Le délai de 72 heures est probablement l'obligation du RGPD la plus citée et la plus mal comprise. Il ne commence pas au moment de l'attaque, il n'impose pas de tout savoir, et il ne se déclenche pas systématiquement. En 2025, la CNIL a reçu 6 167 notifications de violation de données, soit près de seize par jour. Voici comment se comporte une organisation qui a préparé cette séquence — et où se situent les erreurs les plus coûteuses.
Ce que le texte dit exactement
L'article 33.1 du RGPD impose au responsable de traitement de notifier la violation à l'autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.
Trois précisions échappent souvent aux organisations qui découvrent l'obligation en situation de crise :
- La notification par phases est prévue par le texte lui-même (article 33.4). Si toutes les informations ne sont pas disponibles, elles peuvent être communiquées de manière échelonnée. Un dossier incomplet envoyé dans le délai vaut mieux qu'un dossier complet envoyé au cinquième jour.
- La documentation interne est obligatoire dans tous les cas (article 33.5), y compris lorsque la violation n'a pas à être notifiée. La CNIL vérifie l'existence de ce registre lors de ses contrôles.
- L'information des personnes concernées est une obligation distincte (article 34), déclenchée lorsque le risque est élevé, et soumise à son propre critère.
Sur le plan des sanctions, les manquements aux obligations de sécurité et de notification relèvent du plafond de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial prévu à l'article 83.4 du RGPD. La CNIL rappelle par ailleurs, dans sa plaquette cybersécurité 2026, le plafond de 20 millions d'euros ou 4 % applicable aux manquements les plus graves au règlement.
Quand le compteur démarre
Le délai court à compter de la « prise de connaissance » par le responsable de traitement, c'est-à-dire du moment où il dispose d'un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles. Ce n'est ni la date de l'intrusion, ni la fin de l'investigation.
C'est la zone grise où se jouent la plupart des retards. Une alerte remontée un vendredi soir par un administrateur, un signalement d'un client indiquant recevoir des courriels frauduleux à une adresse fournie à vous seul, un message d'un chercheur en sécurité : ce sont des points de départ possibles. La bonne pratique consiste à horodater formellement chaque signal et la décision de qualification, afin de pouvoir démontrer, ultérieurement, que le délai a été respecté à compter du bon événement.
Point d'attention fréquemment sous-estimé : lorsque la violation survient chez un sous-traitant, celui-ci doit vous alerter dans les meilleurs délais, et c'est votre propre prise de connaissance qui fait courir votre délai. Dix pour cent des notifications reçues par la CNIL en 2025 faisaient suite à un incident survenu chez un sous-traitant. Le contrat doit donc prévoir un délai d'alerte interne compatible avec vos 72 heures — quelques heures, pas « dans les meilleurs délais ».
Ce que montrent les chiffres 2025 de la CNIL
Les données publiées par la CNIL dans sa plaquette cybersécurité 2026 dessinent un profil de risque assez net :
- 6 167 notifications de violation de données en 2025, soit près de 16 par jour ;
- 94 % des notifications concernent une perte de confidentialité, c'est-à-dire un accès ou une copie par un tiers ;
- le piratage informatique représente 50 % du total des notifications ;
- 539 notifications résultent d'une attaque par rançongiciel, soit 9 % du volume ;
- 10 % des notifications font suite à un incident survenu chez un sous-traitant ;
- 23 sanctions prononcées par la CNIL comportaient au moins un manquement à la sécurité des données.
Le dispositif Cybermalveillance.gouv.fr relève de son côté, dans son rapport d'activité 2025, une progression de 107 % des demandes liées aux violations de données, tous publics confondus. La CNIL a par ailleurs annoncé consacrer en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données.
Les 72 heures, séquence opérationnelle
| Fenêtre | Objectif | Livrables |
|---|---|---|
| H+0 à H+4 | Endiguer et horodater | Isolation des systèmes, préservation des journaux, main courante ouverte, DPO alerté |
| H+4 à H+24 | Qualifier | Nature de la violation, catégories et volume approximatif de données et de personnes, périmètre technique |
| H+24 à H+48 | Décider | Analyse du risque pour les personnes, décision de notifier ou non, décision d'informer ou non les personnes, dépôt de plainte |
| H+48 à H+72 | Notifier | Téléservice CNIL rempli, même partiellement ; mention explicite d'un complément à venir |
| Au-delà | Compléter et informer | Notification complémentaire, information des personnes si risque élevé, inscription au registre des violations |
La notification doit décrire, au minimum, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées du délégué à la protection des données, les conséquences probables et les mesures prises ou envisagées.
Deux erreurs récurrentes méritent d'être signalées. La première consiste à attendre le rapport d'investigation forensique : il arrive rarement avant plusieurs semaines. La seconde consiste à sous-notifier par prudence réputationnelle — une notification jugée inutile après coup n'a jamais coûté grand-chose, une notification absente peut constituer un manquement autonome.
Après la notification
L'information des personnes concernées, lorsque le risque est élevé, doit être formulée en termes clairs et simples, décrire la nature de la violation, ses conséquences probables et les mesures recommandées. Pour une fuite d'identifiants, cela signifie en pratique : indiquer précisément quelles données sont concernées, recommander le changement du mot de passe partout où il a été réutilisé, et alerter sur les campagnes d'hameçonnage ciblé qui suivent presque systématiquement une fuite.
Ce dernier point est le plus souvent négligé alors qu'il est le plus prévisible : une base de contacts exfiltrée alimente, dans les semaines qui suivent, des sollicitations très crédibles parce qu'elles reprennent des informations exactes. Prévenir vos clients et vos partenaires de cette séquence fait partie de la gestion de l'incident.
Le second compteur : NIS2
Pour les entités qui seront régulées par NIS2, le calendrier de notification est différent et plus serré : alerte précoce dans les 24 heures suivant la détection d'un incident important, notification complète dans les 72 heures, puis rapport final. Ce compteur est distinct de celui du RGPD, avec une autorité distincte et un critère de déclenchement distinct — un incident peut relever de NIS2 sans toucher de données personnelles, et inversement.
En France, le dispositif n'est pas encore applicable. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat les 11 et 12 mars 2025, puis en commission spéciale à l'Assemblée nationale en septembre 2025, sans adoption définitive à ce jour. La Commission européenne a décidé en juillet 2026 de saisir la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas pour défaut de notification des mesures de transposition, en demandant des sanctions financières. Les entreprises concernées ont donc, aujourd'hui, un délai supplémentaire pour se préparer — mais pas de raison d'attendre, la mécanique de notification étant largement mutualisable avec celle du RGPD.
Phishia accompagne la préparation de cette séquence en amont : modèle de main courante, arbre de décision de qualification, trame de notification pré-remplie et exercice de crise sur un scénario de fuite. L'objectif est que les 72 heures ne se jouent pas sur l'improvisation d'un vendredi soir.
Questions fréquentes
Faut-il notifier une violation découverte plusieurs mois après les faits ?
Oui. Le délai court à compter de la prise de connaissance, pas de la survenance. Une découverte tardive n'exonère pas de la notification ; elle doit en revanche être documentée avec précision.
Que faire si l'on ne sait pas encore quelles données ont été exfiltrées ?
Notifier dans le délai avec les éléments connus et préciser qu'un complément suivra. L'article 33.4 du RGPD prévoit explicitement cette notification par phases.
Une attaque par rançongiciel sans exfiltration est-elle une violation de données ?
Potentiellement oui : le chiffrement de données personnelles entraîne une perte de disponibilité, qui constitue une violation au sens du RGPD. La CNIL observe d'ailleurs une progression des notifications pour perte d'intégrité et de disponibilité liée aux rançongiciels.
Sources
- CNIL, « Cybersécurité — édition 2026 » (chiffres 2025 des notifications de violation)
- CNIL, « Notifier une violation de données personnelles »
- CNIL, « Sécurité : gérer les incidents et les violations »
- Cybermalveillance.gouv.fr, rapport d'activité et état de la menace 2025
- Commission européenne, « Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity », juillet 2026
- ANSSI, « Avancement de la transposition de la directive NIS 2 »
Liens consultés le 23 septembre 2026.