RGPD droits des personnes et l’horloge de fuite à 72 heures

Deux horloges tournent sous le RGPD. La lente vous donne un mois pour répondre à une demande d’accès. La rapide vous donne 72 heures pour déclarer une fuite à l’autorité de contrôle — et si vous la manquez, vous devez une raison justifiée par écrit. La plupart des PME ne sont pas prêtes pour la rapide, parce que c’est celle dont vous ne pouvez pas planifier le départ.

Le chapitre III du RGPD accorde aux personnes un ensemble de droits contre le responsable. L’article 5 du chapitre II rend le responsable responsable de démontrer la conformité à ces droits. Quand une fuite survient, l’article 33 déclenche une horloge de 72 heures à partir du moment où le responsable en a connaissance. Les deux sont liés : répondre à une demande d’accès et déclarer une fuite dépendent du même artefact — le registre article 30 des activités de traitement — et tous deux échouent sans lui.

La liste des droits et le contenu de notification ci-dessous reflètent le texte public du RGPD (règlement (UE) 2016/679, articles 15–22 et 33–34) tel que résumé dans le canon. Confirmez le libellé exact contre le texte officiel EUR-Lex avant de vous y appuyer opérationnellement.

Les huit droits des personnes concernées

Le RGPD accorde huit droits que le responsable doit être prêt à traiter :

1. Droit d’accès (article 15). La personne peut obtenir une copie de ses données personnelles plus des informations complémentaires : la finalité, les catégories de données, les destinataires (y compris les destinataires pays tiers), la durée de conservation ou les critères pour la fixer, l’existence des autres droits, le droit d’introduire une réclamation auprès d’une autorité de contrôle, la source des données lorsqu’elles n’ont pas été collectées auprès d’elle, et l’existence d’une décision automatisée incluant une information utile sur la logique. Gratuit, à intervalles raisonnables (pas chaque semaine). 2. Droit de rectification (article 16). Corriger des données inexactes ou compléter des données incomplètes. Sans tarder, dans un délai d’un mois. 3. Droit à l’effacement (article 17, « droit à l’oubli »). Effacer les données lorsqu’elles ne sont plus nécessaires à la finalité, le consentement est retiré, le traitement était illicite, la personne s’oppose et aucun motif légitime prépondérant n’existe, ou les données ont été collectées auprès d’un enfant. Conditionnel — ne s’applique pas lorsque le traitement sert la liberté d’expression, la conformité légale, l’intérêt public, la santé publique, les prétentions juridiques, ou l’archivage. 4. Droit à la limitation du traitement (article 18). Supprimer les données afin que le responsable les stocke mais ne les traite plus — utilisé pendant qu l’exactitude est contestée, pendant qu’une contestation de licéité est vérifiée, ou lorsque la personne s’oppose à l’effacement et demande la limitation. 5. Droit à la portabilité (article 20). Recevoir les données dans un format structuré, couramment utilisé, lisible par machine et les transmettre à un autre responsable. S’applique seulement lorsque la base légale est le consentement ou le contrat et le traitement est automatisé. 6. Droit d’opposition (article 21). S’opposer au traitement — absolu pour le marketing direct, conditionnel sur des motifs légitimes prépondérants autrement. 7. Droits relatifs aux décisions automatisées et au profilage (article 22). Ne pas faire l’objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs, avec une information utile sur la logique. Les décisions automatisées sur catégories particulières exigent un consentement explicite ou une autorisation d’intérêt public substantiel. 8. Droit d’introduire une réclamation auprès d’une autorité de contrôle (article 77). Non une demande que le responsable traite, mais un droit dont le responsable doit informer la personne (il figure dans la liste de réponse d’accès ci-dessus).

L’horloge de réponse : un mois, extensible de deux

Le responsable doit répondre sans tarder et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires lorsque la demande est complexe — mais le responsable doit informer la personne de la prolongation et des motifs dans le premier mois. Les réponses sont gratuites (des frais raisonnables ne peuvent être facturés que pour des demandes manifestement infondées ou excessives). La vérification d’identité est autorisée avant d’agir ; ne sur-demandez pas de pièce d’identité, sinon vous bloquez l’horloge.

L’horloge d’un mois est la lente. Le piège est de la traiter comme une échéance plutôt qu’un objectif — la plupart des demandes devraient être traitées en quelques jours, parce que le RoPA vous dit où sont les données.

Comment une PME répond à une demande

1. Reconnaître la demande. Une demande n’a pas à employer le mot « accès » ou citer un article. Un e-mail client demandant « quelles données détenez-vous sur moi ? » est une demande article 15. Acheminez une demande reconnue vers un responsable unique (le DPD ou la personne qui tient le RoPA). 2. Vérifier l’identité. Confirmer que le demandeur est bien qui il prétend, proportionnellement à la sensibilité des données. Ne demandez pas un passeport pour délivrer une adresse d’e-mail marketing. 3. Extraire les données depuis le RoPA. Les lignes d’activité du RoPA disent quels systèmes détiennent les données de la personne — CRM, support, facturation, analytique. Sans le RoPA, cette étape est une traque forensique qui dévore le délai d’un mois. 4. Assembler la réponse. Pour l’accès : la copie des données plus les informations complémentaires (finalité, destinataires, conservation, autres droits, droit de réclamation, source, logique des décisions automatisées). Pour rectification/effacement/limitation/portabilité/opposition : l’action effectuée, confirmée. 5. Répondre dans un mois. Par écrit, en langage clair, gratuitement.

Le schéma est le même pour chaque droit : identifier, vérifier, localiser via le RoPA, agir, confirmer. Les différences sont l’action à l’étape 4.

L’horloge de fuite à 72 heures (article 33)

L’horloge rapide. Une fuite de données personnelles est toute destruction, perte, altération, divulgation non autorisée, ou accès non autorisé à des données personnelles — d’un ordinateur volé à un serveur compromis. Le responsable doit notifier l’autorité de contrôle sans tarder et, lorsque c’est possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la fuite est peu susceptible d’engendrer un risque pour les droits et libertés des personnes.

L’horloge démarre quand le responsable en a connaissance — non quand la fuite s’est produite. Une fuite découverte des mois après démarre la fenêtre de 72 heures à partir de la découverte. Si le responsable ne peut pas notifier sous 72 heures, la notification doit être accompagnée d’une justification motivée du retard.

L’obligation du sous-traitant est plus étroite : notifier le responsable sans tarder après en avoir pris connaissance (article 33(2)). Le responsable déclenche alors l’horloge de 72 heures vers l’autorité.

Ce que la notification de fuite doit contenir

La notification article 33(3) à l’autorité de contrôle comprend :

• **La nature de la fuite**, y compris les catégories et le nombre approximatif de personnes concernées et d’enregistrements.
• **Le nom et les coordonnées** du délégué à la protection des données ou autre point de contact.
• **Les conséquences probables** de la fuite.
• **Les mesures prises ou proposées** pour traiter la fuite et atténuer ses effets négatifs.

Lorsque la notification n’est pas faite sous 72 heures, elle est accompagnée des motifs du retard.

Quand les personnes doivent être informées (article 34)

Un seuil séparé, plus élevé. Lorsque la fuite est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le responsable doit aussi communiquer la fuite aux personnes concernées sans tarder — en langage clair et simple, avec les mêmes éléments (nature, contact DPD, conséquences, mesures). Lorsque la communication directe est disproportionnée — trop de personnes, ou données de contact indisponibles — une annonce publique y substitue. Exceptions article 34 : les données ont été rendues inintelligibles (ex. chiffrées avec des clés non compromises), ou des mesures ultérieures garantissent que le risque élevé n’est plus probable.

L’arbre de décision : notifier l’autorité au seuil de risque de 72 heures (article 33) ; communiquer aux personnes seulement au seuil supérieur « risque élevé » (article 34). La plupart des fuites déclarables passent l’article 33 ; moins exigent l’article 34.

Le plan de réponse à la fuite qu’une PME doit avoir avant le départ de l’horloge

Les 72 heures passent vite quand on découvre quoi faire. Ayez le plan prêt :

1. Un canal de signalement interne. Employés, sous-traitants et DPD doivent pouvoir signaler une fuite suspectée au responsable immédiatement — le canon précise cela indépendamment de l’ampleur de la fuite. Une boîte unique, une astreinte unique. 2. Un registre des fuites. Chaque fuite suspectée enregistrée avec heure de détection, ampleur, confinement, et motivation de la décision (déclarer / ne pas déclarer, informer les personnes / non). Le registre est la preuve que l’autorité demande. 3. Un modèle de notification pré-rempli. Les quatre éléments article 33(3) sous forme de formulaire à remplir, avec le contact DPD et le contact de l’autorité déjà définis. En cas de fuite, vous remplissez les blancs ; vous ne rédigez pas à partir de zéro. 4. Le RoPA comme carte des données. « Quelles données et de qui » est répondu par le RoPA en minutes. Sans lui, les 72 heures s’évaporent en découverte. 5. Un runbook de confinement. L’élément « mesures prises ou proposées » exige que vous ayez fait quelque chose — révoquer des identifiants, révoquer un accès, isoler le système — au moment de notifier.

Le lien avec le reste du programme RGPD

La réponse aux droits des personnes et l’horloge de fuite sont les deux moments opérationnels où le programme RGPD est testé en temps réel. Les deux dépendent du RoPA. Le traitement à haut risque identifié dans le RoPA alimente l’AIPD et la décision de communication article 34. Si vous exploitez ISO 27001, le runbook de réponse à la fuite est la vue RGPD de la procédure SMSI de réponse aux incidents (Annexe A.5.24–A.5.27) — voir l’implémentation conjointe ISO 27001.

Comment cela s’intègre dans la série

C’est le compagnon opérationnel du pilier RGPD et de l’article registre article 30. Il suppose que vous avez bâti le RoPA — répondre à une demande et déclarer une fuite tournent dessus. Le modèle d’AIPD couvre le traitement à haut risque qui déclenche l’article 34 ; l’implémentation conjointe ISO 27001 couvre la fusion réponse aux incidents.

Que faire ensuite

Rédigez le modèle de notification de fuite aujourd’hui — les quatre éléments article 33(3) sous forme de formulaire à remplir, contact DPD et contact autorité pré-définis, stocké à côté du RoPA. Puis passez les huit droits une fois contre votre RoPA et confirmez que vous pourriez répondre à chacun dans un mois depuis le RoPA seul. L’horloge lente se gère avec le RoPA ; l’horloge rapide se gère seulement avec le modèle et le runbook déjà en place.

Vous voulez un contrôle de préparation droits des personnes et réponse aux fuites ? Réservez une **évaluation d’applicabilité RGPD** de 30 minutes — nous mettons sous pression votre traitement des demandes contre les huit droits, revoyons votre modèle de fuite contre les éléments article 33(3), et parcourons votre runbook 72 heures pour les écarts. Bilingue FR/EN, sans obligation.

→ /contact · téléchargez le guide de conformité RGPD pour PME