L’APDP rappelle l’obligation de lui notifier les violations de données dans les meilleurs délais

Depuis le début de l’année 2026, l’APDP constate une augmentation significative du nombre de violations de données notifiées dans un délai supérieur à 72 heures, sans justification réelle.

A cet égard, l’Autorité rappelle que la notification d’une violation de données au sens de l’article 32 de la Loi n°1.565 du 3 décembre 2024 doit être faite dans les meilleurs délais, et si possible dans un délai maximum de 72 heures après que le responsable du traitement en a pris connaissance. Lorsque la notification n'a pas lieu dans ce délai, elle est obligatoirement accompagnée des motifs étayés du retard. Le dépassement de ce délai ne saurait être justifié par l’attente des résultats des analyses techniques en cours ou encore par la finalisation des investigations internes. De tels motifs ne constituent pas une justification recevable.

Aussi, l’Autorité invite tout responsable du traitement à lui notifier les violations de données dans le délai prévu par la Loi, même lorsque toutes les informations relatives à l’incident ne sont pas connues ; celles-ci pouvant être communiquées de manière échelonnée avec une notification préalable de l’APDP dès que le responsable du traitement en a connaissance contenant un résumé succinct de l’incident, suivie par la suite de la fourniture d’éléments complémentaires et détaillés. A ce titre, il appartient au responsable du traitement de documenter la date et heure précises de la prise de connaissance de la violation de données ainsi que les diligences éventuelles accomplies entre cette date et celle de la notification à l’Autorité.

En tout état de cause, le responsable du traitement doit être en mesure de démontrer qu'il a adressé la notification dans les meilleurs délais.