RGPD Article 34 (Notification aux personnes concernées)

L'Article 34 du RGPD impose au responsable du traitement de notifier individuellement les personnes concernées en cas de violation de données présentant un risque élevé pour leurs droits et libertés. EXEMPTION CRITIQUE : la notification n'est pas requise si "le responsable du traitement a mis en œuvre les mesures techniques et organisationnelles appropriées de protection (...) telles que le chiffrement, qui rendent les données personnelles incompréhensibles à toute personne qui n'est pas autorisée". C'est l'argument-clé pour MAFATE : chiffrer permet d'éviter le scandale médiatique d'une notification de masse. Ce que l'article permet d'éviter, et à quelles conditions exactes : en cas de violation présentant un risque élevé, l'information de chaque personne concernée devient obligatoire, avec le coût de réputation qui l'accompagne. Le paragraphe 3 prévoit une exemption si les données étaient protégées par des mesures rendant leur exploitation impossible, le chiffrement étant l'exemple cité. C'est le seul endroit du règlement où une mesure technique se traduit directement en obligation évitée. La condition est plus stricte qu'on ne le lit généralement. Il ne suffit pas que les données aient été chiffrées : il faut que les clés n'aient pas été compromises, et pouvoir le démontrer. Un chiffrement dont la clé se trouve sur le même serveur que la donnée ne survit pas à cette analyse, puisqu'un attaquant qui a pris le serveur a pris les deux. C'est ce qui fait de la séparation des clés un argument juridique autant que technique. La notification à l'autorité de contrôle, elle, reste due dans les soixante-douze heures : l'article 34 ne dispense que de l'information aux personnes. Confondre les deux est l'erreur la plus fréquente, et la plus coûteuse.