# Violation de données personnelles : que faire dans les 72 premières heures URL: https://pulsaiq.com/fr/guides/violation-de-donnees-72-heures/ Dernière révision: 2026-10-23 Langue: fr Base juridique: RGPD, art. 33 et 34 Un plan calme, heure par heure, pour le jour où quelque chose tourne mal avec des données personnelles. Avec la logique de décision du Comité européen de la protection des données (CEPD), des cas réels tirés de ses lignes directrices et les informations exactes que doit contenir votre notification. ## En deux minutes - **Documentez toujours.** Toute violation de données personnelles va dans le registre interne, y compris celles que vous n’avez pas à notifier. Art. 33, paragraphe 5 - **Notifiez l’autorité de contrôle dans les 72 heures** après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Les 72 heures incluent le week-end. Art. 33, paragraphe 1 - **Prévenez les personnes concernées** dans les meilleurs délais lorsque le risque est élevé, en des termes clairs et simples. Art. 34, paragraphes 1 et 2 - **N’attendez pas d’avoir tout.** Vous pouvez notifier par étapes et compléter ensuite. Art. 33, paragraphe 4 - **En cas de doute, notifiez.** C’est ce que conseille le CEPD lui-même. Lignes directrices 9/2022, paragraphe 119 **Pour qui est ce guide :** dirigeants de PME, équipes informatiques et délégués à la protection des données (DPO) qui doivent savoir quoi faire, tout de suite. Si votre organisme agit seulement comme sous-traitant, votre obligation principale est de prévenir votre client dans les meilleurs délais (point 2). ## Est-ce une violation de données ? Le RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles, ou l’accès non autorisé à ces données (art. 4, point 12). Pas besoin d’un pirate informatique. Le CEPD classe les violations en trois types (lignes directrices 9/2022, paragraphe 17) : - **Confidentialité :** quelqu’un a vu ce qu’il n’aurait pas dû voir. Un e-mail envoyé à la mauvaise personne, un dossier partagé avec un lien ouvert, un ordinateur portable volé. - **Intégrité :** les données ont été modifiées sans autorisation. Par exemple, le RIB d’un fournisseur changé lors d’une fraude au virement. - **Disponibilité :** les données ne sont plus accessibles, même temporairement. Un rançongiciel, un fichier supprimé sans sauvegarde. Une maintenance programmée ne compte pas (paragraphe 21). Un e-mail envoyé à la mauvaise personne est une violation de confidentialité. Les données ont été communiquées à quelqu’un qui n’avait pas le droit de les voir, même si cette personne n’a aucune mauvaise intention. ## Quand commencent les 72 heures Le délai court à partir du moment où l’organisme **a pris connaissance** de la violation. Pour le CEPD, c’est le moment où il a « un degré raisonnable de certitude » qu’un incident de sécurité s’est produit et a touché des données personnelles (lignes directrices 9/2022, paragraphe 31). En pratique, il y a deux situations. Quand l’erreur est évidente, comme un e-mail envoyé, la prise de connaissance est immédiate. Quand il n’y a qu’un signal d’alerte, comme une alerte de l’antivirus, vous pouvez mener une courte enquête pour confirmer. Cette enquête doit commencer tout de suite et ne peut pas servir à gagner du temps. **Le week-end compte.** Le règlement 1182/71, qui fixe les règles des délais en droit de l’UE, prévoit que les délais comprennent les jours fériés, les dimanches et les samedis, sauf s’ils sont exprimés en jours ouvrables (art. 3, paragraphe 3). Le délai du RGPD est exprimé en heures. Si Rui l’a appris le vendredi à 17 h 40, le délai expire au plus tard le lundi à 17 h 40. **Si vous êtes sous-traitant** (par exemple une société informatique ou une plateforme d’e-mailing), vous devez prévenir votre client, le responsable du traitement, dans les meilleurs délais (art. 33, paragraphe 2). Dès cet avis, l’horloge de votre client tourne (lignes directrices 9/2022, paragraphe 44). C’est pourquoi les contrats de sous-traitance doivent fixer un délai court pour cet avis. ## Les 72 heures, heure par heure Ce découpage n’est pas dans la loi. C’est une façon pratique de vous assurer que, au moment de décider, vous avez déjà les informations nécessaires.
Prise de connaissanceven. 17 h 40
Délai pour notifierlun. 17 h 40
Les 72 heures incluent le week-end.
  1. Heure 0 à 4

    Contenir

    • Arrêter les dégâts : rappeler l’e-mail, demander au destinataire de le supprimer, déconnecter l’appareil du réseau, changer les mots de passe.
    • Prévenir la personne qui décide et votre DPO.
    • Ouvrir la fiche de l’incident avec l’heure exacte de la prise de connaissance.
    • Conserver les preuves. Ne pas effacer les journaux système.
  2. Heure 4 à 24

    Évaluer

    • Quelles données, et combien de personnes ?
    • Y a-t-il des catégories particulières, des données financières ou des données de mineurs ?
    • Qui a eu accès, et que pourrait-il faire des données ?
    • Les mesures déjà prises ont-elles réduit le risque ?
  3. Heure 24 à 72

    Décider et notifier

    • Classer le risque (point 4).
    • Si nécessaire, notifier l’autorité de contrôle. En France, cela se fait en ligne avec le téléservice de la CNIL ; au Portugal, avec le formulaire de la CNPD.
    • Si le risque est élevé, préparer le message aux personnes concernées.
    • Noter la décision et ses motifs, quelle qu’elle soit.
## Le risque en trois niveaux La question n’est pas « quelle gravité pour l’entreprise ? ». C’est « que peut-il arriver aux personnes dont les données sont touchées ? ». Le CEPD demande de prendre en compte le type de violation, la nature, la sensibilité et le volume des données, la facilité d’identification des personnes, la gravité des conséquences, les caractéristiques particulières des personnes (des mineurs, par exemple) ou du responsable, et le nombre de personnes touchées (lignes directrices 9/2022, paragraphes 105 à 118).
Question 1La violation est-elle susceptible d’engendrer un risque pour les droits et libertés des personnes ?
Risque improbable

Documenter en interne

Elle va dans le registre des violations, avec les motifs de la décision. Pas de notification.

art. 33, paragraphe 5
Question 2, si la réponse est ouiCe risque est-il élevé ?
Risque

Documenter et notifier l’autorité

Dans les 72 heures. En cas de retard, indiquez-en les motifs.

art. 33, paragraphe 1
Risque élevé

Et prévenir les personnes

Dans les meilleurs délais, sauf si l’une des exceptions de l’art. 34, paragraphe 3 s’applique (voir le point 7).

art. 34, paragraphe 1
**Vous voulez chiffrer ?** Le CEPD cite comme utile la méthode de l’ENISA, l’Agence de l’Union européenne pour la cybersécurité (lignes directrices 9/2022, paragraphe 120). Elle calcule la gravité avec la formule **SE = DPC × EI + CB**. DPC note le type de données de 1 à 4, EI est la facilité d’identification des personnes (de 0,25 à 1) et CB ajoute des points pour les circonstances, comme une communication à des destinataires inconnus ou une intention malveillante. Un résultat inférieur à 2 indique une gravité faible ; de 2 à 3, moyenne ; de 3 à 4, élevée ; et à partir de 4, très élevée ([ENISA, 2013](https://www.enisa.europa.eu/publications/dbn-severity)). Le score aide à justifier la décision, mais ne la prend pas à votre place.

Vous hésitez entre deux niveaux ? Choisissez le plus exigeant. En cas de doute, le CEPD recommande au responsable du traitement de pécher par excès de prudence et de notifier (lignes directrices 9/2022, paragraphe 119).

## Comment le CEPD tranche des cas proches Les [lignes directrices 01/2021](https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf) du CEPD analysent 18 cas pratiques. Nous avons retenu ceux qui arrivent le plus souvent dans une PME. Nous résumons les faits ; le verdict est celui du CEPD. | Situation | Ce qui a pesé dans la décision | Verdict du CEPD | |---|---|---| | **Rançongiciel chez un petit fabricant**, avec une sauvegarde récente et sans fuite de données cas 01 | Les journaux ont montré qu’aucune donnée n’était sortie. La sauvegarde a tout restauré en quelques heures. Quelques dizaines de personnes, sans impact sur l’activité. | Documenter seulement | | **Deux tablettes volées dans une crèche**, chiffrées, éteintes et protégées par un mot de passe robuste cas 10 | Les données étaient illisibles pour le voleur, il existait des sauvegardes et les appareils ont été effacés à distance. | Documenter seulement | | **Ordinateur portable volé sans chiffrement ni mot de passe**, avec les données de plus de 100 000 clients cas 11 | N’importe qui pouvait lire les noms, adresses et dates de naissance. Gros volume, risque d’usurpation d’identité. | Notifier et prévenir | | **Liste des participants d’une formation** envoyée par erreur à 15 anciens participants, avec deux intolérances alimentaires cas 15 | Erreur repérée tout de suite, destinataires prévenus et invités à supprimer. Peu de données, peu sensibles. | Documenter seulement | | **E-mail à 60 000 demandeurs d’emploi** avec une pièce jointe contenant les données de tous, y compris le numéro de sécurité sociale cas 14 | Volume énorme, un identifiant sensible et aucun moyen de s’assurer que les destinataires l’ont supprimée. | Notifier et prévenir | Regardez le schéma. Le chiffrement et les sauvegardes changent le résultat. La même erreur, comme un e-mail à la mauvaise personne, peut passer de « documenter seulement » à « notifier et prévenir » selon le volume, la sensibilité des données et la possibilité d’obtenir la suppression. ## Que mettre dans la notification Chaque autorité a son formulaire. En France, on notifie la CNIL avec son téléservice en ligne, et la CNIL publie une page sur [les règles à suivre en cas de violation](https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre) ; au Portugal, on utilise le formulaire de la CNPD (l’autorité portugaise de protection des données). Quel que soit le formulaire, le RGPD exige au minimum quatre éléments (art. 33, paragraphe 3). Ayez ces réponses prêtes avant de l’ouvrir : 1. **Ce qui s’est passé.** La nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés. Exemple : « Envoi par erreur, par e-mail, d’un fichier contenant le nom, l’adresse, le téléphone et l’historique de commandes d’environ 300 clients à un contact externe. » 2. **Qui contacter.** Le nom et les coordonnées du DPO ou d’un autre point de contact. Exemple : « Inês \[nom\], DPO, \[e-mail\], \[téléphone\]. » 3. **Conséquences probables.** Ce qui peut arriver aux personnes. Exemple : « Risque de contacts frauduleux se faisant passer pour l’entreprise. Aucune donnée de paiement concernée. » 4. **Mesures prises ou envisagées.** Pour remédier à la violation et en atténuer les effets. Exemple : « Demande de suppression à la destinataire, avec confirmation attendue le premier jour ouvrable ; révision des règles d’envoi de fichiers contenant des données clients. » **Vous ne savez pas encore tout ?** Envoyez ce que vous savez dans le délai et complétez ensuite. La loi permet de communiquer les informations de manière échelonnée, sans autre retard indu (art. 33, paragraphe 4 ; lignes directrices 9/2022, paragraphe 56). Si vous notifiez après 72 heures, vous devez indiquer les motifs du retard (art. 33, paragraphe 1). ## Quand et comment prévenir les personnes concernées Lorsque le risque est élevé, vous devez prévenir les personnes concernées dans les meilleurs délais (art. 34, paragraphe 1). Le message doit être rédigé en des termes clairs et simples, décrire la nature de la violation et reprendre les éléments 2, 3 et 4 de la notification (art. 34, paragraphe 2). Ajoutez ce que la personne peut faire : se méfier des appels qui demandent des informations, changer son mot de passe, surveiller ses relevés bancaires. Si, après le message, quelqu’un demande quelles données le concernant ont été touchées, traitez-le comme une demande de droit d’accès, avec son délai d’un mois. Il n’est pas nécessaire de prévenir chaque personne dans trois situations (art. 34, paragraphe 3) : - les données étaient protégées de façon à être incompréhensibles pour toute personne non autorisée à y accéder, par exemple par un chiffrement robuste ; - vous avez pris ensuite des mesures qui garantissent que le risque élevé n’est plus susceptible de se matérialiser ; - prévenir chaque personne exigerait des efforts disproportionnés. Dans ce cas, vous faites une communication publique ou une autre mesure aussi efficace. Même quand ce n’est pas obligatoire, prévenir peut être la bonne décision si l’aide des personnes réduit le risque. Dans le cas 13 des lignes directrices 01/2021, deux commandes envoyées aux mauvais clients, le CEPD a conclu qu’il était inévitable de contacter les deux clients pour régler le problème. ## Un e-mail mal adressé, du début à la fin Comment les étapes de ce guide s’appliquent à un cas concret, du vendredi après-midi au lundi matin.
Oficina RochaFabricant de meubles près de Braga, dans le nord du Portugal, avec une boutique en ligne

  1. Vendredi

    Point 2 · L’horloge

    17 h 40 Rui s’occupe de l’informatique à l’Oficina Rocha. Il reçoit un message d’une collègue des ventes : « Je crois que j’ai envoyé le fichier clients à la mauvaise Ana. » Le tableur contenait les noms, adresses, téléphones et l’historique de commandes de 300 clients. Il était destiné à Ana, de la comptabilité. Il est parti chez Ana Ferreira, d’une entreprise de transport partenaire.

    17 h 46 Rui appelle Marta, qui dirige l’atelier et « s’occupe aussi du RGPD ». Marta pose les trois questions que tout le monde pose. Est-ce que ça compte comme une violation de données ? Qui appelle-t-on ? Et le week-end compte-t-il dans les 72 heures ? Oui. Inês, la DPO externe de l’entreprise. Et oui, il compte.

  2. Samedi

    Point 4 · La décision

    10 h 00 Inês fait l’évaluation avec Marta par téléphone. Ce sont des données de contact et d’achat de 300 personnes, sans données de paiement ni catégories particulières. La destinataire est un contact professionnel connu, mais la seule réponse à l’e-mail de Rui est un message automatique : « En congé jusqu’à lundi. » Personne ne peut confirmer que le fichier a été supprimé.

    « Des adresses, des téléphones et ce que chacun a acheté. Quelqu’un pourrait se faire passer pour nous et tromper les clients », dit Inês. « Je ne vois pas de risque élevé. Mais je ne peux pas dire non plus qu’il n’y a aucun risque. »

    Échelle ENISA2,25 · gravité moyenne
    DécisionNotifier la CNPD avant l’échéance, ne pas prévenir les clients pour l’instant et réévaluer en cas d’indice d’utilisation abusive. Tout est consigné dans le registre, avec les motifs.

    Si Ana avait répondu le vendredi soir pour confirmer la suppression du fichier, l’évaluation aurait pu se terminer comme le cas 15 : documenter seulement.

  3. Lundi

    Point 6 · Notifier

    9 h 30 Marta envoie la notification, avec huit heures d’avance.

    10 h 15 Ana Ferreira revient de congé, lit l’e-mail de Rui et confirme par écrit qu’elle a supprimé l’e-mail et la pièce jointe. Inês transmet cette confirmation à la CNPD comme information complémentaire et met à jour le registre.

L’Oficina Rocha, Marta, Rui et Inês sont fictifs. Les règles et les cas cités sont réels. L’entreprise est au Portugal, c’est pourquoi elle notifie la CNPD ; en France, la notification irait à la CNIL.

## La plupart des violations ne commencent pas par une attaque En 2025, la CNPD, l’autorité portugaise de protection des données, a ouvert 472 dossiers de violations, 42 % de plus que les 332 de 2024. Dans 390 d’entre eux, la confidentialité était touchée. Voici les causes les plus déclarées par les organismes : | Cause déclarée (2025) | Cas | |---|---| | Erreur humaine | 128 | | Hameçonnage ou ingénierie sociale | 72 | | Logiciel malveillant | 49 | | Rançongiciel | 47 | | Fraude (usage abusif de ressources, usurpation d’identité) | 33 | Source : [CNPD, rapport d’activité 2025](https://www.cnpd.pt/media/v50frkwy/relatorio-atividades-de-2025.pdf) (en portugais), p. 35 et 36. La CNPD précise que ces causes sont celles déclarées par les organismes et qu’elles peuvent être sous-estimées. La leçon pour une PME est simple. Votre incident le plus probable n’est pas une attaque sophistiquée. C’est quelqu’un qui envoie le mauvais fichier, clique sur un faux lien ou partage un dossier avec la mauvaise personne. C’est là que la préparation doit commencer. ## Si votre organisme est aussi soumis à NIS2 Les entités essentielles et importantes au sens de la directive NIS2 ont leur propre circuit pour signaler les incidents de cybersécurité importants : une alerte précoce sous 24 heures, une notification d’incident sous 72 heures et un rapport final dans un délai d’un mois (directive (UE) 2022/2555, art. 23). Un rançongiciel peut entraîner deux notifications, l’une à l’autorité de protection des données, l’autre à l’autorité de cybersécurité. Ce sont des obligations distinctes, avec des contenus distincts. Tenez une seule fiche d’incident qui serve aux deux, et vérifiez auprès de l’autorité nationale de cybersécurité (en France, l’ANSSI) si votre organisme est concerné. ## Une proposition de l’UE veut simplifier ces règles Le 19 novembre 2025, la Commission européenne a présenté la proposition Digital Omnibus, [COM(2025) 837](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:52025PC0837), qui modifie le RGPD. Pour les violations de données, elle propose : - de ne notifier l’autorité que lorsque la violation est susceptible d’engendrer un **risque élevé**, le même seuil qu’aujourd’hui pour prévenir les personnes ; - de porter le délai de **72 à 96 heures** ; - un **point d’entrée unique** dans l’UE pour les notifications, avec un modèle commun préparé par le CEPD. **Où en est-on :** au Parlement européen, les commissions ITRE et LIBE n’ont pas encore voté leur rapport. Au Conseil, les ambassadeurs des États membres discutaient du mandat de négociation en octobre 2026. Viennent ensuite les négociations entre les institutions et la publication au Journal officiel. **Que faire aujourd’hui :** appliquer les règles actuelles. Tant qu’un texte final n’est pas publié, les 72 heures et le seuil du « risque » restent en vigueur. Et le registre interne de toutes les violations est maintenu dans toutes les versions en discussion. La même proposition modifie aussi le droit d’accès. Nous expliquons les deux changements dans l’article sur le Digital Omnibus. Sources : [Parlement européen, procédure 2025/0360(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)) ; [Conseil, ordre du jour du Coreper du 21 oct. 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) ; [avis conjoint 2/2026 du CEPD et du Contrôleur européen de la protection des données](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf). ## Préparez-vous en une heure, aujourd’hui L’Oficina Rocha a tenu le délai parce que Rui savait qui appeler. Les autorités attendent de chaque responsable du traitement une procédure interne pour détecter et gérer les incidents. Pas besoin d’un manuel de 40 pages. Commencez par une fiche affichée près de la machine à café et par un registre des violations à quatre colonnes : les faits, les effets, les mesures prises et la décision sur la notification, avec ses motifs (art. 33, paragraphe 5). Il aide aussi de savoir à l’avance quelles données vous détenez et où elles se trouvent : c’est ce que dit votre registre des activités de traitement, et c’est la première chose que vous ouvrirez pour évaluer une violation. ### Fiche violation de données (à afficher) 1. Avez-vous arrêté les dégâts ? E-mail rappelé, appareil déconnecté du réseau, mots de passe changés. 2. Appelez [nom et téléphone] et le DPO [nom et téléphone]. 3. Notez l’heure à laquelle vous l’avez appris. Les 72 heures commencent là et incluent le week-end. 4. N’effacez rien : e-mails, journaux système, messages. 5. Registre des violations : [où il se trouve]. ## Avant de clôturer l’incident - J’ai noté l’heure exacte de la prise de connaissance. - J’ai contenu la violation et conservé les preuves. - J’ai identifié les données, les personnes concernées et leur nombre approximatif. - J’ai évalué le risque avec les critères du CEPD et noté les motifs. - S’il y avait un risque, j’ai notifié l’autorité dans les 72 heures, ou j’ai expliqué le retard. - Si le risque était élevé, j’ai prévenu les personnes en termes clairs, ou j’ai documenté l’exception. - Si j’ai notifié par étapes, j’ai envoyé les informations manquantes. - J’ai vérifié si NIS2 s’applique aussi. - J’ai mis à jour le registre des violations. - J’ai décidé ce qui change pour que cela ne se reproduise pas. ## Questions fréquentes ### Les 72 heures comptent-elles le week-end et les jours fériés ? Oui. Le délai se compte en heures consécutives et inclut les samedis, dimanches et jours fériés (règlement 1182/71, art. 3, paragraphe 3). Si vous l’avez appris le vendredi à 17 h 40, vous avez jusqu’au lundi 17 h 40 pour notifier l’autorité de contrôle. ### J’ai envoyé des données personnelles par e-mail à la mauvaise personne. Dois-je notifier ? Cela dépend du risque, mais vous devez toujours le documenter. Une courte liste, avec des données peu sensibles et un destinataire qui confirme tout de suite la suppression, peut rester dans le seul registre interne (cas 15 des lignes directrices 01/2021). Beaucoup de données, des données sensibles ou aucune garantie de suppression conduisent à notifier l’autorité et, si le risque est élevé, à prévenir les personnes concernées (cas 14). ### Et si, après 72 heures, je ne sais toujours pas tout ? Notifiez quand même, avec ce que vous savez. Le RGPD permet de communiquer les informations de manière échelonnée, sans autre retard indu (art. 33, paragraphe 4). Attendre un rapport complet est la façon la plus courante de manquer le délai. ### Faut-il documenter une violation sans risque ? Oui. Toute violation de données personnelles va dans le registre interne, avec les faits, les effets, les mesures prises et la décision de ne pas notifier, avec ses motifs (art. 33, paragraphe 5). L’autorité de contrôle peut demander ce registre pour vérifier la conformité. ### Qui notifie l’autorité quand la violation a lieu chez un prestataire ? Le responsable du traitement, c’est-à-dire le client du prestataire. Le sous-traitant doit prévenir le responsable dans les meilleurs délais (art. 33, paragraphe 2), et les 72 heures du responsable courent à partir de cet avis. Si vous êtes DPO de plusieurs organismes, convenez avec chacun de qui prévient qui et en combien de temps : le guide du DPO externalisé avec plusieurs clients explique comment trier quand tout arrive en même temps. ## Sources ### Législation de l’UE - [Règlement (UE) 2016/679 (RGPD)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679), articles 4, 33 et 34 (EUR-Lex) - [Règlement (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:31971R1182), règles applicables aux délais, art. 3 (EUR-Lex) - [Directive (UE) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj), art. 23 (EUR-Lex) ### CEPD et ENISA - [Lignes directrices 9/2022 sur la notification des violations de données personnelles, version 2.0](https://www.edpb.europa.eu/documents/guideline/guidelines-92022-on-personal-data-breach-notification-under-gdpr_fr) - [Lignes directrices 01/2021, exemples de notification de violations](https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf) (en anglais) - [CEPD, synthèse sur les violations de données (« at a glance »)](https://www.edpb.europa.eu/system/files/2026-10/edpb_guidelines-at-a-glance_data_breaches_en.pdf) (en anglais) - [ENISA, Recommendations for a methodology of the assessment of severity of personal data breaches (2013)](https://www.enisa.europa.eu/publications/dbn-severity) (en anglais) - [Avis conjoint 2/2026 du CEPD et du Contrôleur européen de la protection des données sur le Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (en anglais) ### Autorités de contrôle - [CNIL, les violations de données personnelles : les règles à suivre](https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre) et [notifier une violation de données personnelles](https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles) - [CNPD (Portugal), violations de données](https://www.cnpd.pt/organizacoes/outras-obrigacoes/violacao-de-dados-ou-data-breach/) (en portugais) - [CNPD, rapport d’activité 2025](https://www.cnpd.pt/media/v50frkwy/relatorio-atividades-de-2025.pdf) (en portugais) ### Propositions en cours - [COM(2025) 837, proposition Digital Omnibus](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:52025PC0837) - [Parlement européen, procédure 2025/0360(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)) - [Conseil de l’UE, ordre du jour du Coreper, 21 oct. 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) **Dernière révision :** 21 octobre 2026. Ce guide est une information générale et ne constitue pas un conseil juridique sur un cas particulier. Face à une violation réelle, parlez-en à votre DPO ou à un avocat. Les personnes et l’entreprise des scènes sont fictives.