Article 33 RGPD : notifier une violation sous 72 h

Une violation est confirmée, mais l’enquête technique n’a pas encore établi le nombre exact de personnes touchées. L’article 33 permet une notification initiale puis des compléments. Il ne faut donc pas attendre le rapport final pour décider si l’autorité de contrôle doit être informée.

Trois décisions distinctes : documenter, notifier, informer

L’Art. 33 du RGPD impose au responsable de traitement de documenter toute violation. Il doit la notifier à l’autorité compétente, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. L’Art. 34 ajoute l’information des personnes en cas de risque élevé, sous réserve de ses exceptions.

Une violation peut toucher la confidentialité, l’intégrité ou la disponibilité. Une suppression accidentelle ou l’indisponibilité de données utiles à des soins peut donc appeler une analyse, même sans exfiltration. L’Art. 4(12) en donne la définition ; la CNIL présente la démarche de notification.

Évaluez les conséquences pour les personnes : données concernées, possibilités d’identification, destinataires non autorisés, durée de l’exposition, vulnérabilités et protections effectives. Un petit nombre de personnes ou l’absence de données de santé ne prouve pas que le risque est négligeable.

Fixer le point de départ des 72 heures

L’Art. 33(1) prévoit une notification dans les meilleurs délais et, si possible, au plus tard 72 heures après avoir pris connaissance de la violation. En cas de dépassement, il faut communiquer les motifs du retard.

Les lignes directrices 9/2022 du CEPD, version 2.0, points 31–41 retiennent un degré raisonnable de certitude qu’un incident a compromis des données personnelles. Une alerte incertaine appelle une investigation rapide ; elle ne permet pas de différer artificiellement la prise de connaissance jusqu’à la fin de l’expertise.

Consignez séparément l’heure de l’alerte, celle des premiers constats probants et celle de la décision. Le délai part de la connaissance de la violation, pas de la réunion qui valide le dépôt. L’évaluation du risque doit avancer dans ce calendrier. En situation incomplète, utilisez la fiche de décision sous incertitude pour séparer faits, hypothèses et vérifications restantes.

Le sous-traitant alerte son client sans attendre

L’Art. 33(2) impose au sous-traitant d’informer le responsable dans les meilleurs délais après connaissance de la violation. Le texte ne lui accorde pas un délai général de 72 heures et ne fixe pas un plafond uniforme de 24 ou 48 heures.

Les points 44–48 des lignes directrices précitées précisent que le sous-traitant n’a pas à attendre son analyse du risque pour alerter. Il peut être autorisé à notifier pour le compte du responsable ; la responsabilité juridique de la notification reste à celui-ci.

Le contrat doit organiser les interlocuteurs, l’alerte initiale et les compléments. Une notification concernant les propres traitements de l’hébergeur s’analyse aussi selon son rôle pour ces opérations. La procédure d’alerte du sous-traitant au client fournit une trame utilisable pendant l’enquête.

Préparer les quatre rubriques légales

L’Art. 33(3)(a) à (d) prévoit quatre ensembles. La grille suivante permet de préparer la saisie sans inventer les éléments inconnus.

Ajoutez une chronologie et indiquez les informations encore recherchées. Évitez « aucun impact » lorsque vous savez seulement qu’aucune plainte n’a encore été reçue. Distinguez une mesure réalisée d’une mesure annoncée.

Lorsque la CNIL est l’autorité compétente, utilisez son téléservice accessible depuis la page officielle. Pour un traitement transfrontalier, vérifiez la compétence de l’autorité concernée ; la présence de personnes en France ne signifie pas à elle seule que toutes les notifications doivent être déposées exclusivement à la CNIL.

Compléter sans transformer le complément en report

L’Art. 33(4) autorise une communication échelonnée lorsque toutes les informations ne peuvent pas être fournies en même temps, sans retard indu. Il n’étend pas automatiquement le délai de la notification initiale.

Conservez la référence du dossier, puis complétez les éléments devenus disponibles. Corrigez explicitement une hypothèse initiale démentie plutôt que de laisser deux versions contradictoires. Notre guide sur le complément et la correction d’une notification détaille cette gestion.

Conserver une preuve utile, même sans notification

L’Art. 33(5) exige une documentation des faits, effets et mesures correctrices permettant à l’autorité de vérifier le respect du texte. Ajoutez l’analyse justifiant la notification ou son absence, la décision concernant les personnes et les actions de réexamen.

Le modèle de registre des violations aide à structurer ce dossier. Il se distingue du registre des activités de traitement. Conservez les pièces utiles de manière proportionnée et sécurisée ; l’obligation de documenter ne commande pas de dupliquer indéfiniment toutes les données compromises.

Une chronologie commentée : que sait-on à chaque étape ?

Prenons l’incident fictif N-39 d’un vendeur de matériel de bureau. Un fichier de réclamations a été placé par erreur dans un espace accessible sans authentification. Pour l’exemple, la CNIL est l’autorité compétente. Les horaires suivants sont inventés pour expliquer la décision ; ils ne constituent pas un délai d’attente recommandé.

Le vendredi 2 octobre 2026 à 9 heures, un signalement indique qu’un répertoire paraît ouvert. L’équipe commence immédiatement les vérifications. À ce stade, elle n’a pas encore établi quels fichiers sont accessibles ni s’ils contiennent des données personnelles. Cette incertitude initiale est décrite dans le journal, sans retarder l’examen.

À 10 h 20, elle confirme qu’un fichier contenant des noms, coordonnées, références d’achat et textes de réclamation peut être téléchargé sans autorisation. La violation de confidentialité est établie : il n’est pas nécessaire de prouver qu’un fraudeur a déjà utilisé les informations. Dans les faits posés pour ce cas, c’est le moment où le responsable dispose d’un degré raisonnable de certitude.

À 10 h 35, l’accès public est fermé. Cette action réduit la poursuite de l’exposition ; elle ne démontre pas qu’aucune copie n’a été obtenue auparavant. À 11 heures, l’analyse retient un risque : des coordonnées associées à un achat et à une réclamation peuvent faciliter une prise de contact frauduleuse crédible. Le vendeur décide de notifier sans attendre le décompte final des personnes.

Les 72 heures conduisent ici au lundi 5 octobre à 10 h 20. Le week-end n’est pas retiré du calcul. Mais cette borne ne justifie pas d’attendre lundi : la notification doit aussi intervenir dans les meilleurs délais. Dans le scénario, une première transmission intervient dès le vendredi à 16 heures, avec les informations disponibles et les réserves indiquées. Si une notification est tardive, les motifs doivent accompagner le dépôt ; déclarer le retard ne le fait pas disparaître.

Préparer la première transmission de N-39

Le document de préparation pourrait contenir les éléments suivants. Il s’agit d’un exemple rempli, pas d’une notification réellement déposée ni d’un avis de la CNIL.

Les quatre premières lignes répondent aux ensembles légaux ; la cinquième rend les limites explicites. Le fichier comporte 60 réclamations, pas nécessairement 60 personnes : un même client peut avoir plusieurs demandes. Il ne faut pas convertir le nombre de lignes en nombre de victimes sans vérifier ce qu’il représente.

L’analyse des textes libres est aussi utile : l’intitulé « réclamations commerciales » ne garantit pas que leur contenu soit limité à ces informations. Si des éléments aggravants sont découverts, l’évaluation du risque et la décision relative aux personnes sont reprises immédiatement. L’Art. 34 doit être examiné en parallèle, sans attendre une réponse de l’autorité ou la clôture de l’investigation.

Relier les compléments aux décisions précédentes

Le lendemain, dans notre illustration, le rapprochement établit que les 60 réclamations concernent 47 personnes distinctes. Ce résultat précise le décompte ; il ne réduit pas rétroactivement le nombre de réclamations exposées. Le complément indique les deux nombres et leur méthode de calcul. Les autres inconnues demeurent signalées tant qu’elles ne sont pas résolues.

Si la recherche des journaux ne permet pas de dater le début de l’exposition, la réponse n’est pas « exposition de durée nulle ». Le dossier explique la période observable et la limite de l’historique. La notification peut évoluer sans qu’il soit nécessaire de prétendre que la première version était exhaustive.

La clôture interne exige davantage que l’accusé de réception du téléservice. Le vendeur suit la correction de configuration, les éventuelles copies, les mesures d’accompagnement et les éléments demandés par l’autorité. Il conserve aussi l’analyse de risque et les raisons de chaque décision : notifier, compléter, informer les personnes ou ne pas le faire dans les conditions de l’Art. 34.

Si l’incident avait été détecté chez un sous-traitant, son alerte aurait alimenté cette chronologie. Le responsable ne pourrait pas repartir de zéro le jour où sa direction ouvre enfin le dossier. L’organisation des astreintes et des suppléances doit permettre de recevoir et traiter l’information utile sans dépendre d’une seule personne absente.

Ce qu’il faut retenir

• Documentez chaque violation, qu’elle soit notifiable ou non.
• Fixez le départ des 72 heures à partir de la connaissance de la violation.
• Déposez les informations disponibles puis complétez sans retard indu.
• Organisez l’alerte du sous-traitant et la preuve des décisions prises.

FAQ

Une notification complète après 72 heures vaut-elle mieux qu’une initiale partielle ?

L’Art. 33(4) permet précisément d’envoyer les informations en plusieurs temps lorsque nécessaire. Ne retardez pas la notification initiale pour attendre l’exhaustivité de l’enquête ; expliquez tout dépassement du délai.

Une violation sans dommage constaté peut-elle être notifiable ?

Oui. L’analyse porte sur le risque pour les droits et libertés, pas seulement sur un dommage déjà réalisé. Le dossier doit expliquer les conséquences possibles et les mesures effectives.

Le dépôt à la CNIL remplace-t-il l’alerte aux personnes ?

Non. L’Art. 34 prévoit une obligation distincte en cas de risque élevé. Les deux décisions doivent être examinées, sans attendre nécessairement une réponse de l’autorité.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.