Notification de violation de données

Le compte à rebours démarre à votre prise de connaissance. Indiquez quand, et où résident les personnes touchées : l’outil calcule l’échéance pour chaque autorité concernée.

Quand avez-vous eu connaissance de la violation ?

Le délai court depuis votre prise de connaissance, pas depuis l’intrusion.

Où résident les personnes touchées ?

Cochez tout ce qui s’applique — c’est rarement une seule juridiction.

La violation risque-t-elle de porter préjudice aux personnes ?

Nom, adresse, téléphone, date de naissance : de quoi monter des arnaques ciblées.

Vos obligations

Indiquez la date de prise de connaissance et les juridictions.

Le calcul se fait dans votre navigateur ; aucun détail de l’incident n’est transmis.

Ce que la notification doit contenir

La description de l’incident et la façon dont il s’est produit.
Les catégories de personnes touchées et leur nombre approximatif.
L’évaluation des conséquences probables.
Les mesures prises pour contenir la fuite et éviter qu’elle se répète.

Outil d’orientation sur les délais et obligations, et non un conseil juridique. Textes de référence : RGPD art. 33 et 34, PDPL saoudienne et son règlement d’application art. 24, loi organique tunisienne 2004-63.

Trois régimes, trois réponses différentes

La plupart des entreprises en connaissent un seul — celui du pays où elles sont immatriculées. C’est rarement le seul qui les oblige.

RGPD — art. 33 et 34

72 heures pour notifier l’autorité de contrôle (la CNIL en France) à compter de la prise de connaissance. Si le risque pour les personnes est élevé, l’art. 34 impose de les informer elles aussi, sans délai. Notifier en retard reste possible, à condition de motiver le retard.

PDPL saoudienne — art. 24

72 heures pour notifier la SDAIA, sans seuil de matérialité : vous ne pouvez pas décider qu’une fuite était trop petite pour être déclarée. Les personnes sont informées dès qu’un préjudice est possible.

Tunisie — loi 2004-63

Aucune obligation de notification de violation dans un délai fixé. Le texte est antérieur au RGPD et n’a jamais acquis cette obligation. L’outil le dit plutôt que d’inventer une échéance.

Le piège territorial

Une société tunisienne ou saoudienne qui détient des données de résidents européens entre dans le champ du RGPD, quel que soit son siège. « Nous ne sommes pas en Europe » n’exempte de rien.

Quand cela sert

Le jour même d’un incident, pour savoir qui prévenir et avant quand
Préparer un plan de réponse avant d’en avoir besoin
Vérifier si une filiale à l’étranger vous fait entrer dans un autre régime
Cadrer la réunion de crise sur des échéances plutôt que sur des impressions

Questions fréquentes

Le délai court à partir de quand exactement ?

De la prise de connaissance, pas de l’intrusion. Une intrusion de mars découverte en août fait démarrer les 72 heures en août. Le RGPD parle d’un « degré raisonnable de certitude » qu’un incident de sécurité a compromis des données personnelles : une alerte non vérifiée ne suffit pas, une confirmation technique suffit.

Que se passe-t-il si je dépasse les 72 heures ?

Le RGPD prévoit explicitement la notification tardive : elle doit alors être accompagnée des motifs du retard. Le pire choix est de ne pas notifier du tout, puis que l’autorité l’apprenne autrement — ce qui transforme un incident en manquement.

Dois-je prévenir les clients eux-mêmes ?

Sous le RGPD, seulement si le risque pour eux est élevé (art. 34). Nom, adresse, téléphone et date de naissance réunis suffisent généralement à monter des arnaques ciblées, ce qui pousse vers l’information. Sous la PDPL saoudienne, dès qu’un préjudice est possible. Si vous concluez que ce n’est pas nécessaire, documentez le raisonnement : c’est lui qu’on vous demandera.

Et si les données bancaires ne sont pas touchées ?

Cela réduit le risque de fraude directe, pas l’obligation de notifier l’autorité. Un jeu de données d’identité et de contact reste exploitable pour de l’hameçonnage crédible, où l’attaquant cite votre vraie adresse et vos vraies commandes.

Mes données d’incident sont-elles envoyées quelque part ?

Non. Tout est calculé dans votre navigateur ; aucun détail ne quitte votre machine.

Outil d’orientation sur les délais et obligations, pas un conseil juridique. Textes de référence : RGPD art. 33 et 34, loi saoudienne PDPL et son règlement d’application art. 24, loi organique tunisienne 2004-63.

Pour les entreprises

Sauriez-vous dire, aujourd’hui, quelles données vous détenez et où ?

La plupart des équipes perdent le premier jour d’un incident à répondre à cette question. Nous cartographions les flux de données, instrumentons la détection et automatisons la piste d’audit — pour que le compte à rebours démarre avec des réponses, pas avec une enquête.

Parlons-en Nos services

Outils gratuits