Art. 34 Communication à la personne concernée d'une violation de données à caractère personnel | GDPR regulation | GDPR

This article deals with the obligation to notify data subjects directly when a personal data breach poses a high risk to their rights and freedoms.

It sits alongside Article 33, which covers notification to supervisory authorities, but this article focuses on the individual — ensuring that the people most affected are informed in clear and plain language.

Crucially, the article also sets out specific circumstances under which this direct communication is not required, such as where protective measures like encryption were already in place, or where the risk has since been eliminated.

Important points:

Controllers must communicate a personal data breach directly to affected data subjects without undue delay when a high risk to their rights and freedoms is likely.
The obligation to notify data subjects can be waived if the data was rendered unintelligible through measures such as encryption, if the risk is no longer likely to materialise, or if the effort involved would be disproportionate — in which case a public communication must be used instead.
Supervisory authorities have the power to require the controller to carry out the communication, or to determine that one of the exemption conditions is met.

1. Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.
1. La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d).
1. La communication à la personne concernée visée au paragraphe 1 n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie:
  1. le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement;
  2. le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 n'est plus susceptible de se matérialiser;
  3. elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace.
1. Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation de données à caractère personnel est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie.

Article 34 Communication à la personne concernée d'une violation de données à caractère personnel

Relevant recitals