Aller au contenu principal
Quel logiciel RGPD

Quand commencent les 72 heures ?

Pour qui : Vous venez de recevoir une alerte : un mail étrange, un ordinateur volé, un serveur qui se comporte mal. Vous cherchez à savoir si l’horloge a démarré, et ce qui doit être fait pendant qu’elle tourne.

Pour le Comité européen, les 72 heures commencent quand vous avez un degré raisonnable de certitude qu’un incident de sécurité a compromis des données personnelles. L’alerte seule ne déclenche pas le délai : une courte enquête est admise, à condition de la lancer aussitôt.

Le RGPD demande de notifier dans les meilleurs délais et, si possible, dans les 72 heures, sauf si un risque pour les personnes est improbable. Si vous n’avez pas tout, envoyez une notification initiale et complétez ensuite. Passé ce délai, joignez les motifs du retard.

Notre avis

Nommez à l’avance la personne qui qualifie l’alerte et notez l’heure à chaque étape. Notifiez dans les 72 heures dès que le risque n’est pas écarté, quitte à compléter ensuite. N’attendez pas un dossier complet.

Pourquoi

  • L’article 33 prévoit l’envoi échelonné et demande seulement de motiver un retard au-delà de 72 heures : l’incomplétude ne justifie donc pas d’attendre.
  • Le Comité européen indique qu’aucune pénalité n’est liée au fait d’avoir signalé un incident qui se révèle ensuite ne pas être une violation.
  • La qualification reste humaine. Un outil peut horodater et guider, sans décider qu’une certitude raisonnable est atteinte.

Ce qui change le choix

Si le risque pour les personnes est improbable, la notification n’est pas due : le Comité européen cite des données déjà publiques. Vous documentez malgré tout, avec la raison. Le risque se réévalue s’il évolue.

L’ordre à suivre

  1. Alerte reçue : vérification immédiate, heure notée.
  2. Certitude raisonnable : l’horloge démarre, évaluation du risque.
  3. Risque improbable : pas de notification, documentation écrite.
  4. Risque possible : notification sous 72 heures si possible, en plusieurs temps si besoin.

Quatre situations lues dans les lignes directrices

Ces exemples viennent du Comité européen. Ils montrent que la certitude porte sur l’atteinte aux données, sans exiger de connaître toute l’affaire.

Moment où l’organisme a pris connaissance, selon le Comité européen
SituationPoint de départ
Clé USB non chiffrée perdue, sans savoir si quelqu’un l’a lueDès que la perte est constatée : la perte de disponibilité est certaine.
Un tiers signale avoir reçu par erreur les données d’un client, preuve à l’appuiÀ la réception de cette preuve.
Soupçon d’intrusion dans le réseauAprès vérification des systèmes, quand l’atteinte aux données est confirmée.
Demande de rançon d’un pirateAprès vérification que l’attaque est réelle.

Le déroulé à préparer avant l’incident

Ces étapes reprennent les points 37 à 40 des lignes directrices, avec nos précisions sur les heures à consigner.

  1. Notez l’heure de l’alerte et la personne qui l’a reçue. Toute alerte de sécurité va vers une personne chargée de la traiter.
  2. Lancez la vérification tout de suite et notez l’heure de la conclusion. Point 34 : la vérification commence dès que possible et précède une enquête plus longue.
  3. Évaluez le risque pendant le délai : aucun, risque, risque élevé. Points 35 et 39. Risque élevé : les personnes s’informent aussi.
  4. Notifiez sur le téléservice de la CNIL, à l’état des connaissances, puis complétez. Article 33, paragraphe 4. La CNIL refuse les notifications hors téléservice, sauf problème technique qu’elle constate.
  5. Consignez l’incident, notifié ou non. Article 33, paragraphe 5.

Exemple fictif : un compte à rebours qui traverse le week-end

Exemple fictif : un mercredi à 10 heures, l’équipe confirme qu’un compte de messagerie piraté contenait des données de clients. L’horloge part à ce moment. Elle atteint 72 heures le samedi à 10 heures. L’alerte initiale, reçue le même matin à 8 heures, n’est pas le point de départ, à condition que la vérification ait commencé aussitôt et reste courte. Le Comité européen renvoie en note au règlement sur le calcul des délais, que nous n’avons pas lu : ne comptez pas sur le week-end pour gagner du temps.

Le chiffre de 96 heures reste un projet

Le mandat du Conseil de l’Union du 21 octobre 2026 sur le projet Digital Omnibus prévoit une notification limitée au risque élevé, dans les 96 heures. Le texte n’est pas adopté au 5 novembre 2026. Le droit applicable reste celui de l’article 33 : le risque comme seuil et 72 heures si possible. Si votre procédure ou votre outil affiche un autre délai, corrigez-le dès aujourd’hui.

Limites de cette page

Le point de départ se juge sur les faits, et une enquête anormalement longue peut être reprochée. Nous n’avons pas lu le règlement européen sur les délais cité en note, ni les exemples détaillés des lignes directrices 01/2021. Pour un incident en cours avec enjeu lourd, appelez votre délégué ou un conseil sans retarder la notification.

Prochaine action

Écrivez dans votre procédure à quel moment et par qui une alerte est qualifiée, avec une personne suppléante et les heures à consigner. Précisez que le risque improbable dispense de la notification, jamais de la documentation.

Preuves et sources

Lu le 5 novembre 2026 : l’article 33 du RGPD dans le texte publié par la CNIL ; la page CNIL sur la notification, datée du 24 mai 2018, et son document préparatoire de juillet 2023 ; les lignes directrices 9/2022 du Comité européen, version 2.0 du 28 mars 2023, points 31 à 41, 60, 75, 76 et 119 ; le mandat du Conseil du 21 octobre 2026 sur le projet Digital Omnibus.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode