Violation de données : le délai de 72 heures expliqué
Une violation de données doit être notifiée à la CNPD (Commission nationale pour la protection des données) au plus tard 72 heures après que vous en avez pris connaissance. Le délai court dès que vous avez une certitude raisonnable que des données personnelles ont été compromises, pas à la fin de l’enquête. Les week-ends et jours fériés comptent. Et 72 heures est un plafond, pas un objectif.
Que dit exactement la règle des 72 heures ?
La règle figure à l’article 33 du RGPD (règlement général sur la protection des données). Le responsable du traitement notifie la violation à l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Le responsable du traitement est l’entreprise qui décide pourquoi et comment les données sont traitées. Au Luxembourg, l’autorité de contrôle est la CNPD.
Une violation de données est un incident de sécurité qui entraîne la perte, la destruction, la modification, la divulgation ou l’accès non autorisé à des données personnelles. Un ordinateur portable volé, un rançongiciel, un e-mail envoyé au mauvais destinataire avec une liste de clients : tous peuvent en être.
Trois éléments du texte changent tout en pratique :
- 72 heures est un maximum : si vous pouvez notifier en 24 heures, attendre la 71e heure n’est pas conforme au texte ;
- « si possible » : le dépassement est admis quand il est réellement inévitable ;
- les motifs du retard : une notification tardive doit expliquer pourquoi elle arrive après 72 heures.
À partir de quand le délai de 72 heures commence-t-il à courir ?
Le délai commence au moment où vous avez une certitude raisonnable qu’un incident de sécurité a compromis des données personnelles. C’est la lecture retenue par le CEPD (Comité européen de la protection des données), qui réunit les autorités de protection des données de l’Union. Une simple alerte ne déclenche pas encore le compteur. Mais l’incident découvert et confirmé, si.
Vous disposez d’une courte période d’enquête pour vérifier si une violation a bien eu lieu. Elle doit commencer immédiatement et, selon le CEPD, ne durer plus longtemps qu’à titre exceptionnel. Laisser une alerte sans suite pendant une semaine ne repousse pas le point de départ : cela peut être reproché comme un défaut de notification.
Quelques situations typiques :
| Situation | Moment de la prise de connaissance |
|---|---|
| Une clé USB non chiffrée contenant des fiches clients est perdue | Dès que la perte est constatée, même si personne ne sait qui l’a trouvée |
| Un client vous signale avoir reçu les données d’un autre client, preuve à l’appui | Immédiatement |
| Un pirate vous réclame une rançon | Dès que vous avez vérifié que vos systèmes ont bien été attaqués |
| Votre outil de supervision signale une connexion suspecte | Quand la vérification confirme un accès à des données personnelles |
Comment compter les 72 heures, week-end compris ?
Les 72 heures se comptent en heures calendaires, de date à date et d’heure à heure. Les samedis, dimanches et jours fériés sont inclus, et le délai n’est pas prolongé jusqu’au jour ouvrable suivant. Le droit de l’Union fixe ces règles de calcul dans le règlement (CEE, Euratom) n° 1182/71 sur les délais, auquel renvoie le CEPD.
| Prise de connaissance | Limite à retenir |
|---|---|
| Lundi à 9 h 15 | Jeudi à 9 h 15 |
| Vendredi à 16 h 30 | Lundi à 16 h 30 |
| Samedi à 23 h (alerte de nuit) | Mardi à 23 h |
Le mode de calcul européen laisse en réalité quelques minutes de plus. Ne comptez pas dessus. Une violation découverte le vendredi soir se notifie pendant le week-end ou le lundi matin, pas le lundi soir.
Que faire si votre sous-traitant découvre la violation ?
Votre sous-traitant doit vous prévenir sans attendre, et votre propre délai de 72 heures commence en principe quand il vous informe. Un sous-traitant est le prestataire qui traite des données pour votre compte : hébergeur, éditeur d’un logiciel en ligne, prestataire de paie, centre d’appels.
Le RGPD ne fixe aucun délai chiffré au sous-traitant. Il n’a pas non plus à évaluer le risque : il constate la violation et vous la signale. L’évaluation et la décision de notifier restent les vôtres, tout comme la responsabilité juridique.
La conséquence pratique se joue dans le contrat. L’article 28 du RGPD impose que le contrat de sous-traitance prévoie l’assistance du prestataire en cas de violation. Nous recommandons d’y fixer un délai court et précis d’information (par exemple 24 heures), une liste des informations à transmettre et un interlocuteur joignable.
Que faire si vous n’avez pas toutes les informations dans les 72 heures ?
Notifiez quand même, puis complétez. Le RGPD autorise une notification en plusieurs temps lorsque toutes les informations ne sont pas disponibles en même temps.
La notification doit au minimum contenir :
- la nature de la violation, avec si possible les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
- le nom et les coordonnées du DPO (délégué à la protection des données) ou d’un autre point de contact ;
- les conséquences probables de la violation ;
- les mesures prises ou envisagées pour y remédier et en limiter les effets.
Des estimations suffisent au départ. Indiquez à la CNPD que la notification est provisoire et que des compléments suivront. Si l’enquête montre qu’il n’y a pas eu de violation, vous mettez à jour la notification. Le CEPD précise qu’aucune sanction n’est attachée à ce type de signalement.
La CNPD met à disposition un formulaire de notification sur son site internet [À VÉRIFIER : modalités actuelles et lien direct du formulaire]. Pour le détail des démarches, lisez aussi notre guide pratique sur la violation de données.
Que risquez-vous en notifiant après 72 heures ?
Une notification tardive n’est pas automatiquement fautive si elle est justifiée et accompagnée des motifs du retard. Le CEPD cite une série de violations similaires détectées en peu de temps et regroupées en une seule notification. Un retard dû à un défaut d’organisation interne sera beaucoup plus difficile à défendre.
Un manquement à l’obligation de notifier peut coûter jusqu’à 10 M€ ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83 du RGPD). Pour une PME, le risque le plus fréquent est pourtant commercial. Un client apprend l’incident par un tiers. Un contrat impose sa propre obligation d’information. La confiance se rattrape mal.
Faut-il notifier toutes les violations dans les 72 heures ?
Non. La notification n’est pas due si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Exemple typique : un ordinateur perdu dont le disque est chiffré selon l’état de l’art, la clé de chiffrement restant en sécurité.
Deux obligations demeurent dans tous les cas :
- documenter toute violation, notifiée ou non, dans un registre interne : faits, effets et mesures prises (article 33, paragraphe 5, du RGPD). C’est ce registre que la CNPD demandera en cas de contrôle ;
- informer les personnes concernées lorsque la violation présente un risque élevé pour elles (article 34 du RGPD). Cette information n’est pas soumise au délai de 72 heures, mais doit intervenir rapidement, parfois avant la notification à la CNPD.
En cas de doute sur le niveau de risque, notifiez. Une notification inutile coûte quelques heures. Une absence de notification injustifiée coûte bien davantage.
Quelles sont les étapes des 72 premières heures ?
Tenir le délai repose sur une séquence simple, à connaître avant l’incident :
- Noter l’heure zéro : date, heure et circonstances de la prise de connaissance, et qui a été prévenu.
- Contenir l’incident : couper un accès, changer des mots de passe, isoler un poste, demander au destinataire d’un e-mail erroné de le supprimer.
- Établir les faits : quelles données, combien de personnes, quel type d’atteinte (fuite, perte, modification, indisponibilité).
- Évaluer le risque pour les personnes : nature des données (santé, données bancaires, pièces d’identité), facilité d’identification, conséquences possibles.
- Notifier la CNPD si le risque n’est pas improbable, même avec des informations incomplètes.
- Décider de l’information des personnes si le risque est élevé.
- Consigner l’ensemble dans le registre des violations.
Ce qui se prépare à froid fait gagner des heures à chaud. Une procédure interne d’une page, la liste des personnes à appeler et un registre des violations déjà ouvert suffisent souvent.
Questions fréquentes
Le délai de 72 heures est-il suspendu pendant les congés de l’entreprise ?
Non. Le délai court pendant les week-ends, les jours fériés et les fermetures annuelles. Prévoyez une personne joignable et autorisée à déclencher la procédure pendant ces périodes.
Une entreprise sans DPO doit-elle notifier ?
Oui. L’obligation pèse sur le responsable du traitement, qu’il ait désigné un DPO ou non. La notification indique alors un autre point de contact, par exemple le dirigeant ou le responsable administratif.
Existe-t-il d’autres délais que celui du RGPD ?
Oui, selon le secteur. La directive NIS2 prévoit une alerte précoce sous 24 heures pour certains incidents de cybersécurité, et les fournisseurs de communications électroniques ont leur propre régime [À VÉRIFIER : règles luxembourgeoises de transposition et autorités compétentes]. Vos contrats clients peuvent aussi imposer un délai d’information.
Préparez vos 72 heures avant d’en avoir besoin
Le délai de 72 heures se perd rarement par mauvaise volonté. Il se perd parce que personne ne sait qui décide et qui remplit le formulaire. Vérifiez cette semaine votre procédure interne, vos contrats de sous-traitance et votre registre des violations.
Vous faites face à un incident maintenant ? Appelez-nous immédiatement au +352 27 72 83 01. Pour vous préparer, notre auto-diagnostic RGPD gratuit vous donne une première réponse en 10 questions et 5 minutes. Avec l’abonnement juridique, la gestion des violations de données est incluse, avec une réponse sous 24 heures ouvrées. Et si la CNPD ouvre un contrôle, nos avocats à la Cour qui connaissent votre dossier vous assistent face à l’autorité, puis devant le juge si nécessaire.
Cet article donne une information générale à la date de sa publication. Il ne remplace pas un conseil adapté à votre situation.
