Le RGPD stipule qu'une violation de données susceptible de présenter un risque pour les personnes concernées doit être notifiée à l'autorité de contrôle dès que vous en avez connaissance. Le délai est court : 72 heures. Si vous ne notifiez pas, ou si vous notifiez trop tard, vous ne respectez pas une obligation du RGPD sur ce point. Ce que cela signifie concrètement dépend de la situation, et c'est précisément sur ce point que nous, en tant que rédaction, ne prenons pas position : cela vous appartient, à votre juriste ou à l'autorité de contrôle.
Ce qu'on peut décrire, en revanche : le RGPD confère à l'autorité de contrôle les pouvoirs d'enquêter sur une violation de données qui n'a pas été notifiée ou a été notifiée tardivement, et d'y répondre. La nature de cette réponse et la question de savoir si elle intervient ne sont pas prédéterminées et ne sont pas prévisibles. Pour vous en tant qu'entrepreneur, la question n'est donc pas tant « quelle est l'amende », mais « que dois-je mettre en place pour pouvoir évaluer rapidement si une notification est nécessaire ».
Ce que l'obligation de notification exige précisément
Le RGPD établit une distinction entre une notification à l'autorité de contrôle et une notification aux personnes concernées elles-mêmes. La première s'impose en cas de violation susceptible de présenter un risque ; la seconde, variante plus grave, s'impose en cas de risque élevé. Ces deux évaluations doivent se faire rapidement, et le délai de 72 heures pour l'autorité de contrôle court à partir du moment où vous avez découvert la violation, non à partir du moment où elle s'est produite. Qui ne maîtrise pas encore cette distinction peut la clarifier en quelques questions : en cinq questions pour voir où vous en êtes donne directement une indication sur la nécessité d'une notification.
Le cœur du problème lors d'une notification tardive n'est généralement pas la mauvaise volonté, mais le temps perdu en raison de l'incertitude : qui doit s'en charger, s'agit-il vraiment d'une violation de données au sens du RGPD, et avons-nous réellement un aperçu des systèmes contenant des données personnelles. C'est précisément là que le registre des activités de traitement prouve sa valeur : sans aperçu de vos traitements, établir l'étendue d'une violation coûte inutilement du temps sur les 72 heures dont vous disposez.
Vous devez aussi pouvoir justifier la non-notification
Un point moins connu : le RGPD vous demande aussi de documenter le moment où vous décidez de ne pas notifier une violation, et pourquoi. L'obligation de justification s'applique à l'évaluation elle-même, non seulement à la notification si elle intervient. Une violation que vous évaluez comme « ne présentant pas de risque pour les personnes concernées » et pour laquelle vous ne documentez nulle part cette évaluation est difficile à justifier après coup, en cas de question. Les lignes directrices de la CEPD y consacrent des développements substantiels ; la source et l'explication s'en trouvent dans la banque de connaissances par sujet.
Des conséquences qui vont au-delà de l'autorité de contrôle
Au-delà de votre relation avec l'autorité de contrôle, il y a deux autres endroits où une notification manquée peut poser problème. Le premier est le contrat de traitement des données : si vous traitez des données personnelles pour un client, celui-ci contient souvent un délai de notification propre, parfois plus court que les 72 heures légales, et ce délai s'ajoute alors au RGPD. Le second est la personne concernée elle-même : quelqu'un dont les données ont été divulguées et qui le découvre sans que vous le lui ayez notifié perd confiance, ce qui est indépendant de toute appréciation juridique.
Un assureur ou un donneur d'ordre qui demande ultérieurement comment une violation a été traitée regarde si l'évaluation a été faite en temps utile et, si nécessaire, si la notification a été effectuée. Ce n'est pas une amende, mais cela touche à ce qui motive souvent la mise en ordre de la protection des données : pouvoir montrer qu'il existe un processus, non seulement qu'il n'y a jamais rien d'anormal.
Pourquoi le délai est souvent le goulot d'étranglement
En pratique, ce n'est rarement la volonté de signaler qui fait défaut, mais la rapidité avec laquelle une organisation peut établir ce qui s'est passé, quelles données sont concernées et qui est impliqué. Un système qui met en marche l'horloge de 72 heures dès qu'une violation possible est enregistrée évite que ce délai ne s'écoule en discussions internes. La manière dont un tel système est structuré et sur quelles informations il repose est décrite à la page concernant d'où viennent les informations.
Qu'un événement spécifique chez vous soit soumis à l'obligation de notification, quel délai exact s'applique dans votre cas et quelles en sont les conséquences si une notification a été manquée ne peut pas être répondu de manière générale. Pour cette évaluation, un juriste ou l'Autorité de protection des données elle-même est l'interlocuteur approprié.
Souhaitez-vous d'abord avoir une vue d'ensemble de votre situation, sans obligations ? Le scan rapide gratuit et la base de connaissances donnent une première indication par sujet, y compris la source dans le texte officiel.