Respectez le délai RGPD de 72 heures, même à travers plus de 50 filiales

Points clés

Les articles 33 et 34 du RGPD imposent des obligations strictes de notification des violations aux responsables du traitement : notifier l'autorité de contrôle dans les 72 heures et informer les personnes concernées sans retard injustifié en cas de risque élevé. Les organisations multi-entités font face à des défis démultipliés — connaissance fragmentée, registres des traitements obsolètes, confusion de juridiction et lacunes de notification du sous-traitant. Une plateforme GRC centralisée et hébergée en Suisse comme Priverion aide à unifier la réception des incidents, à automatiser l'escalade et à maintenir des registres de violations prêts pour l'audit dans toutes les filiales.

Définitions

Qu'est-ce qu'une violation de données à caractère personnel selon le RGPD ?

La violation de données à caractère personnel est définie à l'article 4(12) du RGPD comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ». Cette définition couvre les atteintes à la confidentialité, à l'intégrité et à la disponibilité. Source : article 4(12) du RGPD

Qu'est-ce que l'obligation de notification dans les 72 heures ?

La notification dans les 72 heures désigne l'exigence prévue à l'article 33(1) du RGPD selon laquelle les responsables du traitement doivent notifier à l'autorité de contrôle compétente « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » une violation de données à caractère personnel, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification n'a pas lieu dans les 72 heures, elle doit être accompagnée des motifs du retard. Source : article 33 du RGPD

Qu'est-ce qu'une analyse d'impact relative à la protection des données (AIPD) ?

Une analyse d'impact relative à la protection des données est un processus requis par l'article 35 du RGPD pour les opérations de traitement « susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Les AIPD constituent une base de référence de risque préexistante essentielle lors de l'évaluation de la gravité d'une violation au titre de l'article 34. Source : article 35 du RGPD

Qu'est-ce qu'un registre des activités de traitement (ROPA) ?

Un registre des activités de traitement est la documentation requise par l'article 30 du RGPD qui décrit chaque activité de traitement, ses finalités, les catégories de personnes concernées et de données à caractère personnel, les destinataires, les transferts et les durées de conservation. Un registre des traitements à jour est essentiel pour une évaluation exacte de l'impact d'une violation. Source : article 30 du RGPD

Statistiques et sources de référence

Selon les lignes directrices 9/2022 du CEPD sur la notification des violations de données à caractère personnel, le compte à rebours de 72 heures démarre au moment où le responsable du traitement a un « degré de certitude raisonnable » qu'un incident de sécurité a compromis des données à caractère personnel (Lignes directrices 9/2022 du CEPD). Le CEPD souligne que la prise de connaissance par toute entité au sein d'un groupe d'entreprises peut déclencher le compte à rebours pour l'ensemble du groupe.

Le rapport ENISA Threat Landscape 2023 a constaté que les rançongiciels et les violations de données restent parmi les principales menaces pour les organisations de l'UE, les secteurs de la santé, de l'administration publique et de l'infrastructure numérique étant les plus fréquemment ciblés (ENISA Threat Landscape 2023).

En vertu de l'article 83(4)(a) du RGPD, les manquements aux obligations de notification des violations peuvent entraîner des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (Article 83 du RGPD).

Le rapport IAPP-EY Privacy Governance 2023 a constaté que l'organisation moyenne emploie 5,2 collaborateurs à temps plein dédiés à la protection des données, mais que les groupes multi-entités manquent souvent d'une coordination centralisée des violations — une lacune qui contribue directement aux retards de notification (Rapport IAPP-EY 2023).

Foire aux questions

Qu'est-ce que l'exigence RGPD de notification de violation dans les 72 heures ?

En vertu de l'article 33 du RGPD, les responsables du traitement doivent notifier à l'autorité de contrôle compétente une violation de données à caractère personnel dans les 72 heures suivant la prise de connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. La notification doit décrire la nature de la violation, le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou proposées. Source : article 33 du RGPD

Quand les personnes concernées doivent-elles être informées d'une violation RGPD ?

L'article 34 du RGPD exige des responsables du traitement qu'ils informent les personnes concernées « sans retard injustifié » lorsqu'une violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Des exceptions s'appliquent lorsque le responsable du traitement a mis en œuvre des garanties techniques appropriées (p. ex. le chiffrement), a pris des mesures garantissant que le risque élevé n'est plus probable, ou lorsque la notification individuelle exigerait des efforts disproportionnés. Source : article 34 du RGPD

Quelles sont les sanctions en cas de défaut de notification d'une violation de données RGPD dans les délais ?

Le non-respect des obligations de notification des violations au titre des articles 33 et 34 peut entraîner des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu, au titre de l'article 83(4)(a) du RGPD. Source : article 83 du RGPD

Le délai de 72 heures s'applique-t-il aux sous-traitants ?

Non. En vertu de l'article 33(2) du RGPD, les sous-traitants doivent notifier le responsable du traitement « sans retard injustifié » après avoir pris connaissance d'une violation. Le compte à rebours de 72 heures pour la notification à l'autorité de contrôle démarre lorsque le responsable du traitement en prend connaissance, et non le sous-traitant. Source : article 33(2) du RGPD

Que doit contenir une notification de violation à une autorité de contrôle ?

L'article 33(3) exige que la notification comprenne : (a) la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements ; (b) le nom et les coordonnées du DPD ; (c) les conséquences probables ; et (d) les mesures prises ou proposées pour remédier à la violation et en atténuer les effets. Source : article 33(3) du RGPD

Comment le mécanisme du guichet unique affecte-t-il les notifications de violation transfrontalières ?

En vertu de l'article 56 du RGPD, l'autorité de contrôle chef de file coordonne les enquêtes transfrontalières. Les lignes directrices 9/2022 du CEPD précisent que les responsables du traitement doivent tout de même notifier l'autorité chef de file dans les 72 heures et que celle-ci partage les informations avec les autorités concernées. Les organisations multi-entités devraient cartographier à l'avance quelle autorité est chef de file pour chaque entité responsable du traitement. Source : lignes directrices 9/2022 du CEPD

Quelle est la différence entre l'article 33 et l'article 34 du RGPD ?

L'article 33 régit la notification à l'autorité de contrôle (dans les 72 heures, sauf risque improbable). L'article 34 régit la communication aux personnes concernées (sans retard injustifié, uniquement en cas de risque élevé). L'article 33 s'applique à toutes les violations présentant un risque quelconque ; l'article 34 a un seuil plus élevé exigeant un « risque élevé pour les droits et libertés des personnes physiques ». Article 33 | Article 34

Les organisations doivent-elles documenter les violations qui ne sont pas à notifier ?

Oui. L'article 33(5) du RGPD exige des responsables du traitement qu'ils documentent toutes les violations de données à caractère personnel, qu'elles soient à notifier ou non, y compris les faits, les effets et les mesures correctives prises. Ce registre des violations doit pouvoir être mis à la disposition de l'autorité de contrôle pour inspection. Source : article 33(5) du RGPD

Comparaison : notification de violation RGPD vs. nLPD suisse

Sources : Article 33 du RGPD | nLPD suisse sur Fedlex