Violation de données : documenter ou notifier ?

Toute violation se documente en interne, y compris celles qui ne sont pas notifiées : nature, effets, mesures prises (art. 33.5 RGPD). Si elle présente un risque pour les droits et libertés des personnes, elle se notifie à l'autorité dans les 72 heures à compter de la prise de connaissance, pas à compter de la fin de l'enquête. Les plafonds vont jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial (art. 83.4) et jusqu'à 20 M€ ou 4 % pour d'autres manquements (art. 83.5), aucune amende ne pouvant être prononcée hors procédure contradictoire. Dissimuler ne fait pas disparaître la violation : cela ajoute un manquement à un incident.

À retenir

On documente toujours. On notifie s'il y a un risque.

Côté client

ORVEA aurait dû restreindre les droits d'export massif et soumettre toute extraction de plus de mille lignes à une validation à deux mains.

Sources

• — Art. 33.4 et 33.5 RGPD
• — Art. 83.4 et 83.5 RGPD

Explication simplifiée, à but pédagogique, non vérifiée. Ne remplace ni le texte applicable ni l'avis d'un professionnel. Rédigée le 30/07/2026 · Fiabilité : ●●●