Une violation de données à caractère personnel déclenche un compte à rebours réglementaire qui ne s'arrête ni pour les week-ends, ni pour les jours fériés, ni pour la disponibilité des dirigeants. En vertu de l'article 33 du RGPD, vous disposez de 72 heures à compter de la prise de connaissance pour notifier l'autorité de contrôle. La règle 7 du DPDPA, la section 26B de la PDPA et la Résolution 15/2024 de la LGPD fixent des délais similaires.

Ce manuel décompose les 72 heures en cinq phases nommées — Détection, Confinement, Évaluation, Documentation, Déclaration — avec des livrables concrets à chaque jalon. Utilisez-le comme un runbook : lorsque tout est en feu, vous ne voulez pas être en train de rédiger le processus. Vous voulez l'exécuter.

L'article 33 dispose « au plus tard 72 heures après en avoir pris connaissance ». La prise de connaissance survient lorsque le responsable de traitement a un degré raisonnable de certitude qu'un incident de sécurité s'est produit et que des données à caractère personnel sont concernées. Ce n'est pas :

• Le moment où l'incident s'est réellement produit.
• Le moment où une alerte automatisée s'est déclenchée.
• Le moment où le premier analyste a commencé l'investigation.
• Le moment où un prestataire a signalé un incident chez un sous-traitant ultérieur — mais le compte à rebours démarre généralement lorsque vous disposez de suffisamment d'informations pour évaluer que les données du responsable de traitement sont concernées.

Les lignes directrices 9/2022 de l'EDPB sur la notification des violations de données à caractère personnel autorisent une courte période d'investigation pour parvenir à la prise de connaissance, mais cette période doit être brève — une question d'heures, pas de jours.

Objectif : Confirmer qu'un incident s'est produit, préserver les preuves forensiques, activer l'équipe de réponse.

• Trier le signal. L'alerte était-elle réelle ? Détection IDS, export suspect, divulgation par un prestataire, signalement client.
• Préserver l'intégrité forensique. Réaliser un instantané des systèmes affectés, geler les journaux, ne pas éteindre si des artefacts en mémoire ont de l'importance.
• Ouvrir le dossier. Attribuer un identifiant d'incident. Chaque action à partir d'ici y est consignée.
• Activer la cellule de crise. DPO, RSSI/Responsable de la sécurité, conseil juridique, communication et un Incident Commander désigné.
• Identifier le sous-traitant / sous-traitant ultérieur responsable si l'incident provient de l'extérieur ; mobiliser son contact de réponse aux incidents.

Livrable à T+6h : Synthèse d'incident d'une page — ce qui s'est passé, quand, quels systèmes, quelles catégories de données sont susceptibles d'être concernées, quelles incertitudes connues subsistent.

Objectif : Stopper l'hémorragie, isoler les systèmes affectés et notifier les parties externes soumises à des délais.

• Bloquer l'exfiltration en cours. Faire pivoter les identifiants, révoquer les jetons OAuth, mettre fin aux sessions, bloquer le trafic sortant.
• Isoler les systèmes affectés tout en préservant les preuves.
• Notifications au CERT-In / sectorielles. Inde : CERT-In sous 6 heures pour les incidents désignés. États-Unis, secteurs : HHS OCR (HIPAA), FTC, procureurs généraux des États.
• Mobiliser un conseil externe si une exposition importante est plausible — le secret professionnel est mieux établi tôt.
• Mobiliser l'assureur cyber selon les exigences de notification de la police (souvent sous 48 heures ; certains assureurs proposent des lignes d'assistance 24/7).
• Démarrer l'identification des victimes — catégories de personnes concernées, volume approximatif, répartition géographique.

Livrable à T+24h : Confirmation du confinement ; énoncé préliminaire du périmètre.

Objectif : Déterminer l'ampleur et le préjudice probable — c'est ce qui guide toutes les décisions en aval.

• Catégories de données à caractère personnel affectées. Identifiants ? Coordonnées ? Données financières ? Catégorie particulière (article 9 du RGPD) ? Données des enfants ?
• Volume. Nombre exact d'enregistrements si connu ; sinon, estimation raisonnée.
• Personnes concernées affectées. Employés, clients, contacts de prestataires, utilisateurs finaux ? Dans quelles juridictions ?
• Probabilité et gravité du préjudice. Utilisez le cadre de l'article 33(3)(c) — usurpation d'identité, fraude, perte financière, atteinte à la réputation, discrimination, perte de confidentialité du secret professionnel.
• Appliquer les seuils de notification. RGPD : notifier l'autorité de contrôle sauf s'il est « peu probable qu'elle engendre un risque pour les droits et libertés des personnes physiques ». LGPD : notification à l'ANPD pour les violations susceptibles de causer un « risque ou un dommage pertinent ». PDPA-SG : 500+ personnes OU préjudice significatif.
• Trancher du côté du régulateur. Autorité de contrôle chef de file pour les traitements transfrontaliers RGPD. Plusieurs régulateurs si le traitement franchit plusieurs régions.

Livrable à T+48h : Évaluation du risque de préjudice ; matrice de décision de notification ; modèle de notification renseigné.

Objectif : Constituer le document que vous déclarerez, verrouiller le registre interne, informer les parties prenantes.

• Ensemble de contenus de l'article 33(3) pour la déclaration à l'autorité de contrôle :
  1. Description de la violation (nature, catégories, nombre approximatif de personnes concernées et d'enregistrements).
  2. Nom et coordonnées du DPO ou d'un autre point de contact.
  3. Conséquences probables de la violation.
  4. Mesures prises ou proposées pour remédier à la violation et atténuer ses éventuels effets négatifs.
• Registre interne de l'article 33(5). Même si vous ne notifiez pas, documentez la violation en interne ; les autorités de contrôle demandent ces registres lors des audits.
• Information de la direction. PDG, conseil d'administration, comité d'audit conformément à votre politique de réponse aux incidents.
• Finalisation du plan de communication. Modèle de communication client, FAQ, éléments de langage pour les dirigeants, surveillance des réseaux sociaux en alerte.
• Coordination avec le sous-traitant. Lorsque la violation provient en amont, alignez le message et le calendrier de notification.

Livrable à T+72h : Notification prête à être déclarée ; registre interne complet.

Objectif : Notifier les régulateurs dans le délai légal et communiquer aux personnes concernées lorsque cela est requis.

• Déclaration à l'autorité de contrôle via le portail officiel (la plupart des autorités de l'UE disposent de formulaires en ligne ; l'ICO utilise un formulaire en ligne ; l'ANPD utilise un protocole électronique). Conservez l'accusé de réception — c'est la seule preuve du délai respecté.
• Déclarations multi-juridictions. Lorsque vous avez plusieurs autorités de contrôle chefs de file (rare), le guichet unique s'applique ; sinon, notifiez séparément chaque autorité compétente.
• Communication aux personnes concernées en cas de risque élevé (article 34) : langage clair et simple, nom + coordonnées du DPO, conséquences probables, mesures d'atténuation, conseils.
• Déclaration publique si elle est significative pour les investisseurs ou requise par des règles sectorielles (8-K de la SEC, reporting de type SAR).
• Réunion plénière interne avant l'annonce publique pour maîtriser le récit.

Livrable à T+72h+ : Accusé de réception de la déclaration ; communications aux personnes concernées envoyées (ou décision documentée de ne pas communiquer) ; revue post-incident planifiée sous 14 jours.

• Incident Commander — pilote le tempo, déclenche les transitions de phase, fait remonter les blocages.
• DPO / Responsable de la protection des données — assume la décision et le contenu de la notification au régulateur.
• RSSI / Responsable de la sécurité — assume le confinement, l'investigation forensique, l'analyse des causes racines.
• Directeur juridique / Conseil externe — assume le secret professionnel, la relecture des communications, la stratégie d'engagement avec le régulateur.
• Communication — assume les messages externes, la surveillance des réseaux sociaux, la réponse à la presse.
• PDG / Direction générale — assume les décisions de réputation, les excuses adressées aux clients, les engagements post-incident.

La défaillance organisationnelle la plus fréquente est une responsabilité floue entre le DPO et le directeur juridique pour la déclaration effective au régulateur. Tranchez-la à l'avance — la plupart des équipes optent par défaut pour une rédaction par le DPO sous le secret professionnel du conseil, le DPO figurant comme contact désigné dans la déclaration elle-même.

L'article 34 du RGPD déclenche la communication aux personnes concernées lorsqu'il existe un risque élevé pour les droits et libertés. Le critère est plus exigeant que le seuil de notification à l'autorité de contrôle. Exemples justifiant une notification :

• Coordonnées de comptes financiers non chiffrées, identifiants utilisés pour l'authentification.
• Données de catégorie particulière (santé, génétiques, biométriques, politiques, religieuses).
• Informations permettant l'usurpation d'identité ou la fraude financière.
• Données d'enfants présentant une sensibilité tant soit peu significative.

L'article 34(3) énumère trois exemptions à la communication directe : un chiffrement rendant les données inintelligibles pour les personnes non autorisées, des mesures éliminant le risque élevé, ou un effort disproportionné pouvant être remplacé par une communication publique.

Contenu de la notification (article 34(2)) : nature de la violation, nom et coordonnées du DPO, conséquences probables, mesures prises. En langage clair.

• Démarrer le compte à rebours au mauvais moment. Les autorités de contrôle examinent de près le moment où la « prise de connaissance » a été atteinte. Si votre équipe de réponse aux incidents a enquêté pendant 5 jours avant de déclarer un incident, cet écart ressemble à un retard.
• Sous-estimer le périmètre. Le moyen le plus rapide de perdre la bienveillance du régulateur est de sous-déclarer les chiffres initiaux puis de les réviser fortement à la hausse.
• Aucune évaluation documentée. Si vous décidez de ne pas notifier, l'article 33(5) exige tout de même un registre interne de la violation et du raisonnement.
• Notifier la mauvaise autorité de contrôle. Le guichet unique ne s'applique qu'aux traitements transfrontaliers au titre du RGPD. Un traitement purement local doit être notifié à l'autorité de contrôle locale — pas à votre autorité chef de file.
• Communiquer aux clients avant la déclaration au régulateur. L'ordre compte en pratique : les régulateurs y voient un engagement de bonne foi, et les clients se soucient peu de ce qui est venu en premier.
• Oublier le délai de 6 heures du CERT-In pour l'Inde. Fréquemment manqué par les équipes internationales peu familières de la superposition sectorielle indienne.
• Ne pas préserver les preuves forensiques. Éteindre un hôte compromis peut détruire les indicateurs de logiciels malveillants résidant en mémoire.