Délai de 72 heures en cas de violation de données : début du compte à rebours
Notifier dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Le piège : « en avoir pris connaissance » désigne le moment où vous avez un degré raisonnable de certitude, et non celui où vous confirmez chaque détail.
Écouter cette page (bêta)
Le délai de 72 heures en cas de violation commence à courir dès que vous avez un degré raisonnable de certitude qu’une violation de données à caractère personnel s’est produite. Cela ne signifie pas que chaque détail doit avoir été confirmé. Si vous soupçonnez une violation, mais attendez de disposer d’un rapport d’analyse forensique complet, vous avez déjà dépassé le délai. Le GDPR indique d’abord « dans les meilleurs délais », puis ajoute la limite maximale de 72 heures. Par conséquent, même si vous ne pouvez pas achever votre enquête, vous devez notifier l’autorité de contrôle dans les trois jours suivant le moment où vous avez constaté pour la première fois qu’un problème s’était produit.
Pour éviter de tomber dans le piège, rappelez-vous que le seuil requis pour « en avoir pris connaissance » est peu élevé. Si une alerte système signale un accès inhabituel à une base de données contenant des données à caractère personnel, cela suffit à déclencher le compte à rebours. Vous n’avez pas besoin de prouver que des données ont effectivement été exfiltrées. Une astuce utile consiste à envisager le délai de 72 heures comme un compte à rebours qui commence lorsque vous avez un soupçon raisonnable, et non lorsqu’un incident est confirmé. Autre indice : si une question décrit une violation découverte un vendredi après-midi, le délai continue de courir pendant le week-end. Les week-ends et les jours fériés ne suspendent pas les 72 heures.
Pour bien retenir ce point, associez le nombre 72 à l’expression « degré raisonnable de certitude ». Imaginez un analyste en sécurité déclarant : « Je suis raisonnablement certain que nous avons subi une violation », puis lançant immédiatement un minuteur de 72 heures. Si vous rencontrez une situation dans laquelle le responsable du traitement attend la fin d’une enquête complète avant de procéder à la notification, il s’agit clairement d’une violation. Le délai commence dès le soupçon, et non au moment de la certitude.
Quand un responsable du traitement doit-il notifier une violation de données à caractère personnel à l’autorité ?
Dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où il en a pris connaissance.