Violation de données : la procédure des 72 heures et le rôle du DPO
·
Mis à jour le ·
Par 
Bertrand Bucelle · 7 min de lecture
En bref
- En cas de violation de données personnelles (perte, vol, accès non autorisé), le responsable de traitement doit notifier la CNIL dans les 72 heures suivant la prise de connaissance, sauf si la violation est peu susceptible d'engendrer un risque (article 33 du RGPD). Si le risque pour les personnes est élevé, celles-ci doivent aussi être informées. Le DPO pilote cette réponse.
Qu'est-ce qu'une violation de données ?
Une violation est une atteinte à la sécurité entraînant la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Cela couvre aussi bien une cyberattaque qu'un e-mail envoyé au mauvais destinataire ou un ordinateur volé.
La règle des 72 heures
L'article 33 du RGPD impose de notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation, sauf si celle-ci est peu susceptible d'engendrer un risque pour les personnes. Ce délai court vite : sans procédure préparée, il est difficile à tenir.
L'information des personnes concernées
Lorsque la violation présente un risque élevé pour les droits et libertés des personnes (article 34), celles-ci doivent en être informées dans les meilleurs délais, avec des recommandations pour se protéger. Le DPO évalue ce niveau de risque et rédige les communications.
Le rôle du DPO dans la gestion de crise
- Qualifier l'incident et évaluer le risque
- Documenter la violation dans un registre dédié
- Rédiger et transmettre la notification à la CNIL sous 72 h
- Informer les personnes concernées si nécessaire
- Coordonner les mesures correctives avec le RSSI
Pourquoi anticiper avec un DPO externe
La qualité de la réponse dépend de la préparation : procédure définie, rôles clairs, modèles prêts. Un DPO externe disponible et couplé à un RSSI permet de réagir vite et juste. Data Comply One outille cette réponse et tient le registre des violations à jour.
Passez à l’action
Préparez votre réponse aux violations : un DPO + RSSI externalisés joignables avec Data Comply One.
Découvrir le DPO externalisé →Tester ma conformité gratuitement