Ne manquez jamais le délai RGPD de 72 heures. Voici exactement quand le compte à rebours démarre

Le guide complet : la notification des violations sous 72 heures au titre de l'article 33 du RGPD

L'article 33 du RGPD impose aux responsables du traitement de notifier les violations de données à caractère personnel aux autorités de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Ces quelques mots ont généré plus d'orientations réglementaires, d'actions répressives et d'anxiété en matière de conformité que presque toute autre disposition du règlement.

La question essentielle n'est pas « à quelle vitesse devons-nous notifier ? », mais « quand le compte à rebours démarre-t-il réellement ? »

Ce que signifie « avoir connaissance » au sens de l'article 33

Le délai de 72 heures ne commence pas lorsque la violation se produit. Il commence lorsque le responsable du traitement « prend connaissance » de la violation. Le Comité européen de la protection des données (CEPD) l'a clarifié dans ses lignes directrices 9/2022 sur la notification des violations de données à caractère personnel :

Cela signifie que le compte à rebours ne démarre pas dès qu'une personne de votre organisation soupçonne qu'un problème pourrait exister. Il démarre lorsque vous disposez d'un « degré raisonnable de certitude » que des données à caractère personnel ont été compromises. Toutefois, et c'est là que les organisations s'exposent à des difficultés, vous ne pouvez pas retarder cette prise de connaissance en choisissant de ne pas enquêter.

Le critère « aurait dû savoir »

Les autorités de contrôle ont systématiquement considéré que les organisations ne peuvent pas plaider l'ignorance si elles n'ont pas mis en œuvre des mesures de détection raisonnables. Si une violation était détectable au moyen d'une surveillance standard et que votre organisation l'a manquée parce que cette surveillance était insuffisante, les autorités de contrôle traiteront le moment où la violation aurait dû être détectée comme le moment de la prise de connaissance.

Ce principe a été éprouvé dans plusieurs actions répressives notables :

• L'autorité néerlandaise de protection des données a infligé une amende à Booking.com pour notification tardive, estimant que la prise de connaissance était intervenue lorsque les hôtels individuels avaient signalé un accès non autorisé, et non lorsque l'équipe centrale de Booking.com avait achevé son enquête interne des semaines plus tard.
• L'ICO britannique a estimé que la prise de connaissance par Marriott avait été retardée parce que l'entreprise avait hérité des systèmes compromis de Starwood et n'avait pas mené de diligence raisonnable adéquate, héritant de fait du calendrier de prise de connaissance de la violation.
• L'AEPD espagnole a systématiquement considéré que la prise de connaissance d'un responsable du traitement commence lorsque tout collaborateur ayant le pouvoir d'agir sur l'information la reçoit, et non lorsque le DPD est formellement notifié.

Quand le compte à rebours démarre-t-il pour les sous-traitants ?

L'article 33(2) impose une obligation distincte aux sous-traitants : ils doivent notifier le responsable du traitement « dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel ». Aucun délai de 72 heures n'est précisé pour les sous-traitants, mais « dans les meilleurs délais » a été interprété de manière stricte.

Pour les responsables du traitement, cela crée un calendrier en cascade. Si votre sous-traitant prend connaissance le lundi et vous notifie le mercredi, votre compte à rebours de 72 heures démarre le mercredi, mais si le retard du sous-traitant était déraisonnable, l'autorité de contrôle peut tout de même examiner l'ensemble du calendrier.

Qu'entend-on par « dans les meilleurs délais » ?

Les 72 heures constituent un maximum, et non un objectif. Le RGPD dit « dans les meilleurs délais et, si possible, 72 heures au plus tard ». Cela signifie :

• Si vous pouvez notifier en 24 heures, vous devez le faire. Attendre la 71e heure alors que vous disposiez d'informations suffisantes à la 12e heure constitue en soi un manquement à la conformité.
• Si vous ne pouvez véritablement pas achever votre évaluation dans les 72 heures, vous pouvez soumettre une notification par phases, mais vous devez motiver le retard et fournir les informations initiales dans le délai de 72 heures.
• Les week-ends et les jours fériés ne suspendent pas le compte à rebours. Si la prise de connaissance intervient un vendredi à 23 h, vous avez jusqu'au lundi à 23 h.

Quelles informations la notification doit-elle contenir ?

L'article 33(3) précise le contenu minimal des notifications de violation :

• La nature de la violation de données à caractère personnel, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés
• Le nom et les coordonnées du DPD ou d'un autre point de contact
• Une description des conséquences probables de la violation
• Une description des mesures prises ou proposées pour remédier à la violation, y compris les mesures d'atténuation

Pour les organisations multi-entités, cela crée un défi de coordination. Si la violation touche des personnes concernées réparties dans plusieurs filiales situées dans différentes juridictions, vous devrez peut-être déposer une notification auprès de plusieurs autorités de contrôle, à moins que vous ne disposiez d'une autorité chef de file au titre du mécanisme du guichet unique.

Le problème de la coordination multi-entités

Le compte à rebours de 72 heures est déjà suffisamment difficile pour une seule organisation. Pour les groupes d'entreprises gérant la conformité de 10, 20, voire plus de 50 entités, il devient exponentiellement plus complexe :

• Quelle entité est le responsable du traitement : la filiale où la violation s'est produite, ou la société mère ?
• Si plusieurs entités partagent un même système de traitement des données, la prise de connaissance par une entité constitue-t-elle une prise de connaissance pour toutes ?
• Qui a le pouvoir de déposer la notification : le DPD local, le DPD du groupe ou le service juridique ?
• Quelle autorité de contrôle reçoit la notification lorsque les personnes concernées touchées sont réparties dans plusieurs États membres ?

On ne peut pas répondre à ces questions pendant une violation. Elles doivent être résolues à l'avance, documentées dans votre plan de réponse aux incidents et éprouvées au moyen d'exercices de simulation réguliers.

Quand la notification n'est pas requise

Toutes les violations ne déclenchent pas le compte à rebours de 72 heures. L'article 33(1) comporte une réserve importante : la notification est requise « à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques ».

Cette évaluation du risque est un point sur lequel de nombreuses organisations butent. Le CEPD a fourni des exemples :

• Un ordinateur portable chiffré est volé, et la clé de chiffrement n'a pas été compromise : risque probablement nul, notification probablement non requise
• Une brève coupure de courant provoque une impossibilité temporaire d'accéder aux dossiers patients : le risque dépend du contexte (soins d'urgence ou dossiers de routine)
• Un e-mail contenant des données à caractère personnel est envoyé au mauvais destinataire, qui confirme sa suppression sans l'avoir lu : risque faible, mais cela reste une violation qui doit être documentée en interne

Même lorsque la notification à l'autorité de contrôle n'est pas requise, l'article 33(5) vous impose de documenter la violation, ses effets et les mesures correctives prises. Cette documentation doit pouvoir être communiquée à l'autorité de contrôle pour examen sur demande.

Rendre le délai de 72 heures gérable

Les organisations qui respectent systématiquement le délai de 72 heures partagent des caractéristiques communes :

• Elles disposent d'un système de réception centralisée des incidents qui capte les violations de toute entité, de tout collaborateur, dans tout fuseau horaire, éliminant les frictions organisationnelles qui retardent la prise de connaissance
• Elles utilisent des cadres d'évaluation des risques structurés (et non des jugements au cas par cas) pour déterminer le caractère notifiable dans les minutes suivant la réception
• Elles tiennent à jour des registres des traitements exacts afin que l'évaluation de l'étendue d'une violation ne nécessite pas des jours de collecte manuelle de données
• Elles disposent de modèles de notification préconfigurés pour chaque autorité de contrôle concernée, réduisant le temps de rédaction de quelques heures à quelques minutes
• Elles documentent chaque décision avec des horodatages, créant la piste d'audit qui démontre la conformité même lorsque le calendrier est serré

Le compte à rebours de 72 heures est exigeant par conception. Il oblige les organisations à bâtir l'infrastructure opérationnelle qui rend la gestion de la protection des données durable, non seulement conforme sur le papier, mais résiliente sous pression.