni à la CNIL, qui peut en revanche contrôler cette documentation interne, ni aux personnes concernées.

   

   

Si la violation entraîne un risque pour les droits et libertés des personnes concernées, le responsable du traitement :

• Doit documenter, en interne sous forme d’un registre, la violation qui vient de se produire ;
• Doit notifier cette violation à la CNIL, au plus tôt et dans un délai maximal de 72h.

   

   

Si la violation entraîne un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement :  

• Doit documenter, en interne sous forme d’un registre, la violation qui vient de se produire ;
• Doit notifier cette violation à la CNIL, au plus tôt et dans un délai maximal de 72h ;
• Doit communiquer la violation aux personnes concernées, au plus tôt

Quelles est la procédure en cas de demande d’exercice de droit RGPD d’un stagiaire ?

Un stagiaire comme toute personne concernée par le traitement de ses données personnelles bénéficie de droits (droit d’accès, de rectification, d’introduire une réclamation auprès de la CNIL, et sous conditions, le droit d’effacement, de limitation, d’opposition, de retirer son consentement et de s’opposer au traitement de ses données à des fins de marketing). 

Pour exercer ces droits, il convient d’adresser une demande écrite avec les informations nécessaires (coordonnées complètes et copie du titre d’identité) par courrier postal ou e-mail. 

Le responsable de traitement dispose d’un délai de réponse d’un mois. Si pour une raison quelconque il ne peut pas faire suite à une demande, il doit expliquer à la personne concernée pourquoi sa demande a été rejetée.