Notifier une violation de données : le délai de 72 heures de l'art. 33 du RGPD

Le compte à rebours de 72 heures pour une violation de données ne démarre pas à l'attaque, mais à la détection : une attaque le lundi, découverte le jeudi, ne fait courir le délai qu'à partir du jeudi. Selon l'art. 33 du RGPD, vous devez notifier une violation de la protection des données à caractère personnel à l'autorité de contrôle compétente sans retard et, si possible, dans les 72 heures après en avoir pris connaissance, sauf s'il est improbable qu'elle engendre un risque pour les personnes concernées.

Par la rédaction de Provimedia · Version : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Quand une violation de données doit-elle être notifiée ?

Une violation de données doit être notifiée lorsqu'elle est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. La notification n'est supprimée que s'il est improbable qu'il y ait un risque, et c'est à vous d'en apporter la preuve (art. 33, par. 1, du RGPD).

L'art. 4, point 12, du RGPD définit la violation de la protection des données à caractère personnel comme la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à celles-ci. Cela va de l'ordinateur portable professionnel perdu à l'accès par hameçonnage à une boîte de messagerie, en passant par la liste de candidats envoyée par erreur.

Si les données concernées étaient chiffrées de manière efficace et que la clé est restée sous votre contrôle, il n'y a souvent pas de risque ; cela doit toutefois être examiné et documenté au cas par cas, et non présumé de manière générale. Pour vous, cela signifie : examinez chaque incident individuellement au lieu d'exclure trop vite une notification.

Quand le délai de 72 heures commence-t-il ?

Le délai commence à la prise de connaissance, et non à l'incident. Une violation de données n'est connue du responsable du traitement que lorsqu'une personne compétente sait avec un degré de certitude suffisant qu'un événement soumis à notification s'est produit ; un vague soupçon ne suffit pas.

C'est précisément là que se situe le goulet d'étranglement décisif : si une anomalie reste plusieurs jours inaperçue dans une boîte de messagerie ou sur un bureau, un temps précieux s'écoule, avant même que le compte à rebours ne démarre.

Selon l'art. 33, par. 5, du RGPD, vous devez de toute façon documenter chaque violation, y compris les faits, les effets et les mesures prises, un élément de l'obligation de rendre compte au titre du RGPD en général. Pour vous, cela signifie : plus un incident est vite reconnu en interne comme une violation de données, plus il reste de marge dans les 72 heures.

Que doit contenir la notification à l'autorité de contrôle ?

La notification au titre de l'art. 33, par. 3, du RGPD doit contenir au moins quatre éléments :

1. une description de la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées ainsi que de fichiers concernés ;
2. le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact ;
3. une description des conséquences probables de la violation ;
4. une description des mesures prises ou proposées pour remédier à la violation et en atténuer les effets.

Si toutes les informations ne sont pas encore disponibles au moment de la notification, l'art. 33, par. 4, du RGPD autorise leur communication échelonnée, sans autre retard indu.

L'autorité compétente est celle sur le territoire de laquelle se trouve votre établissement principal, ou celle qui est compétente pour le cas concret en vertu de l'art. 55 du RGPD ; en Allemagne, il s'agit, selon le Land, de l'autorité régionale de protection des données concernée, le plus souvent via un portail de notification en ligne. Pour vous, cela signifie : n'attendez pas que les quatre points soient complets pour notifier : notifiez dans les délais et complétez ensuite.

Quand les personnes concernées doivent-elles être informées ?

Vous ne devez informer les personnes concernées qu'en cas de risque élevé, un seuil plus haut que pour l'obligation de notification à l'autorité (art. 34, par. 1, du RGPD). L'information doit être faite sans retard, dans des termes clairs et simples, et contenir les mêmes éléments essentiels que la notification à l'autorité.

L'art. 34, par. 3, du RGPD prévoit trois exceptions dans lesquelles l'information individuelle n'est pas requise :

• des mesures techniques de protection appropriées, comme le chiffrement, ont rendu les données incompréhensibles pour toute personne non autorisée ;
• des mesures ultérieures ont écarté le risque élevé ;
• l'information individuelle exigerait des efforts disproportionnés : une communication publique ou une mesure similaire suffit alors.

Pour vous, cela signifie : examinez deux fois le seuil de risque pour chaque violation de données, une fois pour l'autorité, une fois pour les personnes concernées.

Que se passe-t-il en cas de notification tardive ?

Si le délai de 72 heures est dépassé, l'art. 33, par. 1, deuxième phrase, du RGPD exige de joindre à la notification les motifs du retard. Une notification tardive mais motivée est donc expressément prévue : ce n'est pas un manquement automatique.

Si en revanche la notification est totalement omise ou si le retard n'est pas expliqué de façon plausible, l'autorité de contrôle peut infliger une amende au titre de l'art. 83, par. 4, du RGPD : jusqu'à 10 millions d'euros ou, pour une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu.

S'y ajoutent la charge d'un contrôle par l'autorité et la perte de confiance des clients et des collaborateurs. Pour vous, cela signifie : une notification tardive mais motivée vous protège mieux qu'aucune notification.

Pourquoi des collaborateurs formés sont-ils le facteur décisif ?

Des collaborateurs formés sont le facteur décisif, car le délai de 72 heures ne commence à courir que lorsqu'une personne dans l'entreprise reconnaît la violation de données comme telle et la signale en interne. Sans cette première étape, le délai ne peut même pas être respecté.

En pratique, l'obligation de notification échoue plus rarement sur la rédaction du texte de la notification : elle échoue parce qu'un comportement suspect n'est pas perçu comme un incident soumis à notification : une connexion inhabituelle, un e-mail mal adressé, une clé USB oubliée.

Les collaborateurs qui connaissent la définition d'une violation de données et savent à qui s'adresser immédiatement en interne raccourcissent précisément l'intervalle entre l'incident et la prise de connaissance, qui est celui qui compte juridiquement. Pour vous, cela signifie : un circuit de signalement interne clair n'est pas un détail administratif, mais la condition pour que le délai de 72 heures puisse seulement être respecté.

Que devriez-vous préparer dès aujourd'hui ?

Le délai de 72 heures ne s'improvise pas en situation de crise : il doit être préparé avant que quoi que ce soit ne se produise. Quatre étapes en posent les bases :

1. Définir le circuit de signalement interne : qui signale un soupçon, à qui, et dans quel délai le signalement interne doit-il avoir lieu ?
2. Mettre en favori le portail de notification de l'autorité régionale compétente, afin que personne n'ait à le chercher le moment venu.
3. Enregistrer de manière centralisée les coordonnées du délégué à la protection des données et les rendre accessibles à tous les collaborateurs.
4. Créer un modèle de documentation conforme à l'art. 33, par. 5, du RGPD, afin que les faits, les effets et les mesures soient consignés dès la première minute.

Pour vous, cela signifie : quiconque a préparé ces quatre points ne perd pas de temps en organisation en situation de crise et peut se concentrer sur la détection et la notification.

Questions fréquentes (FAQ)

Les week-ends et jours fériés comptent-ils dans les 72 heures ?

Oui. Le délai court en heures, non en jours ouvrés : un week-end ou un jour férié ne l'interrompt pas. Si la notification s'en trouve retardée, vous devriez joindre une brève justification (art. 33, par. 1, du RGPD).

Qui est tenu d'effectuer la notification ?

C'est vous, en tant que responsable du traitement, donc en général votre entreprise elle-même, qui êtes tenu de notifier à l'autorité de contrôle. Un sous-traitant qui constate une violation chez lui doit vous en informer sans retard en vertu de l'art. 33, par. 2, du RGPD, afin que vous puissiez notifier dans les délais.

Puis-je compléter une notification après coup ?

Oui. L'art. 33, par. 4, du RGPD autorise une information échelonnée lorsque toutes les informations ne sont pas encore disponibles au moment de la notification. Notifiez d'abord dans les délais et transmettez les informations manquantes sans retard indu.

Dois-je aussi notifier lorsque seules des données de collaborateurs sont concernées ?

Oui. Les données des salariés sont des données à caractère personnel au sens du RGPD, soumises à la même obligation de notification que les données de clients ou de prospects. Même une violation de données interne, par exemple une liste de salaires transmise à tort, doit être examinée au regard des quatre critères de l'art. 33, par. 3, du RGPD.

Savoir si une notification est possible dans les délais ne se décide pas sur le formulaire de notification, mais sur la capacité de réaction du personnel : seule une personne qui reconnaît une violation de données comme telle et sait où la signaler en interne déclenche le délai de 72 heures. C'est précisément cette détection et ce signalement que la formation de base au RGPD de Provimedia enseigne de manière pratique, avec un certificat de participation comme preuve pour les collaborateurs et l'entreprise.

Sources

• Règlement (UE) 2016/679 (RGPD), art. 4, point 12, art. 33, art. 34, art. 55, art. 83 – EUR-Lex
• Obligation de notification pour les responsables du traitement – violations de la protection des données à caractère personnel, LDI NRW