Une obligation de notification transforme un incident technique en évènement réglementaire, et elle le fait sur une horloge que personne ne contrôle. Le délai court à partir du moment où l'entreprise a connaissance de la violation, notion qui ne signifie ni certitude ni compréhension : il suffit d'un degré raisonnable de conviction qu'une violation de données s'est produite. Or ce moment arrive presque toujours bien avant que l'investigation ne dise quelles données sont sorties et pour combien de personnes. C'est cette asymétrie, entre une horloge courte et une connaissance lente, qui fait toute la difficulté du sujet. Ce module raisonne sur le RGPD et son délai de soixante-douze heures, mais d'autres régimes s'y ajoutent selon l'entité, chacun avec son horloge : NIS2 pour les entités essentielles et importantes, avec une alerte précoce en vingt-quatre heures, une notification en soixante-douze heures et un rapport final à un mois, et DORA pour le secteur financier.
Il faut d'abord dissiper une confusion fréquente : notifier n'est pas avouer, et ne pas notifier n'est pas se protéger. Une autorité de contrôle qui découvre une violation non notifiée traite deux manquements au lieu d'un, et le second est celui qu'elle sanctionne le plus volontiers parce qu'il est facile à établir. À l'inverse, une notification faite dans les délais, même incomplète, place l'entreprise dans une posture de coopération qui pèse dans l'appréciation ultérieure. La question n'est donc jamais s'il faut notifier mais quoi dire et à qui, dans un délai qui ne se négocie pas.
La notification par étapes est le mécanisme que la pratique a construit pour résoudre l'asymétrie, et il faut savoir l'employer. Les textes admettent qu'une notification initiale soit suivie de compléments à mesure que l'investigation avance : on déclare ce qu'on sait, on nomme ce qu'on ignore, on annonce un calendrier. Cette voie est très supérieure aux deux erreurs symétriques que l'urgence produit. Attendre la certitude fait dépasser le délai. Notifier large, en supposant le pire périmètre, expose des personnes qui n'étaient pas touchées et crée une exposition civile que rien n'obligeait à ouvrir.
S'ajoute une deuxième obligation, distincte et souvent confondue avec la première : informer les personnes concernées. Elle n'obéit ni au même seuil, puisqu'elle suppose un risque élevé pour les droits et libertés, ni au même calendrier, puisqu'elle se fait dans les meilleurs délais sans compte d'heures. Elle a un coût de mise en oeuvre considérable, adresses à retrouver, canal à choisir, centre d'appel à ouvrir, et ce coût relève des frais de réponse. Confondre les deux obligations conduit soit à informer trop tôt des personnes sur un périmètre faux, soit à croire la seconde accomplie parce que la première l'est.
La dimension multi-juridictionnelle est le troisième piège et il se referme sur les entreprises qui traitent des données de plusieurs pays. Les seuils, les délais, les autorités compétentes et les régimes sectoriels diffèrent, et une même violation peut déclencher des obligations parallèles devant plusieurs régulateurs, avec des contenus qui ne peuvent pas se contredire. Établir avant l'incident la carte des juridictions où l'on détient des données, et le point de contact dans chacune, est un travail d'une journée qui devient impossible en soixante-douze heures.
Une question de répartition doit enfin être posée, parce qu'elle décide de qui notifie : celle du responsable de traitement et du sous-traitant. Un prestataire qui subit l'incident notifie à ses clients, qui notifient aux autorités ; les délais s'emboîtent alors, et le contrat de sous-traitance fixe souvent au prestataire un délai bien plus court que le délai réglementaire, précisément pour laisser à son client le temps d'agir. Un prestataire qui découvre cette clause pendant l'incident découvre aussi qu'il est en retard. Elle se lit à la signature, et elle se teste, comme on teste une sauvegarde.
La discipline tient en trois préparations et une règle. Cartographier les juridictions et les autorités compétentes avant l'incident. Savoir qui, dans l'entreprise, décide de notifier, et que cette personne soit joignable un dimanche. Avoir lu les clauses de notification de ses contrats de sous-traitance, dans les deux sens. Et la règle : on notifie dans le délai avec ce que l'on sait, en nommant ce que l'on ignore et en annonçant la suite, plutôt que d'attendre une certitude qui arrivera dans six semaines.
Un opérateur de services de santé découvre le vendredi 12 à 17 h des traces d'accès non autorisé à une base contenant des dossiers de patients. À ce stade, l'investigation ne peut dire ni quelles tables ont été lues, ni combien de personnes sont concernées : les journaux couvrent quatre mois et leur analyse demandera trois à quatre semaines. La base contient des données de patients résidant dans trois pays. Le délai réglementaire de notification est de soixante-douze heures à compter de la connaissance. Le directeur juridique propose d'attendre les conclusions de l'investigation pour ne pas notifier une information fausse. Que faut-il décider ?
La proposition du directeur juridique est celle qui coûte le plus cher, et son motif est honorable, ce qui la rend difficile à écarter. Attendre les conclusions ferait dépasser le délai de plusieurs semaines, et une autorité qui découvre une violation non notifiée traite deux manquements au lieu d'un, le second étant le plus facile à établir et le plus volontiers sanctionné. L'horloge, par ailleurs, a déjà commencé : la connaissance ne suppose ni certitude ni compréhension, et des traces d'accès non autorisé à une base de dossiers de patients suffisent à la constituer. Le délai expire donc le lundi 15 à 17 h, week-end compris, ce qui pose immédiatement la question de savoir qui décide un dimanche. La voie praticable est la notification par étapes : on déclare ce que l'on sait, à savoir la découverte, la nature de la base et la fenêtre temporelle des journaux ; on nomme ce que l'on ignore, le périmètre exact et le nombre de personnes ; et on annonce le calendrier de l'investigation avec un engagement de compléter. Deux points s'y ajoutent et se traitent séparément. L'information des personnes concernées n'obéit ni au même seuil ni au même calendrier : elle suppose un risque élevé et se fait dans les meilleurs délais, ce qui laisse le temps d'établir un périmètre juste plutôt que d'écrire à des patients qui n'étaient pas touchés. Et la présence de données dans trois pays ouvre des obligations parallèles dont les contenus ne peuvent pas se contredire : la carte des autorités compétentes doit être établie ce soir, faute de l'avoir été avant.
- 01L'horloge part de la connaissance, qui ne suppose ni certitude ni compréhension : elle court bien avant que l'investigation ne dise quoi que ce soit.
- 02Notifier n'est pas avouer : une autorité qui découvre une violation non notifiée traite deux manquements, et sanctionne le second plus volontiers.
- 03La notification par étapes résout l'asymétrie : on dit ce qu'on sait, on nomme ce qu'on ignore, on annonce un calendrier.
- 04Informer les personnes est une obligation distincte, avec un autre seuil et un autre calendrier : la confondre avec la première fait écrire à des gens non touchés.
- 05Le contrat de sous-traitance fixe souvent un délai plus court que le délai réglementaire : il se lit à la signature et se teste comme une sauvegarde.