Violation de données : dois-je la notifier à l'AEPD sous 72 heures ?
Si vous venez de découvrir une violation, le chrono tourne déjà : les 72 heures de l'article 33 du RGPD courent à partir du moment où vous en avez connaissance, pas du moment où elle s'est produite. Ce simulateur vous oriente en 2 minutes sur les trois obligations : documenter toujours, notifier l'AEPD — l'autorité espagnole de protection des données — sauf risque improbable, et informer les personnes concernées uniquement si le risque est élevé.
Les trois obligations face à une violation, en un tableau.
| Obligation | Quand ? | Délai | Base légale |
|---|---|---|---|
| Documenter en interne | Toujours — toute violation, notifiée ou non | Registre interne immédiat : faits, effets et mesures correctives | Art. 33.5 RGPD |
| Notifier l'AEPD | Sauf risque improbable — à moins qu'il soit improbable qu'elle engendre un risque pour les personnes | ≤ 72 heures à compter de la prise de connaissance (en cas de retard, avec les motifs du retard) | Art. 33 RGPD |
| Informer les personnes concernées | Risque élevé uniquement — avec 3 exceptions : données incompréhensibles (chiffrement), mesures ultérieures écartant le risque élevé ou efforts disproportionnés (art. 34.3) | Sans retard injustifié, dans un langage clair et simple | Art. 34 RGPD |
La sanction : le non-respect des articles 33 et 34 peut être puni d'une amende allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (art. 83.4 RGPD). Cas réel vérifié : l'AEPD a infligé à Air Europa une amende de 100 000 € pour avoir notifié une violation 41 jours après en avoir eu connaissance (décision PS/00179/2020).
L'AEPD elle-même propose deux outils officiels gratuits : Asesora Brecha (dois-je notifier l'AEPD ?) et Comunica-Brecha RGPD (dois-je informer les personnes concernées ?). Sources : RGPD, art. 33-34 (EUR-Lex) et Guide AEPD de notification des violations de données (juin 2021, en espagnol).
Dernière vérification : 24 juillet 2026
Sept questions, aucune donnée envoyée.
Vous répondez à 7 questions
Ce qui s'est passé, s'il y a des données personnelles, si elles étaient chiffrées, quelles catégories et quel volume, votre rôle (responsable ou sous-traitant) et votre évaluation du risque. Tout se passe dans votre navigateur : rien n'est envoyé ni conservé.
Nous appliquons l'arbre des art. 33 et 34
Les mêmes critères que le guide de l'AEPD : documenter toujours, notifier sauf risque improbable, informer les personnes concernées uniquement si un risque élevé est probable et qu'aucune exception du 34.3 ne s'applique.
Vous obtenez des verdicts cumulatifs
Un verdict par obligation, avec un badge sans ambiguïté, le chrono des 72 heures expliqué et, s'il faut notifier, la checklist du contenu minimal de l'art. 33.3. Imprimable pour votre registre interne.
Que s'est-il passé exactement ?
Le guide de l'AEPD classe les violations en trois typologies : confidentialité, intégrité et disponibilité. Le ransomware ou la perte de documentation comptent aussi (disponibilité).
Des données personnelles sont-elles concernées ?
Si l'incident ne touche pas de données personnelles, ce n'est pas une violation de données personnelles et les articles 33 et 34 du RGPD ne s'appliquent pas (même si l'ENS ou le régime NIS peuvent s'appliquer).
Les données étaient-elles incompréhensibles pour des tiers ?
Le chiffrement robuste avec les clés à l'abri est l'exception typique de l'article 34.3.a) : il rend inutile la communication aux personnes concernées et réduit le risque.
Quelle est la catégorie de données la plus sensible touchée ?
Les catégories particulières de l'article 9 (santé, idéologie, orientation sexuelle, biométrie…), les condamnations pénales et les publics vulnérables élèvent le risque selon le guide de l'AEPD.
Combien de personnes sont concernées, approximativement ?
Le volume (nombre de personnes concernées et d'enregistrements) est l'un des critères de risque du guide de l'AEPD. Si vous ne le savez pas, estimez à la hausse.
Agissez-vous en tant que responsable du traitement ou sous-traitant ?
Le responsable décide des finalités et des moyens ; le sous-traitant traite les données pour le compte du responsable (un cabinet comptable avec les données des clients de son client, un fournisseur SaaS…).
Au vu de tout cela : quel risque pour les personnes concernées ?
Le niveau de risque, selon le guide de l'AEPD, combine la gravité des conséquences et la probabilité qu'elles se matérialisent : typologie de la violation, catégories, volume, publics vulnérables et facilité d'identification.
Voici ce que vous devez faire, obligation par obligation
Trois obligations et un chrono de 72 heures.
Dernière vérification des articles, sanctions et décisions : 24 juillet 2026 (sources officielles à la fin).
Une violation de données personnelles est tout incident de sécurité qui compromet des données de personnes physiques. Le guide de l'AEPD (version de juin 2021) les classe en trois typologies : de confidentialité (une personne non autorisée accède aux données : un piratage, un e-mail envoyé au mauvais destinataire), d'intégrité (les données sont altérées) et de disponibilité (les données ne sont plus accessibles : un ransomware ou la perte de documentation comptent comme violation, même si personne n'a rien emporté). Si votre entreprise traite des données personnelles — c'est-à-dire pratiquement toujours, comme l'explique le guide du vertical cybersécurité et RGPD —, le RGPD vous impose face à une violation trois obligations distinctes, avec des seuils distincts.
Obligation 1 · Documenter. Toujours (art. 33.5)
Toute violation se documente en interne, qu'on la notifie ou non : les faits, ses effets et les mesures correctives adoptées, de sorte que l'autorité de contrôle puisse vérifier la conformité. C'est l'obligation la plus souvent oubliée et la moins coûteuse à remplir. Ne pas documenter constitue, en soi, une infraction mineure au titre de l'article 74.n de la LOPDGDD, la loi organique espagnole de protection des données.
Obligation 2 · Notifier l'AEPD sous 72 heures (art. 33)
La règle générale est de notifier l'autorité de contrôle « sans retard injustifié et, si possible, 72 heures au plus tard après » en avoir pris connaissance. Deux nuances qui changent des cas réels : le délai court à partir de la prise de connaissance, pas de la survenue de la violation ; et la seule exemption est qu'il soit improbable que la violation engendre un risque pour les droits et libertés des personnes — une évaluation que vous devez pouvoir justifier. Si vous notifiez après les 72 heures, la notification doit être accompagnée des motifs du retard.
Et si, au bout de 72 heures, vous n'avez pas toutes les informations ? L'article 33.4 permet la notification échelonnée : les informations sont fournies de façon progressive, sans retard injustifié supplémentaire. Le contenu minimal est fixé par l'article 33.3 : la nature de la violation, avec les catégories et le nombre approximatif de personnes concernées et d'enregistrements touchés, les coordonnées du délégué à la protection des données, les conséquences probables et les mesures prises ou proposées. La notification se présente par voie électronique, avec un certificat électronique reconnu, via le formulaire de violations du guichet électronique de l'AEPD, qui admet des notifications complémentaires.
Obligation 3 · Informer les personnes concernées, uniquement si le risque est élevé (art. 34)
La communication aux personnes concernées n'est obligatoire que lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés — et elle doit alors se faire sans retard injustifié et dans un langage clair et simple, avec les coordonnées du DPD, les conséquences probables et les mesures adoptées. L'article 34.3 prévoit trois exceptions : (a) que les données aient été incompréhensibles pour des tiers, comme des données chiffrées avec les clés à l'abri ; (b) que le responsable ait pris des mesures ultérieures garantissant que le risque élevé ne peut plus se matérialiser ; et (c) que la communication individuelle exige des efforts disproportionnés, auquel cas elle est remplacée par une communication publique tout aussi efficace. Attention : l'AEPD peut exiger la communication si elle ne retient pas l'exception (art. 34.4).
Ce que sanctionne l'AEPD : deux cas réels
Le non-respect des articles 33 ou 34 relève de l'article 83.4 du RGPD : des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. L'amende n'est ni automatique ni toujours maximale — elle est graduée selon l'article 83.2, comme le montre le calculateur de sanctions RGPD —, mais la fourchette réelle est large : dans la décision PS/00179/2020, l'AEPD a infligé à Air Europa 100 000 € au titre de l'article 33 (la compagnie a notifié la violation 41 jours après en avoir eu connaissance), plus 500 000 € pour les mesures de sécurité de l'article 32.1. À l'autre extrême, la PS/00152/2020 s'est soldée par un rappel à l'ordre pour la Fundación Síndrome 5P– pour ne pas avoir notifié sous 72 heures : même article, sanction très différente.
Les particularités espagnoles : la LOPDGDD
La loi organique 3/2018 (LOPDGDD) précise le régime de sanctions en Espagne : constituent des infractions graves (art. 73) le fait pour le sous-traitant de ne pas notifier au responsable les violations dont il a connaissance (73.q), le manquement au devoir de notifier l'autorité (73.r) ou le fait de ne pas informer la personne concernée lorsque l'autorité l'a exigé (73.s). Sont des infractions mineures (art. 74) la notification incomplète, tardive ou défectueuse (74.m), l'absence de documentation des violations (74.n) et le défaut de communication à la personne concernée d'une violation à risque élevé en l'absence d'injonction (74.ñ). Et l'article 77 marque la grande différence du secteur public : aucune amende n'est infligée aux administrations publiques — l'autorité rend une décision déclarant l'infraction, avec des mesures, un éventuel rappel à l'ordre, des procédures disciplinaires et une publicité.
Si vous êtes une entité publique ou si votre système relève de l'ENS (Esquema Nacional de Seguridad, le référentiel national espagnol de sécurité), deux notifications indépendantes coexistent en outre : celle des données personnelles à l'AEPD (art. 33 RGPD) et celle de l'incident de sécurité au CCN-CERT lorsqu'il a un impact significatif (décret royal 311/2022, art. 33.2). Vous pouvez vérifier votre situation ENS avec l'autodiagnostic ENS. Dans le secteur public régional, l'autorité de protection des données peut être l'autorité régionale : l'APDCAT en Catalogne, l'AVPD au Pays basque et le Conseil de la transparence et de la protection des données en Andalousie.
Les outils officiels de l'AEPD
Avant de décider à l'aveugle, utilisez les deux outils gratuits de l'AEPD elle-même, renouvelés le 10 octobre 2023 : Asesora Brecha, qui oriente sur la nécessité de notifier l'autorité (art. 33), et Comunica-Brecha RGPD, qui oriente sur la nécessité d'informer les personnes concernées (art. 34). Les deux génèrent un rapport téléchargeable avec vos réponses — utile comme preuve pour la documentation interne de l'article 33.5 — et l'AEPD ne conserve pas les données saisies. Ce simulateur applique les mêmes critères en une seule passe ; pour le cas concret, ces outils et le guide officiel restent la référence.
BOE — Loi organique 3/2018 (LOPDGDD), art. 73, 74 et 77 (en espagnol)
BOE — Décret royal 311/2022 (ENS), art. 33 (en espagnol)
AEPD — Guide de notification des violations de données personnelles (juin 2021, en espagnol)
AEPD — Asesora Brecha
AEPD — Comunica-Brecha RGPD
AEPD — Décision PS/00179/2020 (Air Europa, en espagnol)
AEPD — Décision PS/00152/2020 (Fundación Síndrome 5P–, en espagnol)
Les doutes des 72 premières heures.
Faut-il notifier toutes les violations de données à l'AEPD ?+
Non. L'article 33.1 du RGPD impose la notification, sauf s'il est improbable que la violation engendre un risque pour les droits et libertés des personnes. Ce qui est obligatoire dans tous les cas, c'est de documenter la violation en interne (article 33.5), qu'on la notifie ou non : l'AEPD peut demander ce registre pour vérifier la conformité.
À partir de quand courent les 72 heures ?+
À partir du moment où le responsable du traitement a connaissance de la violation, pas du moment où elle s'est produite. Si la notification intervient après 72 heures, il faut la présenter quand même, accompagnée des motifs du retard (article 33.1). Notifier en retard est sanctionnable : l'AEPD a infligé à Air Europa une amende de 100 000 euros pour avoir notifié une violation 41 jours après en avoir eu connaissance (PS/00179/2020).
Et si, au bout de 72 heures, je n'ai pas encore toutes les informations ?+
Le RGPD le prévoit : la notification peut se faire de manière échelonnée (article 33.4), en fournissant les informations de façon progressive, sans retard injustifié supplémentaire. Le formulaire de notification de l'AEPD admet une notification initiale puis des notifications complémentaires. N'attendez pas de tout savoir : notifiez ce que vous savez dans le délai et complétez ensuite.
Quand dois-je informer les personnes concernées ?+
Uniquement lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34.1), sans retard injustifié et dans un langage clair et simple. Il existe trois exceptions (article 34.3) : que les données aient été incompréhensibles pour des tiers — par exemple chiffrées, avec les clés à l'abri —, que vous ayez pris des mesures ultérieures garantissant que le risque élevé ne peut plus se matérialiser, ou que la communication individuelle exige des efforts disproportionnés, auquel cas elle est remplacée par une communication publique tout aussi efficace.
Que se passe-t-il si je ne notifie pas une violation ?+
Le non-respect des articles 33 et 34 peut être sanctionné jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 83.4 du RGPD). L'amende n'est ni automatique ni toujours maximale : elle est graduée selon l'article 83.2. Cela va du simple rappel à l'ordre (Fundación Síndrome 5P–, PS/00152/2020) à des amendes de 100 000 euros pour une notification faite 41 jours trop tard (Air Europa, PS/00179/2020).
Le sous-traitant notifie-t-il l'AEPD ?+
Non, sauf mandat du responsable du traitement. L'article 33.2 du RGPD oblige le sous-traitant à notifier au responsable, sans retard injustifié, les violations dont il a connaissance ; la notification à l'AEPD est présentée par le responsable. Pour le sous-traitant, ne pas avertir le responsable constitue une infraction grave selon l'article 73.q de la LOPDGDD, la loi organique espagnole de protection des données.
Un ransomware sans vol de données compte-t-il comme une violation ?+
Oui. Le guide de l'AEPD classe les violations en trois typologies — confidentialité, intégrité et disponibilité — et range le ransomware et la perte de documentation parmi les violations de disponibilité. L'absence d'exfiltration ne dispense pas d'évaluer le risque : s'il n'est pas improbable qu'elle affecte les droits des personnes, il faut notifier l'AEPD sous 72 heures. Et la documenter, toujours (article 33.5).
Ne perdez pas des heures à décider à l'aveugle.
Réservez une session gratuite de 30 minutes. Nous passons en revue votre cas, ce qu'il faut notifier et à qui, comment le documenter — et si le chrono des 72 heures presse, nous priorisons l'urgent.
Réserver une session gratuite →