Calculateur du délai de 72 heures pour notifier une violation de données RGPD, avec aide à la décision

Indiquez le moment où votre université a pris connaissance d’une violation de données à caractère personnel et obtenez l’échéance de l’article 33 du RGPD avec un compte à rebours, les échéances NIS2 si elles s’appliquent et le délai de notification prévu dans votre contrat de sous-traitance. Répondez ensuite à une courte grille d’analyse fondée sur les lignes directrices du CEPD, ouvrez la page de notification de votre autorité de contrôle et copiez une fiche pour le registre prévu à l’article 33, paragraphe 5. Tout fonctionne dans votre navigateur.

Publié le 9 octobre 2026 · Sources vérifiées le 9 octobre 2026

Également disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Español · Português

Comment le délai de 72 heures est-il calculé ?

Les 72 heures de l’article 33, paragraphe 1, du RGPD courent à partir du moment où l’université a pris connaissance de la violation, et ce sont des heures calendaires : les nuits, les week-ends et les jours fériés comptent tous. Les lignes directrices du CEPD sur la notification des violations renvoient au règlement 1182/71 portant détermination des règles applicables aux délais, aux dates et aux termes, qui inclut les samedis, dimanches et jours fériés dans tout délai, sauf s’il est exprimé en jours ouvrables.

L’article 33, paragraphe 1, exige une notification « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Les 72 heures sont une limite extrême, pas un objectif. Une notification plus tardive doit être accompagnée des motifs du retard, et s’il manque des informations, vous pouvez notifier de manière échelonnée (art. 33, paragraphe 4).

Le délai court à partir de la prise de connaissance, et non de l’incident lui-même. Le CEPD considère qu’un responsable du traitement a pris connaissance d’une violation lorsqu’il a « a reasonable degree of certainty » (un degré raisonnable de certitude) qu’un incident de sécurité a compromis des données personnelles (lignes directrices 9/2022, point 31). Une brève enquête est admise avant ce moment, mais elle doit commencer le plus tôt possible (point 34).

Ce qu’ajoute le règlement 1182/71

Au point 40 des lignes directrices 9/2022, le CEPD ajoute aux 72 heures une note de bas de page renvoyant au règlement (CEE, Euratom) n° 1182/71, qui fixe les règles générales de l’UE en matière de délais, de dates et de termes. Trois de ses règles comptent ici :

• Les délais comprennent les jours fériés, les dimanches et les samedis, sauf si ceux-ci en sont expressément exclus ou si les délais sont exprimés en jours ouvrables (art. 3, paragraphe 3).
• Le report au jour ouvrable suivant lorsqu’un délai expire un week-end ou un jour férié ne vaut que pour les délais qui ne sont pas exprimés en heures (art. 3, paragraphe 4). Il ne prolonge donc pas les 72 heures.
• Pour un délai exprimé en heures, l’heure au cours de laquelle survient l’événement n’est pas comptée (art. 3, paragraphe 1). En lecture stricte, une prise de connaissance à 10 h 20 fait commencer le délai à 11 h 00, qui expire donc à 11 h 00 trois jours plus tard.

Analyse de Validemic L’outil affiche comme échéance les 72 heures comptées à partir de la minute de prise de connaissance, et la lecture stricte au titre de l’article 3, paragraphe 1, en remarque. Prévoyez l’heure la plus précoce. Les quelques minutes supplémentaires ne valent pas une discussion avec votre autorité, et l’obligation est de toute façon de notifier dans les meilleurs délais.

Fuseaux horaires et changements d’heure

L’outil convertit l’heure saisie en un instant précis, de sorte que l’échéance est exacte dans n’importe quel fuseau horaire. Si un changement d’heure intervient pendant les 72 heures, il compte 72 heures écoulées : l’échéance tombe alors une heure plus tôt ou plus tard, à l’horloge murale, que l’heure de prise de connaissance. L’outil le signale et indique l’heure la plus précoce.

Quand le délai commence-t-il si la violation a lieu chez un fournisseur ?

En principe, lorsque le fournisseur vous en informe. Le sous-traitant notifie la violation au responsable du traitement « dans les meilleurs délais » après en avoir pris connaissance (art. 33, paragraphe 2), et le CEPD estime que le responsable du traitement doit en principe être considéré comme ayant pris connaissance de la violation dès que le sous-traitant l’en a informé (lignes directrices 9/2022, point 44). Le RGPD ne fixe pas de nombre d’heures pour le fournisseur.

Le CEPD recommande donc que les sous-traitants notifient rapidement et complètent les informations par étapes, et que le contrat précise comment l’article 33, paragraphe 2, est respecté, ce qui « can include requirements for early notification » (peut comprendre des exigences de notification précoce) (points 45 et 46). Le sous-traitant n’a pas à évaluer le risque avant de vous informer : c’est le rôle de l’université (point 44). Le contrat doit aussi obliger le sous-traitant à aider l’université à respecter les articles 32 à 36 (art. 28, paragraphe 3, point f).

Analyse de Validemic Si un contrat de sous-traitance accorde au fournisseur 72 heures ou plus, celui-ci peut épuiser toute cette durée avant que l’université ne soit informée. Votre propre délai commence plus tard, mais votre autorité demandera tout de même pourquoi la notification a pris autant de temps. Saisissez à l’étape 1 le délai prévu par le contrat pour vérifier si le fournisseur l’a respecté, et consignez la réponse. Notre guide de gestion des violations liste ce que doit contenir une clause de violation dans un contrat de sous-traitance, et l’outil de vérification des contrats de sous-traitance confronte un contrat à l’article 28, paragraphe 3.

Vous évaluez un fournisseur en ce moment ? Validemic analyse ses documents au regard du RGPD et du règlement sur l’IA, et cite la source de chaque constat. Essayer l’espace de démonstration

Faut-il notifier une violation de données ?

Trois issues sont possibles. Si la violation n’est pas susceptible d’engendrer un risque pour les personnes, vous la consignez sans la notifier. Si elle est susceptible d’engendrer un risque, vous notifiez l’autorité de contrôle. Si elle est susceptible d’engendrer un risque élevé, vous informez aussi les personnes concernées (art. 34), sauf si l’une des conditions de l’article 34, paragraphe 3, s’applique. Toute violation est consignée au titre de l’article 33, paragraphe 5.

L’aide à la décision de l’étape 2 suit les facteurs énumérés par le CEPD à la section IV des lignes directrices 9/2022 : le type de violation ; la nature, la sensibilité et le volume des données ; la facilité d’identification des personnes ; la gravité et la durée des conséquences possibles ; les caractéristiques particulières des personnes, comme les enfants ; et le nombre de personnes concernées. Plusieurs points des lignes directrices déterminent son résultat :

• Lorsque des catégories particulières de données ou des données relatives aux infractions pénales sont en cause, le dommage « should be considered likely to occur » (doit être considéré comme probable) (point 102).
• Des données correctement chiffrées, dont la clé n’a pas été compromise, sont en principe incompréhensibles : une violation de la confidentialité peut alors ne pas devoir être notifiée, à condition qu’une sauvegarde existe. En l’absence de sauvegardes suffisantes, l’information des personnes peut tout de même être requise (points 76 à 79).
• Un destinataire de confiance, comme un autre service ou un fournisseur connu qui restitue ou supprime les données, peut écarter la probabilité du risque (point 114).
• Lorsque vous ignorez si des données ont été copiées, évaluez « the worse scenario » (le scénario le plus défavorable) (lignes directrices 01/2021, point 30).
• « If in doubt, the controller should err on the side of caution and notify » (en cas de doute, le responsable du traitement devrait pécher par excès de prudence et notifier) (lignes directrices 9/2022, point 119).

Les exemples commentés des lignes directrices 01/2021 du CEPD montrent comment ces facteurs se combinent :

L’article 34, paragraphe 3, supprime l’obligation d’informer les personnes si les données étaient incompréhensibles (par exemple chiffrées), si des mesures ultérieures font que le risque élevé n’est plus susceptible de se matérialiser, ou si un contact individuel exigerait des efforts disproportionnés. Dans ce dernier cas, une communication publique est requise à la place. Notre guide de gestion des violations applique ces facteurs à quatre scénarios universitaires.

Quels sont les délais NIS2 de 24 heures, 72 heures et un mois ?

Si votre université est une entité essentielle ou importante au sens de la loi nationale de transposition de NIS2, un incident important appelle une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification d’incident dans les 72 heures et un rapport final au plus tard un mois après la notification d’incident (directive (UE) 2022/2555, art. 23, paragraphe 4). Ces signalements sont adressés au CSIRT ou à l’autorité compétente, et non à l’autorité de protection des données.

Un incident est important s’il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières, ou des dommages considérables à d’autres personnes (art. 23, paragraphe 3). Si l’incident est toujours en cours à la date du rapport final, un rapport d’avancement est dû à cette date et le rapport final dans un délai d’un mois après le traitement de l’incident (art. 23, paragraphe 4, point e). Une même attaque par rançongiciel peut déclencher les deux régimes, et les deux délais peuvent commencer à des moments différents : celui de NIS2 lorsque vous avez connaissance d’un incident important, celui du RGPD lorsque vous savez que des données personnelles sont touchées.

Les lois nationales ajoutent des précisions. Le centre national suédois de cybersécurité, qui reçoit les signalements prévus par la loi sur la cybersécurité via son Cyberportal, compte les 24 heures à partir du moment où l’entité a identifié l’incident comme devant être signalé. Le BSI allemand explique que la prise de connaissance correspond au moment où un salarié apprend l’existence de l’incident « (innerhalb der Arbeitszeit) », c’est-à-dire pendant les heures de travail. L’inclusion d’une université dans le champ diffère selon les pays ; voir NIS2 et les universités : êtes-vous concernés ? et notre page sur NIS2.

Comment les universités organisent-elles le signalement des violations ?

Les universités qui respectent de manière fiable les 72 heures rendent la première étape facile : une seule adresse ou un seul formulaire, un signalement immédiat, sans attendre de connaître tous les faits. Quatre exemples :

• Le Trinity College Dublin demande aux personnels de signaler toute violation ou tout incident suspecté à son bureau de la protection des données « without delay for assessment » (sans délai, pour évaluation), et précise que « a data protection breach is not a disciplinary issue » (une violation de données n’est pas une affaire disciplinaire).
• L’université d’Édimbourg demande aux personnels de signaler un incident « immediately » (immédiatement) par e-mail au délégué à la protection des données, et de remplir la partie A de son formulaire d’évaluation dans les 24 heures suivant la découverte.
• L’université d’Oslo demande à toute personne qui traite des données personnelles pour son compte d’en informer immédiatement son supérieur hiérarchique, qui le signale ensuite à UiO-CERT au moyen d’un formulaire ; il n’est pas nécessaire de connaître d’abord tous les faits.
• L’université d’Utrecht demande aux personnels et aux étudiants de signaler les violations de données suspectées à son centre de services informatiques le plus tôt possible, par une adresse e-mail dédiée ou par téléphone en cas d’urgence.

Analyse de Validemic Le point commun est que signaler coûte peu à la personne qui constate le problème, et que l’analyse est réalisée de manière centralisée. Un circuit de signalement ouvert en dehors des heures de bureau compte, car les 72 heures ne s’interrompent pas le week-end.

Le délai de 72 heures va-t-il changer ?

En attente : la proposition « Digital Omnibus » de la Commission (COM(2025) 837, procédure 2025/0360(COD), 19 novembre 2025) porterait à 96 heures le délai de notification à l’autorité prévu par le RGPD, le limiterait aux violations présentant un risque élevé et créerait un point d’entrée unique pour les signalements d’incidents au titre de plusieurs textes. Au 9 octobre 2026, l’Observatoire législatif du Parlement européen indique « Awaiting committee decision » (en attente de la décision de la commission parlementaire). Tant qu’elle n’est pas adoptée et applicable, prévoyez 72 heures. L’article 33 est expliqué sur notre page consacrée au RGPD.

Sources

Toutes les sources ont été consultées le 9 octobre 2026. Les citations en anglais sont suivies de notre traduction entre parenthèses ; les citations du RGPD reprennent le texte officiel français.

1. Règlement (UE) 2016/679 (RGPD), articles 4, point 12, 28, paragraphe 3, point f, 33 et 34, EUR-Lex : eur-lex.europa.eu/eli/reg/2016/679/oj/fra (texte du Journal officiel lu via l’Office des publications de l’UE)
2. Directive (UE) 2022/2555 (NIS2), article 23 et considérant 102, EUR-Lex : eur-lex.europa.eu/eli/dir/2022/2555/oj/fra
3. CEPD, lignes directrices 9/2022 relatives à la notification des violations de données à caractère personnel en vertu du RGPD, version 2.0, adoptées le 28 mars 2023 : edpb.europa.eu, lignes directrices 9/2022
4. CEPD, lignes directrices 01/2021 sur des exemples concernant la notification des violations de données à caractère personnel, version 2.0, adoptées le 14 décembre 2021 : edpb.europa.eu, lignes directrices 01/2021
5. Règlement (CEE, Euratom) n° 1182/71 portant détermination des règles applicables aux délais, aux dates et aux termes, articles 1 et 3 : EUR-Lex, CELEX 31971R1182 (texte original lu via legislation.gov.uk, tel qu’adopté par l’UE, en anglais)
6. Observatoire législatif du Parlement européen, procédure 2025/0360(COD), Digital Omnibus : oeil.europarl.europa.eu
7. Pages de notification des violations des autorités de contrôle : IMY, Datatilsynet (Danemark), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, AEPD, CNPD, APD/GBA, Data Protection Commission, ICO et la liste des autorités de contrôle allemandes de la Datenschutzkonferenz. Nous n’avons pas pu accéder à datatilsynet.no à la date de vérification.
8. Points de signalement NIS2 : Suède, Nationellt cybersäkerhetscenter ; Danemark, Styrelsen for Samfundssikkerhed ; Finlande, NCSC-FI (Traficom) ; Pays-Bas, NCSC ; Allemagne, BSI : NIS-2-Meldepflicht ; Irlande, signalement des incidents au NCSC ; Commission européenne, transposition de NIS2
9. Trinity College Dublin, Data Breach Notification : tcd.ie/dataprotection/databreach
10. Université d’Édimbourg, Data protection breach and complaints procedure : data-protection.ed.ac.uk/breach-procedure
11. Université d’Oslo, Avvik ved behandling av personopplysninger (en norvégien) : uio.no, personvern, avvik
12. Université d’Utrecht, Report data breach : uu.nl, report data breach

À propos de cette page

Sources vérifiées le 9 octobre 2026. Nous avons lu le RGPD et NIS2 dans leur version au Journal officiel publiée par l’Office des publications de l’UE, l’intégralité des deux lignes directrices du CEPD, l’article 3 du règlement 1182/71, chacune des pages d’autorités et d’universités liées ci-dessus et la fiche de procédure du Parlement européen. L’aide à la décision est notre propre simplification des facteurs et des exemples du CEPD. C’est une aide à l’analyse et non un conseil juridique ; le responsable du traitement et son DPO restent responsables de l’évaluation, et le droit national ou la pratique de votre autorité peuvent ajouter des exigences. La logique de calcul des dates a été testée lors des changements d’heure. Si un lien a changé ou si vous repérez une erreur, contactez-nous et nous la corrigerons.