Vos préférences en matière de cookies

Lignes directrices CEPD · art. 7 RGPD

Nous utilisons des cookies techniques essentiels au fonctionnement de la plateforme (connexion, sécurité, sessions). Nous souhaiterions aussi utiliser des cookies analytiques pour comprendre comment l'améliorer.

Vous pouvez tout accepter, tout refuser, ou choisir les catégories à activer.Votre consentement est valable 6 mois et vous pouvez le retirer à tout moment depuis le pied de page.

Vous trouverez tout dans notre politique de confidentialité.

DPO WorkspaceEssai gratuit

Art. 33–34 RGPD

Logiciel violation de données : gérer les 72 heures sans panique

Face à une violation de données, chaque heure compte à partir du moment où le responsable de traitement en a connaissance — pas à partir de l'incident lui-même. Un logiciel de gestion des violations structure précisément ce parcours : évaluation initiale du risque, décision de notifier ou non, notification dans les délais à la CNIL et, en cas de risque élevé, information des personnes concernées.

Pour un DPO externe suivant plusieurs clients s'ajoute une difficulté supplémentaire : chaque client a son propre circuit d'alerte, ses propres contacts internes et son propre compte à rebours. Un tableur commun à tous les clients échoue précisément là où 72 heures ne laissent aucune marge.

Le délai court à la connaissance, pas à l'incident

L'article 33.1 du RGPD retient la connaissance de la violation. Les canaux d'alerte internes et une détection rapide sont donc déterminants : une découverte tardive due à une négligence organisationnelle ne peut être justifiée devant la CNIL par le seul délai de 72 heures.

Ce que couvre le parcours guidé

  • Compte à rebours de 72 heures dès la connaissance de la violation, avec rappels
  • Registre interne de toutes les violations (art. 33.5)
  • Modèle de notification à la CNIL (art. 33.3)
  • Modèle de notification aux personnes concernées en cas de risque élevé (art. 34)
  • Évaluation guidée des risques, avec justification de la décision de notifier ou non
  • Archivage dans le dossier client, relié au registre et à l'AIPD

Le compte à rebours tourne, les modèles sont prêts

Dans DPO Workspace, le minuteur de 72 heures démarre à la connaissance de la violation et reste relié au registre, à l'AIPD et aux documents de chaque client. Essai gratuit de 30 jours, sans carte bancaire.

Essayer gratuitement

Questions fréquentes

À partir de quand courent les 72 heures pour notifier ?

À partir du moment où le responsable de traitement a CONNAISSANCE de la violation, et non à partir de l'incident lui-même (art. 33.1 RGPD). D'où l'importance des canaux d'alerte internes et d'une détection rapide : le temps perdu avant la découverte ne suspend pas le délai, et une découverte tardive due à une négligence organisationnelle est elle-même critiquable.

Toutes les violations de données doivent-elles être notifiées ?

Non, seulement celles susceptibles d'engendrer un risque pour les droits et libertés des personnes physiques (art. 33.1 RGPD). En cas de risque élevé s'ajoute l'obligation de notifier les personnes concernées (art. 34 RGPD).

Que doit contenir la notification à la CNIL ?

La nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le nom et les coordonnées du DPO, les conséquences probables et les mesures prises ou proposées (art. 33.3 RGPD). Si tout n'est pas connu dans les 72 heures, la notification peut être complétée par étapes.

Faut-il documenter toute violation, même non notifiée ?

Oui. L'article 33.5 du RGPD impose un registre interne de toutes les violations, y compris celles ne devant pas être notifiées, avec les faits, les conséquences et les mesures prises — comme preuve de responsabilité (accountability) en cas de contrôle de la CNIL.

Comment notifier une violation à la CNIL en pratique ?

Via le téléservice de notification en ligne disponible sur le site de la CNIL, qui délivre un accusé de réception et permet de compléter la notification en plusieurs fois si les informations ne sont pas toutes disponibles dans le délai de 72 heures.

Violations gérées sans panique, avec les bonnes échéances

Minuteur, registre et modèles pour chaque client, au même endroit.

Essai gratuit