La règle des 72 heures

Le délai fixé par l'article 33 du RGPD pour notifier une violation de données à l'autorité de protection des données : sans retard indu et, si possible, au plus tard 72 heures après que l'entreprise a eu connaissance de la violation. Le délai court également les week-ends et jours fériés. En cas de dépassement, la notification doit expliquer le retard. Si l'entreprise ne dispose pas de toutes les informations dans le délai, la notification peut être faite par étapes — l'essentiel étant de signaler à temps ce que l'on sait.