Violation de données : prouver le délai de 72 h

Vendredi, 18 h 40 : un prestataire signale un accès anormal à une base clients. S'enclenche alors une course contre la montre encadrée par le RGPD : qualifier l'incident, décider de notifier, le faire dans les 72 heures. Six mois plus tard, lors d'un contrôle, une question simple : « à quel moment exact avez-vous eu connaissance de la violation ? » Votre réponse vaudra ce que valent vos preuves.

Les DPO et RSSI documentent déjà leurs incidents. Le maillon souvent manquant, c'est la datation opposable de cette documentation : prouver que le rapport d'analyse existait bien samedi matin, que la décision de notifier a été prise dimanche, que le registre n'a pas été complété après coup. C'est exactement ce que l'horodatage électronique sait figer.

Ce que le RGPD exige : notifier vite, documenter tout

L'article 33 du RGPD impose de notifier toute violation de données à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf absence de risque pour les personnes. Passé ce délai, la notification doit expliquer le retard. L'article 34 y ajoute, en cas de risque élevé, la communication aux personnes concernées.

Moins commenté, l'article 33.5 impose de documenter toutes les violations (faits, effets, mesures) de façon à permettre à l'autorité de « vérifier le respect » de l'article. La CNIL précise que cette documentation interne s'impose dans tous les cas, y compris pour les incidents non notifiés, dont il faut pouvoir justifier le classement.

Deux obligations, donc : la vitesse, et la trace. La seconde conditionne la démonstration de la première.

Le point faible des dossiers d'incident : la date déclarée

Un registre des violations est le plus souvent un document interne (tableur, outil de ticketing, dossier partagé) modifiable par ceux qui le tiennent. En temps normal, aucun problème. Le jour où la chronologie devient un enjeu (contrôle de la CNIL, contentieux avec des personnes concernées, litige avec le prestataire à l'origine de l'incident), sa valeur repose sur la confiance accordée au déclarant.

Or les questions sensibles sont précisément des questions de date :

Quand avez-vous eu connaissance de la violation ? C'est le point de départ des 72 heures, pas la date de l'incident lui-même.
Quand chaque mesure a-t-elle été décidée puis appliquée ?
Le registre a-t-il été rempli au fil de l'eau, ou reconstitué après coup ?

Un horodatage électronique répond à ces questions par un fait technique : ce document (cette alerte, ce rapport, cette version du registre) existait sous cette forme exacte à cette date, et n'a pas été retouché depuis.

Quelles pièces horodater pendant un incident ?

Le principe : horodater chaque pièce au moment où elle se fige, pour construire une chronologie en escalier que personne ne pourra réécrire, pas même vous.

Étape	Pièce à horodater	Ce que la date établit
Détection	Alerte, ticket, courriel de signalement	Le point de départ des 72 h
Qualification	Rapport d'analyse initial, avis du DPO	Le sérieux et la rapidité de l'évaluation
Décision	Note de décision (notifier / ne pas notifier, motifs)	La date du choix et sa justification
Notification	Copie du formulaire transmis à la CNIL, accusé	Le respect du délai
Communication	Message aux personnes concernées (le cas échéant)	L'exécution de l'article 34
Remédiation	Preuves des mesures (correctifs, révocations, audits)	La réalité et la date des actions
Clôture	Version consolidée de l'entrée au registre	L'état final du dossier, figé

La notification CNIL a déjà sa propre trace

Le téléservice de la CNIL date lui-même les notifications reçues. L'horodatage indépendant ne s'y substitue pas : il couvre tout ce qui se passe autour — la détection, l'analyse, les décisions, les mesures — dont la datation ne repose sinon que sur vos systèmes internes.

Chaque horodatage prend quelques secondes. Sur un incident complet, une dizaine de pièces suffisent à transformer un récit déclaratif en chronologie techniquement datée.

Blockchain et données personnelles : le bon geste technique

Horodater des pièces d'incident soulève une question légitime : peut-on ancrer sur une blockchain des documents qui contiennent, par définition, des données personnelles ? La réponse tient dans ce qu'on ancre.

Le CEPD a adopté en juillet 2026 la version finale de ses lignes directrices sur les traitements de données via blockchain : l'immutabilité et l'absence d'effacement natif des chaînes publiques rendent problématique toute inscription de données personnelles en clair. Nous avons décrypté ces lignes directrices dans un article dédié.

Le procédé pertinent n'inscrit jamais le document : seul son hash SHA-256 est ancré, une empreinte de 64 caractères qui ne révèle rien du contenu. Le rapport d'incident reste sur vos systèmes, soumis à vos durées de conservation. Précaution d'honnêteté : selon le contexte, le hash d'un contenu personnel peut lui-même rester une donnée personnelle ; le raisonnement à documenter dans votre analyse figure dans notre guide RGPD et horodatage.

Ce que ça prouve, ce que ça ne prouve pas

Prouvé : chaque pièce horodatée existait sous cette forme à cette date ; la chronologie de votre documentation est réelle, pas reconstituée.
Non prouvé : que vos mesures étaient les bonnes, que la qualification de l'incident était juste, que la violation ne vous est pas imputable.

L'horodatage établit la diligence chronologique, pas la conformité de fond. Un dossier daté n'empêche pas une sanction si la notification est intervenue hors délai ou si les mesures étaient insuffisantes — il permet seulement de démontrer, plutôt que d'affirmer, ce que vous avez fait et quand. C'est déjà beaucoup : dans un contrôle, la charge de la démonstration pèse sur vous.

Et LegalStamp dans tout ça ?

LegalStamp horodate vos pièces d'incident sans qu'elles quittent vos systèmes : le hash SHA-256 est calculé localement dans le navigateur, puis ancré sur la blockchain Bitcoin via OpenTimestamps. Aucun contenu (rapport, alerte, registre) n'est transmis, ce qui s'accorde avec les recommandations du CEPD sur les blockchains publiques. Chaque reçu est vérifiable indépendamment, y compris par un auditeur ou un contrôleur, et le reste même si LegalStamp disparaît.

C'est un horodatage non qualifié au sens d'eIDAS : il ne bénéficie pas de la présomption d'exactitude du qualifié, et le poids accordé à la chronologie reste à l'appréciation de l'autorité ou du juge. Pour une pratique de documentation d'incidents, où l'alternative est un registre interne sans datation opposable, ce niveau répond au besoin, à un coût compatible avec un horodatage systématique.

✓

Éprouver le geste avant le prochain incident

Le meilleur moment pour tester une chaîne de datation, c'est hors incident. Le plan gratuit permet 3 horodatages par mois, sans carte bancaire. Tester gratuitement →

Conclusion

Face à une violation de données, le RGPD vous demande d'agir vite et de pouvoir le prouver. La plupart des organisations savent faire le premier ; la démonstration du second repose trop souvent sur des documents internes datés sur l'honneur. Horodater les pièces clés au fil de l'incident (détection, analyse, décision, notification, remédiation) coûte quelques minutes et fige une chronologie que ni un contrôleur ni une partie adverse ne pourront soupçonner d'avoir été réécrite.

L'article 33 du RGPD impose au responsable de traitement de notifier l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les droits et libertés des personnes. Au-delà de 72 heures, la notification doit être accompagnée des motifs du retard.

À partir du moment où le responsable de traitement a connaissance de la violation — pas du moment où elle s'est produite. C'est précisément pourquoi la datation de la détection compte : un ticket d'alerte, un rapport d'analyse ou un courriel horodatés établissent le point de départ du délai, et donc le respect de celui-ci.

L'article 33.5 du RGPD impose de documenter toute violation : faits, effets, mesures prises pour y remédier. Cette documentation doit permettre à l'autorité de contrôle de vérifier le respect des obligations. En pratique, cela prend la forme d'un registre des violations tenu à jour, incluant aussi les incidents non notifiés (avec la justification de ce choix).

Non, aucun texte ne l'impose. Le RGPD exige la documentation, pas un procédé de datation particulier. L'horodatage est une mesure de fiabilisation volontaire : il transforme un dossier interne déclaratif en chronologie techniquement datée, plus difficile à contester en cas de contrôle ou de contentieux ultérieur.

Le point d'attention est réel : le CEPD rappelle qu'inscrire des données personnelles sur une blockchain crée des risques au regard de l'effacement et de la minimisation. Avec un procédé comme LegalStamp, seul le hash SHA-256 du document est ancré — le rapport lui-même ne quitte pas votre poste. Le hash d'un document peut néanmoins rester une donnée personnelle selon le contexte : la prudence consiste à ne jamais ancrer le contenu lui-même.

Non. L'horodatage ne corrige ni la violation ni un éventuel manquement — il prouve la chronologie de votre réaction. Si vous avez notifié dans les délais et pris les bonnes mesures, il vous aide à le démontrer. Si ce n'est pas le cas, il n'y change rien. C'est un outil de preuve de diligence, pas un bouclier.

Disclaimer : cet article est fourni à titre informatif et pédagogique. Il ne constitue pas un avis juridique. Pour un cas concret (litige, conformité, procédure), faites valider votre stratégie de preuve par un professionnel du droit.