Chapitre 2 Obligations du responsable du traitement

Le responsable du traitement communique aux personnes concernées les informations sur la collecte de données personnelles de manière concise, transparente, compréhensible et facilement accessible.

Le responsable du traitement conserve l’analyse d’impact relative à la protection des données personnelles pendant au moins deux ans après la fin du traitement des données.

¹L’annonce au PFPDT d’une violation de la sécurité des données comprend les informations suivantes:

a.

la nature de la violation;

b.

dans la mesure du possible, le moment et la durée;

c.

dans la mesure du possible, les catégories et le nombre approximatif de données personnelles concernées;

d.

dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées;

e.

les conséquences, y compris les risques éventuels, pour les personnes concernées;

f.

les mesures prises ou prévues pour remédier à cette défaillance et atténuer les conséquences, y compris les risques éventuels;

g.

le nom et les coordonnées d’une personne de contact.

²Si le responsable du traitement n’est pas en mesure d’annoncer simultanément toutes les informations, il fournit les informations manquantes dans les meilleurs délais.

³Si le responsable du traitement est tenu d’informer la personne concernée, il lui communique, dans un langage simple et compréhensible, au moins les informations visées à l’al. 1, let. a et e à g.

⁴Le responsable du traitement documente les violations. La documentation contient les faits relatifs aux incidents, à leurs effets et aux mesures prises. Elle est conservée pendant au moins deux ans à compter de la date d’annonce au sens de l’al. 1.