Mettre en place un processus en cas de violation de données : notification RGPD sous 72 heures

Lorsque des données à caractère personnel sont perdues, volées ou divulguées par erreur dans votre entreprise, un compte à rebours démarre dès que vous en avez connaissance : le RGPD exige une notification à l'autorité de contrôle compétente dans un délai de 72 heures. Sans processus préparé et responsabilités clairement définies, ce délai est difficilement tenable en pratique, car l'évaluation des risques, la documentation et la notification doivent converger en très peu de temps.

En bref : En cas de violation de la protection de données à caractère personnel présentant un risque pour les personnes concernées, vous devez informer l'autorité de contrôle dans les 72 heures selon les art. 33/34 RGPD ; en cas de risque élevé, les personnes concernées doivent en outre être avisées. Toute entreprise qui traite des données à caractère personnel est concernée – sans processus préparé, une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel est encourue.

Qui est concerné ?

L'obligation de notifier les violations de données concerne en principe toute entreprise qui traite des données à caractère personnel, quels que soient le secteur ou la taille. Cela va de l'entrepreneur individuel disposant d'un fichier clients à l'entreprise qui conserve les données de ses salariés au service du personnel, en passant par la boutique en ligne et ses données de commande. Quiconque recourt à des prestataires tels que des fournisseurs de cloud ou des prestataires informatiques externes reste responsable au regard de la protection des données et devrait obtenir d'eux par contrat l'assurance d'être informé sans délai en cas d'incident. Dès qu'une violation de la protection de données à caractère personnel survient et qu'un risque en résulte pour les personnes concernées, les art. 33/34 RGPD s'appliquent – que l'incident ait été provoqué par une cyberattaque, un ordinateur portable perdu ou un e-mail envoyé par erreur. Quelles obligations valent concrètement pour votre entreprise, un outil comme Company Audit vous le montre.

Que devez-vous concrètement faire ?

Un processus opérationnel pour le cas grave se compose de quelques éléments peu nombreux mais clairement définis. Préparez-les avant qu'un incident ne survienne – dans le cas grave, il n'y a plus de temps pour cela, car le compte à rebours court dès que quelqu'un dans l'entreprise apprend la panne :

1. Définir la voie de signalement interne : qui doit être informé immédiatement en cas d'incident de sécurité ?
2. Préparer une liste de contrôle pour l'évaluation des risques (quelles données, combien de personnes concernées, quel risque).
3. Tenir à disposition un modèle de notification à l'autorité de contrôle.
4. Préparer un modèle d'information des personnes concernées en cas de risque élevé.
5. Documenter les incidents et les décisions de notification – même si, au final, aucune notification n'est faite.

Déterminez en outre qui coordonne le processus en cas d'incident – en règle générale la direction avec un éventuel délégué à la protection des données désigné. Plus les responsabilités sont réparties clairement à l'avance, moins on perd de temps dans les premières heures qui suivent la découverte d'un incident.

Jusqu'à quand et à quelle fréquence devez-vous notifier ?

Le délai est de 72 heures à compter de la connaissance de la violation de données – et il s'agit de 72 heures calendaires, non de jours ouvrables. Un incident survenu le vendredi après-midi ne vous laisse donc pas jusqu'au lundi : le délai continue de courir tout le week-end. Est déterminant le moment où l'entreprise a une certitude suffisante sur l'incident – et non l'achèvement d'une enquête interne complète. Il n'existe pas de répétition fixe comme pour d'autres obligations : l'obligation de notifier naît ponctuellement, dès qu'une violation de données présentant un risque pour les personnes concernées survient réellement. C'est précisément pour cela que le processus doit être opérationnel en permanence et non réfléchi une seule fois par an.

Que risquez-vous en cas d'infraction ?

Si le délai de notification n'est pas respecté ou si la notification est totalement omise, des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel sont encourues. Le montant infligé dans un cas particulier dépend de la gravité et des circonstances de l'infraction. Outre le risque d'amende, les violations de données rendues publiques sans processus solide entraînent en outre une perte de confiance auprès des clients et des partenaires commerciaux ainsi qu'un travail considérable en raison des demandes des autorités. Un processus documenté, consultable à tout moment, n'est donc pas une simple formalité, mais la protection la plus efficace contre une notification tardive ou manquante.

Questions fréquentes

Qu'est-ce qui constitue une violation de données à notifier ?

Est à notifier toute violation de la protection de données à caractère personnel qui comporte un risque pour les droits et libertés des personnes concernées – par exemple la perte, le vol ou la divulgation non autorisée de données de clients ou de salariés. L'existence d'un risque est déterminée par la liste de contrôle d'évaluation des risques établie au préalable.

Dois-je notifier chaque incident à l'autorité de contrôle ?

Non, seuls les incidents présentant un risque pour les personnes concernées doivent être notifiés selon les art. 33/34 RGPD. Vous devriez toutefois documenter en interne aussi les incidents non soumis à notification, afin de pouvoir le prouver en cas de doute.

Quelle est la différence entre notification et information des personnes concernées ?

La notification selon l'art. 33 RGPD s'adresse à l'autorité de contrôle et est due dès qu'il existe un risque. L'information selon l'art. 34 RGPD s'adresse en outre aux personnes concernées elles-mêmes et ne devient nécessaire qu'en cas de risque élevé.

Les week-ends comptent-ils dans le délai de 72 heures ?

Oui. Les 72 heures sont des heures calendaires, non des jours ouvrables. Le délai court donc sans interruption aussi les week-ends et jours fériés – un incident survenu le vendredi peut ainsi devoir être notifié dès le dimanche.

Que devrais-je préparer avant qu'un incident ne survienne ?

Définissez à l'avance une voie de signalement interne, une liste de contrôle pour l'évaluation des risques ainsi que des modèles de notification et d'information, et documentez chaque incident – même s'il n'est finalement pas soumis à notification. Ainsi, vous ne perdez pas de temps dans le cas grave à chercher des responsables ou des formulations.

Source : art. 33/34 RGPD. Cet article est une information générale et ne remplace pas un conseil juridique pour un cas particulier. État : juillet 2026.