Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Le délai court à compter de la connaissance de la violation. Qu'est-ce que ce mot recouvre, et pourquoi la précision décide-t-elle du dossier ?
Ni certitude ni compréhension : un degré raisonnable de conviction qu'une violation s'est produite suffit, et ce moment arrive presque toujours bien avant que l'investigation ne dise quelles données sont sorties
Toute la difficulté du sujet tient dans l'asymétrie entre une horloge courte et une connaissance lente, et déplacer le départ de l'horloge est la façon la plus naturelle de la faire disparaître. Les trois autres réponses le font chacune à leur manière, et chacune repose sur un élément vrai. La confirmation par l'investigation décrit ce qu'on aimerait attendre et fait dépasser le délai de plusieurs semaines. L'information par le sous-traitant est bien le point de départ pour un responsable de traitement dans ce cas précis, mais elle ne définit pas la connaissance en général. La description de la nature et du nombre est bien exigée par le formulaire, et c'est justement ce que la notification par étapes permet de compléter ensuite : exiger de les connaître pour partir confond le contenu de la notification avec sa date.
Fiche du glossaire · rgpd2. Un dirigeant estime que ne pas notifier protège l'entreprise. Qu'est-ce qui rend ce calcul perdant ?
Une autorité qui découvre une violation non notifiée traite deux manquements au lieu d'un, et le second est celui qu'elle sanctionne le plus volontiers parce qu'il est facile à établir
Le premier manquement se discute, il demande de qualifier des faits techniques ; le second se constate, il suffit de comparer une date à une autre. C'est cette facilité de preuve qui renverse le calcul, et non une menace supplémentaire. La proposition sur l'infraction pénale ajoute une gravité qui varie selon les droits et qui n'est pas le ressort du raisonnement. Celle sur la déchéance d'assurance confond deux déclarations distinctes, à l'autorité et à l'assureur, qui n'ont ni le même destinataire ni le même délai. Celle sur la prescription rallongée invente un effet civil, et elle est séduisante parce qu'elle sonne comme une sanction indirecte du silence.
Fiche du glossaire · bonne-foi3. L'urgence produit deux erreurs symétriques. Quelle voie la pratique a-t-elle construite entre elles, et qu'est-ce que chacune des deux erreurs coûte ?
La notification par étapes : on déclare ce qu'on sait, on nomme ce qu'on ignore, on annonce un calendrier. Attendre la certitude fait dépasser le délai ; notifier large expose des personnes qui n'étaient pas touchées et ouvre une exposition civile que rien n'obligeait à créer
Les deux erreurs viennent du même refus de vivre avec une information partielle, et la voie praticable consiste précisément à l'assumer par écrit. La proposition sur la notification conservatoire invente un effet suspensif : déclarer sous réserve ne suspend rien, et c'est d'ailleurs ce que la notification par étapes fait déjà, sans prétendre arrêter l'horloge. Celle qui notifie au périmètre maximal tient l'excès pour gratuit alors qu'il coûte : informer des personnes non touchées crée des réclamations. Celle qui demande un délai supplémentaire de droit invente une faculté, et son attrait est réel puisque c'est exactement ce qu'un juriste souhaiterait obtenir ce jour-là.
Fiche du glossaire · exfiltration-donnees4. Une entreprise a notifié l'autorité dans le délai et considère l'obligation accomplie. Qu'est-ce qui reste, et pourquoi n'obéit-il pas aux mêmes règles ?
L'information des personnes concernées : elle suppose un RISQUE ÉLEVÉ pour les droits et libertés, se fait dans les meilleurs délais sans compte d'heures, et porte un coût de mise en oeuvre considérable qui relève des frais de réponse
Deux obligations distinctes portent le même nom courant et n'ont ni le même seuil ni le même calendrier, et les confondre produit deux fautes opposées : informer trop tôt sur un périmètre faux, ou croire la seconde accomplie parce que la première l'est. Le décalage de calendrier est d'ailleurs un avantage, puisqu'il laisse le temps d'établir un périmètre juste. La proposition sur le communiqué invente une obligation de publicité. Celle sur le guichet unique nomme un mécanisme réel, qui organise la coopération entre autorités et ne remplace pas l'information des personnes. Celle qui n'y voit qu'une bonne pratique est la plus coûteuse, parce qu'elle fait manquer une obligation en croyant avoir fini.
Fiche du glossaire · rgpd5. Un prestataire qui subit l'incident découvre pendant la crise qu'il est déjà en retard, alors que le délai réglementaire court encore. Que s'est-il passé ?
Son contrat de sous-traitance lui impose un délai bien plus court que le délai réglementaire, précisément pour laisser à son client le temps d'agir : les délais s'emboîtent, et cette clause se lit à la signature et se teste comme une sauvegarde
Le retard vient d'un contrat et non d'un texte, et c'est ce qui le rend invisible à qui surveille la réglementation. Un prestataire notifie à ses clients, qui notifient aux autorités, et le délai qu'on lui impose est court par construction. La proposition qui fait courir le délai réglementaire depuis l'incident supprime la notion de connaissance pour une catégorie d'acteurs, ce qui n'existe pas. Celle qui met la notification à l'autorité à la charge du prestataire inverse la répartition entre responsable de traitement et sous-traitant, et c'est la confusion la plus fréquente de ce sujet. Celle qui déduit un délai réduit de la notification du client invente une mécanique de coopération.
Fiche du glossaire · declaration-de-risque