Sous-traitant de données à caractère personnel... qui contacter en cas de violation ?

Question :

Je suis sous-traitant et les données personnelles qui m’ont été confiées ont été exposées. Qui dois-je informer ?

Propositions

Réponse 1 : Le responsable de traitement et la Cnil : FAUX

Réponse 2 : Le responsable de traitement et les personnes concernées : FAUX

Réponse 3 : Seulement le responsable de traitement, mon donneur d’ordre : VRAI

Réponse 4 : Je préfère n’informer personne : FAUX

Justification :

Art 33-2 Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

Les données ont été confiées au responsable de traitement par la personne concernée, c’est donc lui qui doit, avec l’aide de son sous-traitant :

analyser cette violation,
étudier le risque qu’elle fait courir éventuellement à la personne concernée (ou plusieurs) ,
informer la CNIL le cas échéant
communiquer avec la personne (ou les personnes) sur les effets / impacts potentiels ou réels de la violation
prendre les mesures nécessaires pour atténuer le risque futur ou diminuer l’impact présent.

Le sous-traitant doit aider son responsable de traitement dans cette analyse de la violation qu’elle soit avérée ou juste potentielle.