Failles de sécurité : que faire dans les 72 premières heures

Réponse directe : si des données personnelles sont perdues, divulguées ou volées dans votre entreprise, vous avez 72 heures à partir du moment où vous l'apprenez —et non à partir du moment où cela s'est produit— pour décider s'il faut prévenir l'Agencia Española de Protección de Datos (AEPD, l'autorité espagnole de protection des données), selon l'article 33 du Reglamento (UE) 2016/679 (RGPD). De nombreuses petites failles n'ont pas besoin d'être notifiées à l'AEPD, mais toutes, notifiées ou non, doivent être consignées dans votre registre interne d'incidents (art. 33.5 RGPD). Ce guide, révisé le 16 juillet 2026, explique quoi faire dans les premières heures, quand prévenir et quand ne pas le faire, avec des liens vers les sources officielles.

Sommaire

• Qu'est-ce qu'une faille de sécurité des données, exactement ?
• Que faire dans la première heure ?
• Quand dois-je prévenir l'AEPD et quand non ?
• Comment compte-t-on exactement les 72 heures ?
• Que se passe-t-il si je n'y arrive pas à temps ?
• Dois-je aussi prévenir les personnes concernées ?
• Comment notifier l'AEPD en pratique ?
• Que dois-je documenter même si je ne notifie rien ?
• Que se passe-t-il si je ne respecte pas cela ?
• Checklist des 72 premières heures
• Questions fréquentes
• Sources officielles

Qu'est-ce qu'une faille de sécurité des données, exactement ?

Une faille de sécurité (le RGPD l'appelle « violation de données à caractère personnel », art. 4.12) est toute défaillance qui touche des données personnelles que vous conservez : elles sont perdues, détruites, modifiées sans autorisation ou parviennent à quelqu'un qui ne devait pas les voir.

Il n'est pas nécessaire qu'il y ait une attaque informatique pour que cela compte. Sont notamment des failles de sécurité les cas suivants :

• Un ordinateur portable ou un téléphone professionnel perdu ou volé, contenant des données de clients ou de salariés.
• Un courriel contenant une fiche de paie, une liste de clients ou un contrat envoyé à la mauvaise personne.
• Un dossier de documents papier oublié dans un lieu public.
• Une attaque informatique, un virus ou un ransomware qui pénètre dans vos systèmes.
• L'accès d'une personne de votre équipe à des données qui ne la concernaient pas.

La loi ne fait pas de différence entre « grande faille » et « petite faille » lorsqu'il s'agit de vous obliger à l'enregistrer : la différence ne compte qu'au moment de décider s'il faut prévenir l'AEPD, les personnes concernées, les deux ou aucune des deux. C'est précisément ce que nous voyons dans le reste de l'article.

Que faire dans la première heure ?

Avant de penser aux notifications, il y a trois choses que vous pouvez régler en quelques minutes :

1. Arrêtez la défaillance si elle est encore en cours. Changez le mot de passe, révoquez l'accès, récupérez l'appareil si c'est possible. N'effacez rien qui puisse servir à comprendre ce qui s'est passé.
2. Notez l'heure exacte à laquelle vous l'avez appris. C'est l'information la plus importante de toutes : c'est de là que partent les 72 heures, et non du moment où la défaillance s'est réellement produite.
3. Rassemblez ce que vous savez déjà, même si c'est peu : ce qui s'est passé, quel type de données sont concernées (noms, courriels, données de santé, comptes bancaires…) et de combien de personnes, même s'il ne s'agit que d'un chiffre approximatif.

Vous n'avez pas besoin d'avoir la réponse complète pour commencer. L'AEPD accepte les notifications comportant des informations partielles, qui sont complétées ensuite (nous l'expliquons dans la section Comment notifier l'AEPD ?).

Quand dois-je prévenir l'AEPD et quand non ?

La règle de l'art. 33 RGPD est la suivante : vous devez notifier sauf s'il est improbable que la faille engendre un risque pour les droits et libertés des personnes concernées. En pratique, cela se traduit par deux scénarios habituels :

Il n'est probablement pas nécessaire de notifier lorsque, par exemple, les données étaient chiffrées et que la clé n'a pas été compromise, ou lorsque la donnée divulguée ne permet d'identifier personne ni de lui causer un préjudice réel (un fichier ne contenant que des codes internes, sans noms ni coordonnées).

Il est probablement nécessaire de notifier lorsque les données concernées sont identifiables et que leur perte, leur divulgation ou leur usage abusif peut causer un dommage réel aux personnes : usurpation d'identité, préjudice économique, discrimination, ou lorsqu'il s'agit de données de catégorie particulière (santé, origine ethnique, orientation sexuelle, appartenance syndicale, entre autres).

Même si la conclusion est « il n'est pas nécessaire de notifier à l'AEPD », cela ne vous libère pas d'une obligation : vous devez toujours documenter la défaillance dans votre registre interne. Nous le voyons dans la section Que dois-je documenter même si je ne notifie rien ?

Comment compte-t-on exactement les 72 heures ?

Le délai commence lorsque vous avez raisonnablement connaissance de la défaillance, et non lorsqu'elle s'est réellement produite. Si une défaillance a eu lieu le lundi mais que vous ne l'apprenez que le samedi, le compte à rebours des 72 heures commence le samedi, pas le lundi.

Les 72 heures se comptent en heures consécutives, pas en jours ouvrables : si vous l'apprenez un vendredi à 18:00, le délai se termine le lundi à 18:00, jours fériés et week-end compris. Il n'y a pas de pause pour les vacances ni pour la fermeture de l'entreprise.

C'est ce détail qui prête le plus à confusion : beaucoup de gens comptent le délai à partir du moment de la défaillance, et arrivent en retard sans s'en être rendu compte. Noter la date et l'heure exactes auxquelles vous l'avez appris, dès la première minute, c'est ce qui vous permet de calculer correctement le délai.

Que se passe-t-il si je n'y arrive pas à temps ?

Si vous dépassez les 72 heures, la consigne n'est pas « ça ne vaut plus la peine de prévenir » : il vaut toujours mieux notifier en retard que ne pas notifier. L'art. 33 RGPD lui-même prévoit ce cas : si la notification n'a pas lieu dans le délai, elle doit être accompagnée des motifs du retard.

En pratique, cela signifie une phrase honnête et sans excuses : ce qui s'est passé pour que l'avis arrive après les 72 heures (par exemple, qu'il ait fallu plus de temps pour comprendre la portée réelle de la défaillance). Ce n'est pas une formalité qui disparaît parce que le délai a été dépassé, c'est une formalité que l'on accomplit quand même, en expliquant le retard.

Dois-je aussi prévenir les personnes concernées ?

Parfois oui, en plus de prévenir l'AEPD. L'art. 34 RGPD oblige à communiquer la faille directement aux personnes concernées lorsqu'il est probable qu'elle engendre un risque élevé pour leurs droits : par exemple, si des données bancaires, des mots de passe ou des données de santé pouvant être utilisés contre elles ont été divulgués.

Lorsqu'il faut les prévenir, la communication doit se faire sans retard injustifié et dans un langage clair et simple —le même niveau de simplicité qu'exige le reste de la communication avec les clients—, en expliquant ce qui s'est passé, quelles données les concernant sont touchées, quelles conséquences cela peut avoir et ce qu'elles peuvent faire pour se protéger.

Ce second avis n'est pas toujours nécessaire : de nombreuses failles qui sont bien notifiées à l'AEPD n'atteignent pas le niveau de risque élevé qui déclenche l'art. 34. La décision dépend du cas concret, et non d'une règle automatique.

Comment notifier l'AEPD en pratique ?

Sur sa page consacrée aux failles de sécurité, l'AEPD explique que les notifications se font par voie électronique, via sa Sede Electrónica (son portail administratif en ligne). Sur cette même page, l'AEPD met à la disposition des responsables du traitement et des sous-traitants des outils d'aide : l'un pour évaluer si un incident concret exige une notification (Asesora Brecha) et l'autre pour préparer et envoyer l'avis (Comunica-Brecha RGPD).

Le contenu minimal de l'avis, selon l'art. 33.3 RGPD, comprend : ce qui s'est passé, approximativement combien de personnes et combien de données sont concernées, un contact auprès duquel demander plus d'informations, quelles conséquences probables cela peut avoir et quelles mesures vous avez prises ou allez prendre. Si, une fois les 72 heures écoulées, vous n'avez toujours pas toutes les informations, vous pouvez notifier avec ce que vous savez et compléter ensuite par étapes : le RGPD l'autorise expressément.

Que dois-je documenter même si je ne notifie rien ?

C'est l'obligation la plus souvent négligée. L'art. 33.5 RGPD vous impose de documenter toutes les failles de sécurité, qu'elles soient ou non notifiées à l'AEPD : les faits liés à la faille, ses effets et les mesures correctives adoptées.

Ce registre doit comporter, au minimum :

• La date à laquelle la défaillance s'est produite et la date à laquelle vous l'avez apprise.
• Ce qui s'est passé.
• Quel type de données et combien de personnes ont été touchées, approximativement.
• Quelles conséquences cela peut avoir pour ces personnes.
• Quelles mesures vous avez prises, ou allez prendre, pour y remédier et pour que cela ne se reproduise pas.

Si aucune défaillance ne s'est jamais produite dans votre entreprise, votre registre peut être vide : ce n'est pas un problème, c'est la normale, et cette feuille blanche respecte déjà la loi. Ce qui serait un problème, en revanche, c'est de ne pas avoir le registre prêt pour le jour où il faudra s'en servir.

Que se passe-t-il si je ne respecte pas cela ?

C'est l'AEPD qui surveille cela en Espagne. Elle peut demander des explications, ordonner des changements, adresser un avertissement ou infliger une amende. Le RGPD fixe les maximums possibles à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, et jusqu'à 20 millions ou 4 %, selon l'infraction (art. 83 RGPD) ; c'est le plus élevé des deux chiffres qui s'applique.

En pratique, ces chiffres sont le plafond légal, pas la norme : la sanction est graduée selon la gravité, la taille de l'entreprise et selon que vous avez coopéré ou non. Une petite entreprise qui enregistre ses incidents et notifie quand il le faut ne se trouve pas dans ce scénario. C'est pourquoi il est utile de mettre en place la procédure au calme, avant d'en avoir besoin, et de ne pas l'improviser le jour où une véritable défaillance survient.

Checklist des 72 premières heures

Un résumé à garder sous la main le jour où il le faudra, pas une liste à mémoriser aujourd'hui :

1. Contenez la défaillance. Changez les mots de passe, révoquez les accès, récupérez ce que vous pouvez.
2. Notez l'heure exacte à laquelle vous l'avez appris. C'est de là que partent les 72 heures.
3. Rassemblez ce que vous savez : ce qui s'est passé, quelles données et de combien de personnes, approximativement.
4. Évaluez le risque pour les personnes concernées : peuvent-elles subir un préjudice réel ?
5. S'il y a un risque, notifiez-le à l'AEPD via la Sede Electrónica, dans les 72 heures ou en expliquant le motif du retard.
6. Si le risque est élevé pour les personnes, prévenez-les elles aussi, sans retard et dans un langage clair.
7. Documentez l'incident dans votre registre interne, qu'une notification ait été nécessaire ou non.
8. Vérifiez quelle mesure évite que cela se reproduise, et notez-la dans ce même registre.

Questions fréquentes

Les 72 heures comptent-elles à partir du moment où la défaillance s'est produite ou à partir du moment où je l'apprends ? À partir du moment où vous l'apprenez. Si la défaillance s'est produite avant mais que vous ne la découvrez que plus tard, le délai commence au moment de la découverte, pas à celui de la défaillance.

Perdre un téléphone professionnel compte-t-il comme une faille de sécurité ? Oui, si ce téléphone a accès à des données personnelles : contacts, courriels, applications contenant des données de clients ou de salariés. Cela compte comme une attaque informatique aux fins de l'enregistrement et, si nécessaire, de la notification.

Dois-je notifier même si je ne suis pas sûr qu'il y ait un risque ? La règle est de notifier sauf s'il est improbable qu'il y ait un risque. Si vous avez des doutes raisonnables, l'option la plus prudente est de notifier ; dans tous les cas, documentez toujours l'incident, que vous notifiiez ou non.

Que se passe-t-il si mon registre d'incidents est vide ? Rien : cela signifie que, pour l'instant, aucune défaillance de sécurité ne s'est produite dans votre entreprise. Un registre vide respecte déjà l'obligation de l'art. 33.5 RGPD ; l'important est de l'avoir prêt pour le jour où il faudra s'en servir.

Puis-je notifier l'AEPD avec des informations incomplètes ? Oui. L'art. 33.4 RGPD permet de fournir les informations par étapes si elles ne sont pas toutes disponibles au départ, à condition de ne pas retarder cela sans motif.

Sources officielles

• Reglamento (UE) 2016/679 (RGPD), articles 4.12, 5, 32, 33, 34 et 83 — texte officiel sur EUR-Lex.
• AEPD — «Brechas de seguridad», qui comprend la procédure de notification, le délai de 72 heures et les outils Asesora Brecha et Comunica-Brecha RGPD.
• Agencia Española de Protección de Datos (AEPD).

---

Comment poursuivre à partir d'ici

Détecter une défaillance de sécurité donne le vertige, surtout si vous ne savez pas par où commencer. Chez Tranquilia, vous disposez d'un questionnaire guidé de 6 questions qui vous dit s'il faut prévenir l'AEPD et qui, le cas échéant, vous prépare le brouillon de l'avis et le registre interne de l'incident, prêts à être revus avec votre gestoría (le cabinet qui gère les formalités administratives de votre entreprise).

👉 Commencez le questionnaire de faille de sécurité — gratuit pour jusqu'à 2 entreprises, sans carte et sans limite de temps.

---

Rapport de contenu élaboré avec Tranquilia — ne constitue ni une certification officielle ni un avis juridique. Si vous avez des doutes sur un cas concret, consultez votre gestoría ou un professionnel du droit.