Guides

Violation de données : que faire dans les 72 heures

Par Thiago de Jesus Freire, délégué à la protection des données externe, Hermetics

Mis à jour le 13 novembre 2026

Ce guide donne une information générale, à jour à la date indiquée ; il ne remplace pas l'examen de votre situation par votre délégué à la protection des données ou par votre conseil.

Une violation de données à caractère personnel se notifie à votre autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après que vous en avez pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. Si le risque est élevé, vous informez aussi les personnes concernées. Dans tous les cas, notifiée ou non, la violation est documentée en interne.

Ce qu'est une violation

Le RGPD appelle violation de données à caractère personnel une violation de la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération ou la divulgation non autorisée de données, ou un accès non autorisé à celles-ci (article 4, point 12)¹.

Les autorités européennes distinguent trois types de violation, qui peuvent se cumuler² :

• La confidentialité. Des données sont divulguées ou consultées sans autorisation. Exemple : un courriel avec un fichier de salariés part au mauvais destinataire.
• L'intégrité. Des données sont modifiées sans autorisation ou par accident.
• La disponibilité. Des données sont détruites, ou l'accès à ces données est perdu. Exemple : un fichier est supprimé par erreur, ou la clé qui permet de le déchiffrer est perdue.

Un rançongiciel touche la disponibilité. Même si une sauvegarde permet de tout restaurer, il y a eu intrusion : si l'attaquant a accédé aux données, c'est aussi une violation de la confidentialité (lignes directrices 9/2022, point 23)².

Quand le délai commence, et ce que valent les 72 heures

Le responsable du traitement, c'est-à-dire votre entreprise pour ses propres fichiers, notifie la violation dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33, paragraphe 1)¹. Le délai ne part donc pas du jour de l'incident, mais du moment où vous savez.

Selon le CEPD, vous avez pris connaissance lorsque vous êtes raisonnablement certain qu'un incident de sécurité s'est produit et qu'il a compromis des données à caractère personnel (point 31)². Après une simple alerte, une brève enquête est admise pour le vérifier. Elle doit commencer aussi vite que possible, et l'enquête détaillée vient ensuite (point 34)². Ne pas réagir à une alerte ne retarde rien : ce silence peut être traité comme un défaut de notification (point 40)².

Deux souplesses sont prévues par le texte :

• La notification tardive. Passé 72 heures, la notification reste due et s'accompagne des motifs du retard (article 33, paragraphe 1)¹.
• La notification échelonnée. Si vous n'avez pas toutes les informations, vous les communiquez en plusieurs fois, sans autre retard indu (article 33, paragraphe 4)¹.

Une proposition de règlement de la Commission européenne, du 19 novembre 2025, prévoit de réserver la notification aux violations à risque élevé et de porter le délai à 96 heures⁵. Elle n'est pas adoptée : la règle des 72 heures reste celle qui s'applique⁶.

Notifier ou non, informer les personnes ou non

Le critère est le risque pour les droits et libertés des personnes. Il y a trois niveaux.

• Risque improbable. Pas de notification (article 33, paragraphe 1)¹. La violation est tout de même documentée.
• Risque. Notification à l'autorité de contrôle.
• Risque élevé. Notification, et information des personnes concernées dans les meilleurs délais (article 34, paragraphe 1)¹.

Pour évaluer ce risque, le CEPD recommande de regarder le type de violation, la nature, la sensibilité et le volume des données, la facilité d'identifier les personnes, la gravité des conséquences pour elles, leurs caractéristiques (des enfants, par exemple), celles de votre organisme et le nombre de personnes touchées².

L'information des personnes décrit la nature de la violation en termes clairs et simples. Elle donne un point de contact, les conséquences probables et les mesures prises ou proposées (article 34, paragraphe 2)¹. Elle n'est pas exigée dans trois cas (article 34, paragraphe 3)¹ :

1. les données étaient protégées par une mesure qui les rend incompréhensibles pour qui n'y est pas autorisé, comme le chiffrement ;
2. vous avez pris, après la violation, des mesures qui garantissent que le risque élevé n'est plus susceptible de se matérialiser ;
3. informer chacun exigerait des efforts disproportionnés. Une communication publique, ou une mesure aussi efficace, la remplace alors.

Ce que contient la notification

L'article 33, paragraphe 3, fixe un minimum de quatre éléments¹ :

1. la nature de la violation, avec, si possible, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
2. le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact ;
3. les conséquences probables de la violation ;
4. les mesures prises ou envisagées pour y remédier et en atténuer les effets.

La notification se fait en ligne, par le service de votre autorité : un téléservice réservé aux responsables du traitement (exemple : CNIL, page citée)³ ou un formulaire dédié (exemple : CNPD, page citée)⁴.

Si l'incident vient d'un sous-traitant

Le sous-traitant (votre éditeur de paie, votre hébergeur, votre prestataire informatique) vous notifie toute violation dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2)¹. Il n'a pas à évaluer le risque avant de vous prévenir : cette évaluation vous revient. Vous êtes en principe considéré comme ayant pris connaissance dès qu'il vous a informé (lignes directrices 9/2022, point 44)². Vos 72 heures partent donc, en principe, de son message.

Le registre interne : toutes les violations, notifiées ou non

Vous documentez chaque violation : les faits, ses effets et les mesures prises pour y remédier. Cette documentation permet à l'autorité de contrôle de vérifier que vous avez respecté l'article 33 (paragraphe 5)¹. Le CEPD recommande d'y consigner aussi votre raisonnement, surtout lorsque vous décidez de ne pas notifier, et les raisons d'un éventuel retard (points 125 et 126)².

À quelle autorité notifier

La notification va à l'autorité de contrôle compétente (article 33, paragraphe 1), chaque autorité étant compétente sur le territoire de son État membre (article 55)¹. Pour un traitement transfrontalier, votre seul interlocuteur est l'autorité chef de file, celle de votre établissement principal ou unique (article 56, paragraphes 1 et 6)¹. En cas de doute, informez au moins l'autorité du lieu où la violation s'est produite (lignes directrices 9/2022, point 69)².

Les 72 premières heures, heure par heure

Ce calendrier est notre méthode de praticiens. Seules les échéances légales viennent du texte. L'heure zéro est celle où vous prenez connaissance de la violation.

Les erreurs fréquentes

• Attendre de tout savoir. La notification échelonnée existe pour cela.
• Confondre les deux seuils. Un risque suffit pour notifier l'autorité. Il faut un risque élevé pour informer les personnes.

Les manquements aux obligations des articles 25 à 39, dont les articles 33 et 34, sont passibles d'une amende pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83, paragraphe 4)¹.