Les 72 heures de l'article 33 sont le chiffre le plus connu du règlement et le plus mal lu. Les entreprises démarrent le délai au mauvais moment, envoient le mauvais contenu et confondent l'obligation du sous-traitant avec celle du responsable. Cet article lit les articles 33 et 34 du côté d'une entreprise de logiciels et vous remet la page du délai de violation qui fait le calcul et rédige la notification.

Quand le délai commence : la prise de connaissance, pas l'alerte

L'article 33, paragraphe 1, exige du responsable du traitement qu'il notifie une violation de données à caractère personnel à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Le délai commence à la prise de connaissance, et les lignes directrices du Comité européen de la protection des données sur les violations disent ce que cela signifie : le responsable doit être considéré comme ayant pris connaissance lorsqu'il a un degré raisonnable de certitude qu'un incident de sécurité s'est produit et a compromis des données à caractère personnel. Une alerte de supervision à 03:00 n'est pas une prise de connaissance ; le moment où l'ingénieur d'astreinte confirme que des enregistrements clients ont été lus par quelqu'un qui n'aurait pas dû les lire en est une. L'enquête qui produit cette certitude doit être courte, et le considérant 87 le dit : il convient de vérifier que les mesures sont en place pour établir immédiatement si une violation s'est produite.

Les 72 heures ne sont pas un objectif, ce sont un plafond. Lorsque la notification n'est pas faite dans les 72 heures, l'article 33, paragraphe 1, exige qu'elle soit accompagnée des motifs du retard. La page du délai de violation calcule l'échéance à partir du moment que vous saisissez et, une fois celle-ci dépassée, dit que la règle des motifs du retard s'applique désormais à tout ce que vous envoyez.

Ce que contient la notification, et les phases

L'article 33, paragraphe 3, fixe le contenu minimal en quatre points : (a) la nature de la violation, y compris si possible les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; (b) le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact ; (c) les conséquences probables de la violation ; (d) les mesures prises ou proposées pour y remédier, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. L'article 33, paragraphe 4, retire ensuite l'excuse à laquelle la plupart des entreprises se raccrochent : si, et dans la mesure où, il n'est pas possible de fournir toutes les informations en même temps, elles peuvent être communiquées de manière échelonnée sans autre retard indu. Une notification incomplète à temps vaut mieux qu'une notification complète en retard.

L'article 33, paragraphe 5, est la partie qui survit à l'incident : le responsable documente toute violation, ses faits, ses effets et les mesures prises pour y remédier, notifiée ou non, sous une forme qui permet à l'autorité de contrôle de vérifier le respect des obligations. Cette documentation est le registre de l'incident, et c'est la première chose qu'une autorité demande après une plainte.

Le délai propre du sous-traitant

L'article 33, paragraphe 2, donne au sous-traitant une obligation différente : il notifie le responsable dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel. Il n'y a pas de compte d'heures. Pour une entreprise SaaS, c'est l'obligation qui compte le plus, parce que chaque client dont les données se trouvent dans le produit est un responsable dont les 72 heures commencent avec votre notification, et le contrat de sous-traitance fixe en général la vitesse à laquelle elle est envoyée ; la clause (f) de l'article 28, paragraphe 3 est l'endroit où elle se trouve. Un sous-traitant qui attend de terminer sa propre enquête avant de prévenir le client dépense les heures du client.

Les personnes concernées : l'article 34 et ses trois exceptions

L'article 34, paragraphe 1, exige du responsable qu'il communique la violation aux personnes concernées dans les meilleurs délais lorsqu'elle est susceptible d'engendrer un risque élevé pour leurs droits et libertés : usurpation d'identité, fraude, perte financière, discrimination, atteinte à la réputation, perte de confidentialité de données protégées par le secret professionnel, le considérant 85 les énumère. L'article 34, paragraphe 2, fixe le contenu : la nature de la violation en des termes clairs et simples et au moins les informations de l'article 33, paragraphe 3, points b, c et d. L'article 34, paragraphe 3, nomme les trois cas où la communication n'est pas requise : les données étaient protégées par des mesures telles que le chiffrement qui les rendent incompréhensibles pour toute personne non autorisée à y accéder ; le responsable a pris des mesures ultérieures qui font que le risque élevé n'est plus susceptible de se matérialiser ; ou la communication exigerait des efforts disproportionnés, auquel cas une communication publique informe les personnes concernées de manière tout aussi efficace. L'article 34, paragraphe 4, permet à l'autorité de contrôle d'exiger la communication lorsque le responsable ne l'a pas faite.

Les délais à côté : NIS2, le CRA et DORA

Une entreprise de logiciels soumise à NIS2, au CRA ou ayant un client bancaire soumis à DORA fait courir un second délai à partir du même moment de prise de connaissance, avec un autre destinataire et un autre seuil. L'article 23 de NIS2 donne à une entité essentielle ou importante 24 heures pour l'alerte précoce, 72 heures pour la notification et un mois pour le rapport final, au CSIRT ou à l'autorité compétente, pour un incident important. Le CRA donne à un fabricant 24 heures pour l'alerte précoce, 72 heures pour la notification et 14 jours pour le rapport final sur une vulnérabilité activement exploitée, à la plateforme de l'ENISA. DORA donne à une entité financière 4 heures à compter de la classification et 24 heures à compter de la prise de connaissance pour la notification initiale, 72 heures pour le rapport intermédiaire et un mois pour le rapport final sur un incident majeur lié aux TIC, qui atteint son éditeur de logiciels par la clause d'assistance en cas d'incident du contrat. Le délai RGPD est le seul des quatre qui se déclenche sur les seules données à caractère personnel ; l'article sur les délais NIS2 et CRA lit les autres seuils, et une seule procédure avec deux déclencheurs et deux destinataires les satisfait tous.

L'amende, et le registre

L'article 83, paragraphe 4, point a, fixe le plafond pour une violation des articles 33 et 34 à EUR 10 millions ou 2 % du chiffre d'affaires annuel mondial. Les décisions publiées des autorités sur les notifications tardives tournent chaque fois autour des trois mêmes constats : quand la prise de connaissance a commencé, si la notification était à temps ou motivée, et si le registre de l'article 33, paragraphe 5, existe. La page du délai de violation écrit les deux premiers à partir du moment que vous saisissez, et la notification qu'elle produit est le troisième.