Remarque : Le délai de 72 heures est spécifiquement associé aux notifications de violations de données à caractère personnel éligibles au titre de l'article 33 du GDPR. Il ne s'agit pas d'un délai universel applicable à toutes les lois sur la protection des données ni à tous les incidents de sécurité.
Ce plan propose un cadre pratique de réponse aux incidents pour les premières heures et les premiers jours suivant une violation présumée de données à caractère personnel, tout en soulignant les différences entre juridictions en matière d'obligations de notification.
§En bref
Lorsqu'un incident de sécurité est susceptible de concerner des données à caractère personnel, les organisations doivent agir rapidement pour :
- Confirmer l'incident et en effectuer le tri.
- Préserver les éléments de preuve pertinents.
- Mettre fin à tout accès ou toute divulgation non autorisés en cours.
- Déterminer si des données à caractère personnel sont concernées.
- Identifier les personnes, les catégories de données, les systèmes et les juridictions concernés.
- Évaluer la probabilité et la gravité du préjudice.
- Déterminer les obligations de notification applicables.
- Préparer les notifications à l'autorité et aux personnes lorsque cela est requis.
- Documenter l'incident et toutes les décisions de notification.
- Poursuivre la remédiation et le retour d'expérience après l'incident.
Le calendrier des 72 heures du GDPR
En vertu de l'article 33 du GDPR, le responsable du traitement doit notifier la violation à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après avoir pris connaissance d'une violation de données à caractère personnel, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.
Si la notification intervient après 72 heures, elle doit être accompagnée des motifs du retard.
Le délai de 72 heures doit donc être considéré comme une échéance opérationnelle à tenir, et non comme une raison de différer le confinement ou l'enquête jusqu'à l'approche de l'échéance.
§Quand le délai de 72 heures du GDPR commence-t-il à courir ?
Le délai prévu par le GDPR ne commence pas nécessairement à courir au moment où la cyberattaque sous-jacente s'est produite.
L'article 33 se réfère au moment où le responsable du traitement prend connaissance de la violation de données à caractère personnel.
En pratique, la prise de connaissance s'apprécie au regard de la compréhension raisonnable, par l'organisation, du fait qu'un incident de sécurité s'est produit et que des données à caractère personnel ont été compromises.
Par exemple :
- Accès non autorisé confirmé à une base de données contenant des données à caractère personnel.
- Confirmation de l'exfiltration de données à caractère personnel.
- Signalement par un sous-traitant d'une violation confirmée concernant les données à caractère personnel du responsable du traitement.
- Découverte de la perte ou du vol d'un appareil contenant des données à caractère personnel non chiffrées.
Une alerte de sécurité n'établit pas automatiquement la connaissance d'une violation de données à caractère personnel. Les organisations peuvent avoir besoin d'une courte période d'investigation pour déterminer si des données à caractère personnel sont réellement concernées.
L'investigation ne doit toutefois pas servir de prétexte à un retard évitable.
Principe opérationnel : Lancez immédiatement le processus de gestion de l'incident et fixez le point de départ du délai légal de notification dès que les faits permettent de conclure à une prise de connaissance.
Les cinq phases en un coup d'œil
Phase 1 — Détection et tri
- T+0 à T+6 heures — Établir si un incident de sécurité s'est produit, préserver les preuves et activer le dispositif de réponse.
Phase 2 — Confinement
- T+6 à T+24 heures — Mettre fin à tout accès non autorisé en cours tout en préservant les preuves.
Phase 3 — Évaluation
- T+24 à T+48 heures — Déterminer ce qui s'est passé, qui est susceptible d'être touché et quelles obligations légales sont déclenchées.
Phase 4 — Décision de notification et documentation
- T+48 à T+72 heures
Phase 5 — Dépôt auprès de l'autorité et communication aux personnes
- T+72 heures et au-delà
§Phase 1 — Détection et tri
T+0 à T+6 heures
Objectif : Établir si un incident de sécurité s'est produit, préserver les preuves et activer le dispositif de réponse.
Actions immédiates
- Valider le signal d'incident.
- Ouvrir une fiche d'incident et attribuer un identifiant d'incident.
- Préserver les journaux et les éléments de preuve numériques pertinents.
- Identifier les systèmes et les comptes touchés.
- Déterminer si des données à caractère personnel sont susceptibles d'être concernées.
- Activer l'équipe de réponse aux incidents.
- Identifier les rôles en jeu : responsable du traitement, sous-traitant ou sous-traitant ultérieur.
- Identifier les juridictions potentiellement concernées.
- Consigner les décisions clés et leur horodatage.
Équipe de réponse principale
Selon l'incident, associez :
- Le responsable de la gestion de l'incident
- L'équipe sécurité / le CISO
- La fonction protection des données ou le DPO
- Le conseil juridique
- Les équipes informatiques et infrastructure
- La communication
- Le responsable métier
- Les interlocuteurs concernés chez les sous-traitants ou fournisseurs
Livrable
Synthèse initiale de l'incident
Documentez :
- Ce qui s'est passé
- Le moment de la détection
- Les systèmes touchés
- Les données potentiellement concernées
- Les faits connus à ce stade
- Les inconnues nécessitant une investigation
- Les mesures de confinement immédiates
§Phase 2 — Confinement
T+6 à T+24 heures
Objectif : Mettre fin à tout accès non autorisé en cours tout en préservant les preuves.
Les actions possibles comprennent :
- Désactiver les comptes compromis.
- Renouveler les identifiants exposés.
- Révoquer les jetons et les sessions.
- Isoler les systèmes touchés.
- Bloquer le trafic réseau malveillant.
- Préserver les éléments de preuve pertinents sur les terminaux et dans le cloud.
- Corriger ou atténuer les vulnérabilités exploitées.
- Contacter les sous-traitants ou prestataires de services concernés.
- Examiner les exigences contractuelles de notification des incidents.
Ne détruisez pas de preuves en cherchant à contenir l'incident.
La préservation des preuves et le confinement doivent donc être coordonnés par l'équipe de réponse sécurité.
Autres obligations de signalement
La notification au titre de la protection des données n'est qu'un volet de la réponse aux incidents.
Selon l'organisation et l'incident, des obligations distinctes peuvent s'appliquer à l'égard :
- Des autorités de cybersécurité
- Des régulateurs sectoriels
- Des régulateurs financiers
- Des clients sous contrat
- Des assureurs
- Des forces de l'ordre
- Des bourses ou des autorités des marchés financiers
Ces obligations doivent être évaluées indépendamment les unes des autres.
Livrable
Rapport préliminaire de confinement et de périmètre
§Phase 3 — Évaluation
T+24 à T+48 heures
Objectif : Déterminer ce qui s'est passé, qui est susceptible d'être touché et quelles obligations légales sont déclenchées.
Évaluez :
Données concernées
- Noms et coordonnées
- Identifiants de compte
- Informations financières
- Informations d'identification
- Informations de santé
- Informations biométriques
- Données des enfants
- Catégories particulières de données
- Informations commerciales confidentielles
Personnes concernées
Déterminez :
- Le nombre approximatif de personnes
- Les catégories de personnes
- Les pays ou juridictions concernés
- Si des personnes vulnérables sont touchées
Caractéristiques de l'incident
Documentez :
- La nature de la violation
- La durée
- Le mécanisme d'attaque ou de défaillance
- Si des données ont été consultées
- Si des données ont été copiées ou exfiltrées
- Si des données ont été modifiées
- Si des données ont été supprimées
- Si l'exposition se poursuit
Évaluation des risques
Prenez en compte à la fois la probabilité du préjudice et la gravité du préjudice potentiel.
Les conséquences possibles peuvent comprendre :
- Usurpation d'identité
- Fraude
- Perte financière
- Discrimination
- Atteinte à la réputation
- Perte de confidentialité
- Préjudice physique ou psychologique
- Exposition d'informations sensibles
Livrable
Évaluation documentée des risques et de la notification
§Phase 4 — Décision de notification et documentation
T+48 à T+72 heures
Pour les incidents relevant du GDPR, déterminez si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes.
Si la notification à l'autorité de contrôle est requise, préparez la notification prévue à l'article 33.
La notification doit comprendre, lorsque ces éléments sont disponibles :
- La nature de la violation de données à caractère personnel.
- Les catégories et le nombre approximatif de personnes concernées.
- Les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés.
- Les coordonnées du DPO ou d'un autre point de contact.
- Les conséquences probables.
- Les mesures prises ou envisagées pour remédier à la violation et en atténuer les effets négatifs.
Si toutes les informations ne sont pas disponibles dans les 72 heures, le GDPR permet de les communiquer de manière échelonnée lorsque cela est approprié.
Si vous décidez de ne pas notifier
Ne vous contentez pas de clôturer l'incident.
L'article 33, paragraphe 5, du GDPR impose aux responsables du traitement de documenter les violations de données à caractère personnel, y compris les faits concernant la violation, ses effets et les mesures prises pour y remédier.
Le registre doit également expliquer pourquoi la notification a été jugée nécessaire ou non.
Livrable
Décision finale de notification + dossier de dépôt auprès de l'autorité + registre interne des violations
§Phase 5 — Dépôt auprès de l'autorité et communication aux personnes
T+72 heures et au-delà
Lorsqu'une notification au titre du GDPR est requise, transmettez-la à l'autorité de contrôle compétente dans le délai applicable.
Si la notification est transmise après 72 heures, documentez les motifs du retard.
Communication aux personnes concernées
L'article 34 du GDPR prévoit un seuil distinct.
Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement doit en règle générale communiquer la violation aux personnes concernées dans les meilleurs délais, sous réserve des exceptions applicables.
Le seuil de notification à l'autorité et le seuil de communication aux personnes ne sont donc pas les mêmes.
Les communications aux personnes doivent généralement expliquer :
- Ce qui s'est passé
- Quelles catégories d'informations étaient concernées
- Les conséquences probables
- Ce que l'organisation a fait
- Ce que les personnes peuvent faire pour se protéger
- Les coordonnées utiles
Utilisez un langage clair et compréhensible.
§Notification de violation de données dans plusieurs juridictions
Un incident mondial ne doit pas être géré selon une règle unique de 72 heures.
D'une juridiction à l'autre, les éléments suivants diffèrent :
- Déclencheurs de la notification
- Délais
- Seuils de risque
- Autorités de contrôle
- Formats de notification
- Exigences de communication aux personnes
Comparaison indicative
| Juridiction | Approche générale |
|---|---|
| EU GDPR | Notification à l'autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance lorsque la violation est susceptible d'engendrer un risque, sous réserve des exceptions prévues par le GDPR. |
| UK GDPR | Dispositif similaire de 72 heures pour les violations éligibles, sous réserve du UK GDPR et des exigences britanniques applicables. |
| PDPA de Singapour | Une violation soumise à notification doit être signalée à la PDPC dès que possible et au plus tard 3 jours calendaires après que l'organisation a établi qu'elle est soumise à notification. |
| LGPD du Brésil | Les incidents éligibles présentant un risque ou un dommage significatif sont soumis aux exigences de notification de la résolution 15/2024 de l'ANPD ; le cadre de l'ANPD prévoit un délai de 3 jours ouvrables. |
| Cadre DPDP de l'Inde | Les DPDP Rules 2025 imposent une notification sans délai aux Data Principals concernés ainsi qu'une notification sans délai au Board, suivie d'informations détaillées dans les 72 heures ou dans un délai plus long autorisé par le Board. Le calendrier de mise en œuvre doit être vérifié, car l'entrée en vigueur de la loi et des Rules est progressive. |
| Autres juridictions | Les exigences varient considérablement. Évaluez séparément les obligations de signalement nationales, sectorielles, contractuelles et de cybersécurité applicables. |
Important : Ce tableau constitue une vue d'ensemble opérationnelle et ne remplace pas une analyse juridique propre à chaque juridiction.
§Responsabilités du sous-traitant et du responsable du traitement
L'organisation chargée de la notification à l'autorité n'est pas toujours celle qui découvre l'incident en premier.
En vertu du GDPR :
Sous-traitant
Le sous-traitant doit notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.
Le sous-traitant doit fournir des informations suffisantes pour permettre au responsable du traitement de respecter ses propres obligations.
Responsable du traitement
Le responsable du traitement évalue si la violation doit faire l'objet d'une notification à l'autorité de contrôle et, le cas échéant, d'une communication aux personnes.
Les contrats conclus avec les sous-traitants doivent donc prévoir des procédures d'escalade des incidents et des délais de notification interne suffisamment courts.
Un responsable du traitement ne doit pas concevoir son processus de notification par les sous-traitants en se fondant sur l'intégralité de la fenêtre réglementaire de 72 heures.
Approche pratique : Exigez des sous-traitants qu'ils fassent remonter les incidents présumés touchant des données à caractère personnel bien avant l'échéance réglementaire du responsable du traitement.
§Qui prend la décision ?
Définissez les responsabilités avant qu'un incident ne survienne.
Responsable de la gestion de l'incident
Assure la coordination opérationnelle, l'escalade et le respect des délais de réponse.
Équipe sécurité
Assure le confinement technique, l'investigation numérique, la remédiation et l'analyse des causes profondes.
Fonction protection des données / DPO
Contribue à l'analyse au regard du droit de la protection des données, à l'évaluation de la notification, à la documentation et aux échanges avec l'autorité, dans le cadre du modèle de gouvernance de l'organisation.
Conseil juridique
Fournit des conseils juridiques et apporte son appui sur les aspects réglementaires, contractuels, contentieux et de communication, le cas échéant.
Communication
Coordonne la communication auprès des clients, des collaborateurs, des médias et des autres parties externes lorsque cela est nécessaire.
Direction générale
Prend les décisions métier et les décisions en matière de risque qui nécessitent une validation au plus haut niveau.
La décision finale de notification doit relever d'un processus décisionnel unique et clairement identifié.
§Erreurs courantes dans la réponse aux violations de données
Erreur n° 1 : considérer les 72 heures comme un délai universel
Le délai prévu par le GDPR ne s'applique pas automatiquement à toutes les juridictions.
Erreur n° 2 : attendre que l'investigation numérique soit entièrement terminée
La notification à l'autorité peut devoir intervenir avant que tous les faits ne soient connus. Des informations complémentaires peuvent souvent être fournies ultérieurement.
Erreur n° 3 : confondre incident de sécurité et violation de données à caractère personnel
Tous les événements de cybersécurité ne concernent pas des données à caractère personnel, et toutes les violations de données à caractère personnel n'ont pas les mêmes conséquences en matière de notification.
Erreur n° 4 : ne pas documenter une décision de ne pas notifier
Pour les responsables du traitement soumis au GDPR, la violation doit être documentée même lorsque la notification n'est pas requise.
Erreur n° 5 : appliquer un seuil de notification mondial unique
Des lois différentes appliquent des critères différents.
Erreur n° 6 : oublier les délais contractuels
Les clients, les sous-traitants, les assureurs cyber et d'autres cocontractants peuvent imposer des exigences de notification plus courtes que les délais légaux.
Erreur n° 7 : perdre des preuves numériques
Les mesures de confinement doivent être coordonnées avec la préservation des preuves.
Erreur n° 8 : publier un communiqué incomplet
Les communications externes doivent être exactes, cohérentes avec l'investigation et coordonnées avec les équipes juridique, protection des données, sécurité et communication.
§Liste de contrôle de la réponse aux violations de données
Les 6 premières heures
- Confirmer l'incident
- Ouvrir une fiche d'incident
- Préserver les preuves
- Identifier les systèmes potentiellement touchés
- Déterminer si des données à caractère personnel sont susceptibles d'être concernées
- Activer l'équipe de réponse
- Établir la chronologie de l'incident
Les 24 premières heures
- Contenir l'incident
- Identifier les données concernées
- Identifier les personnes concernées
- Identifier les juridictions concernées
- Contacter les sous-traitants / fournisseurs
- Commencer l'évaluation de la notification
- Vérifier les obligations de signalement contractuelles et sectorielles
Les 48 premières heures
- Finaliser l'évaluation préliminaire des risques
- Déterminer les seuils de notification applicables
- Identifier les autorités compétentes
- Rédiger la notification à l'autorité
- Rédiger la communication aux personnes, si nécessaire
- Obtenir les validations internes appropriées
Avant l'échéance applicable
- Transmettre les notifications requises aux autorités
- Informer les personnes concernées lorsque cela est requis
- Conserver les accusés de dépôt
- Documenter les décisions et les hypothèses
- Poursuivre la remédiation
Après la notification
- Fournir des informations complémentaires lorsque cela est requis
- Finaliser l'analyse des causes profondes
- Corriger les vulnérabilités
- Réexaminer les contrôles des sous-traitants
- Mettre à jour les politiques et procédures
- Mener un retour d'expérience après l'incident
- Organiser un exercice de réponse aux violations fondé sur les enseignements tirés
§Questions fréquentes
Toute violation de données est-elle soumise à un délai de 72 heures ?
Non. Le délai de 72 heures est spécifiquement associé aux notifications prévues à l'article 33 du GDPR. D'autres lois sur la protection des données et la cybersécurité prévoient des exigences différentes.
Le délai de 72 heures du GDPR commence-t-il à courir au début de l'attaque ?
Pas nécessairement. L'article 33 fait courir le délai à compter du moment où le responsable du traitement prend connaissance de la violation de données à caractère personnel.
Une notification au titre du GDPR peut-elle être transmise après 72 heures ?
Oui, si nécessaire, mais le responsable du traitement doit indiquer les motifs du retard.
Que faire si nous ne connaissons pas tous les faits ?
N'attendez pas nécessairement la fin de l'investigation. Le GDPR permet de communiquer les informations de manière échelonnée lorsque cela est approprié.
Toute violation impose-t-elle d'informer les personnes concernées ?
Non. En vertu du GDPR, la communication aux personnes dépend généralement de la question de savoir si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, sous réserve des exceptions applicables.
Que doit faire un sous-traitant après avoir découvert une violation ?
Le sous-traitant doit en informer le responsable du traitement dans les meilleurs délais et lui fournir des informations suffisantes pour qu'il puisse évaluer et respecter ses obligations.
Devons-nous notifier toutes les autorités de tous les pays où se trouvent nos clients ?
Pas automatiquement. Déterminez quelles autorités sont compétentes et appliquez les règles propres à chaque juridiction concernée.
Devons-nous notifier le CERT-In en plus des autorités de protection des données en Inde ?
Potentiellement. Le signalement en matière de cybersécurité et la notification de violation de données à caractère personnel sont deux questions de conformité distinctes. Les organisations doivent évaluer séparément les directives applicables du CERT-In, les exigences sectorielles, les obligations contractuelles et le cadre DPDP.
§Se préparer avant que l'incident ne survienne
Un plan de réponse aux violations de données est surtout utile avant qu'une violation ne se produise.
Les organisations doivent tenir à jour :
- Un plan de réponse aux incidents documenté
- Des rôles définis en matière de protection des données et de sécurité
- Les coordonnées des régulateurs et des autorités
- Des procédures d'escalade pour les sous-traitants
- Des critères d'évaluation des violations
- Des modèles de notification
- Des procédures de préservation des preuves
- Des journaux de décisions
- Des plans de communication
- Des scénarios d'exercices de simulation sur table
Un processus bien conçu doit permettre à l'organisation de passer de la détection à la prise de décision sans avoir à bâtir son dispositif de réponse en plein incident.
Besoin d'accompagnement pour la réponse aux violations de données ?
RegulatoryBridge aide les organisations à évaluer les incidents touchant les données à caractère personnel, à coordonner les exigences réglementaires, à documenter les décisions de notification et à gérer les obligations de conformité dans plusieurs juridictions.
Découvrez les services Emergency Response de RegulatoryBridge ou contactez notre équipe pour échanger sur vos besoins en matière de réponse aux incidents.