Délais de notification des violations de données par pays (tableau comparatif 2026)
Réponse rapide
Il n'existe aucun délai mondial de notification des violations de données. Le RGPD de l'Union européenne a fixé la référence à laquelle la plupart des autres lois sont comparées : notifier l'autorité de contrôle dans un délai de 72 heures après avoir pris connaissance de la violation, et notifier les personnes concernées «sans retard injustifié» uniquement si la violation présente un risque élevé pour leurs droits.
De nombreux pays reprennent le chiffre de 72 heures pour leur propre volet de notification à l'autorité (Corée du Sud, Philippines, Indonésie, règlement d'application de l'Arabie saoudite, Turquie, Kenya, Nigeria, Uruguay, et plusieurs zones franches des Émirats arabes unis). Tout autant s'en écartent : la Suisse, l'Afrique du Sud, le Canada, la loi néo-zélandaise, le Chili, la règle sectorielle télécoms allemande, et la plupart des pays d'Amérique latine de tradition civiliste, qui utilisent une formulation ouverte telle que «sans retard injustifié», «dès que possible en pratique» ou «dès que raisonnablement possible» plutôt qu'un nombre d'heures fixe.
Une poignée de juridictions n'ont, en pratique, aucune loi de notification des violations de données à l'heure actuelle : Hong Kong (facultatif), l'Argentine (aucune obligation légale), et l'obligation propre à la protection des données de l'Inde (adoptée mais pas encore en vigueur). Les tableaux ci-dessous indiquent séparément les deux délais pour chaque juridiction que nous avons pu vérifier, et le précisent clairement chaque fois qu'aucun chiffre fixe n'existe.
Comment lire ce tableau
Chaque ligne ci-dessous est volontairement scindée en deux colonnes : le délai de notification à l'autorité de contrôle et le délai de notification aux personnes concernées. Ce sont fréquemment deux horloges différentes, avec des déclencheurs différents, et les confondre est l'erreur la plus courante dans le traitement de ce sujet. Le RGPD en est l'exemple le plus clair : le déclencheur de la notification à l'autorité est toute violation présentant un risque, tandis que le déclencheur de la notification aux personnes exige un risque élevé, un seuil nettement plus haut, et ce second volet ne comporte aucun chiffre fixe.
«Aucun délai fixe» est une réponse réelle et correctement documentée, pas une lacune de ce tableau. Lorsque la loi d'une juridiction dit «dès que possible» ou «sans retard injustifié» sans chiffre associé, nous le mentionnons clairement plutôt que d'emprunter un chiffre à la loi d'un autre pays ou à une orientation du régulateur qui n'a jamais été inscrite dans le texte de loi.
Nous précisons également, chaque fois que cela importe, si un délai figure dans le texte de loi principal, dans un règlement subordonné, ou seulement dans une orientation non contraignante, et si un délai adopté est effectivement en vigueur. Ces trois distinctions déterminent le poids qu'une équipe conformité doit accorder à un chiffre, et la plupart des sources secondaires les réduisent à un simple titre «X heures» qui efface entièrement la nuance.
La référence des 72 heures du RGPD, en bref
La référence de l'UE/EEE provient du Règlement général sur la protection des données, articles 33 et 34. Un responsable du traitement doit notifier son autorité de contrôle compétente «dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance», sauf si la violation en question n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. La notification aux personnes concernées elles-mêmes n'est requise que lorsque la violation est susceptible d'engendrer un risque élevé, et ce volet ne comporte aucun chiffre fixe, seulement «dans les meilleurs délais».
Cette structure à deux niveaux, un seuil plus bas et un délai fixe pour l'autorité, un seuil plus haut et aucun délai fixe pour les personnes concernées, est le schéma que la majeure partie du reste du monde reproduit ou dont elle s'écarte délibérément. Pour une analyse complète du texte du RGPD lui-même, de ses exemptions et de son historique d'application, consultez notre analyse approfondie de la règle des 72 heures du RGPD.
Europe
Les États de l'UE/EEE partagent un seul texte juridique (le RGPD), de sorte que la véritable variation en Europe provient des États EEE-AELE qui appliquent le RGPD via une transposition nationale distincte, des États non membres de l'UE comme la Suisse et le Royaume-Uni qui disposent de leurs propres lois post-RGPD, et des régimes sectoriels qui imposent des délais distincts, souvent plus courts. Les décisions d'adéquation de l'UE déterminent aussi, en amont, comment les données de violation peuvent circuler à travers ces frontières.
| Juridiction | Autorité de contrôle | Délai de notification à l'autorité | Notification aux personnes concernées | Déclencheur / Seuil | Base légale et statut |
|---|---|---|---|---|---|
| UE/EEE (référence RGPD) | Autorité de contrôle nationale (une par État membre) | 72 heures après en avoir pris connaissance, «dans les meilleurs délais et, si possible»; motifs requis en cas de retard (art. 33(1)) | «Dans les meilleurs délais», aucun chiffre fixe (art. 34(1)) | Autorité : tout risque pour les droits et libertés, sauf improbabilité. Personnes concernées : risque élevé spécifiquement, un seuil plus haut, avec des exemptions en cas de chiffrement, de mesures d'atténuation ou d'effort disproportionné (art. 34(3)) | Texte de loi principal, RGPD art. 33/34, en vigueur |
| Royaume-Uni | ICO (en cours de restructuration en «Information Commission» en vertu du Data (Use and Access) Act 2025 ; le fond des règles de notification reste inchangé) | Identique au RGPD : 72 heures, motifs requis en cas de retard ; notification échelonnée autorisée | Même déclencheur de risque élevé que le RGPD, «dans les meilleurs délais», aucun chiffre fixe | Même test à deux niveaux que le RGPD ; l'ICO peut imposer la notification aux personnes concernées même si le responsable du traitement a jugé le risque faible | Texte de loi principal, UK GDPR + DPA 2018, en vigueur |
| Suisse | PFPDT (préposé fédéral à la protection des données et à la transparence) | Aucun délai fixe. Texte de loi : «so rasch als möglich», dès que possible (nLPD art. 24(1)) | Plus restrictif que le RGPD. Le responsable du traitement informe la personne concernée uniquement si cela est nécessaire à sa protection ou si le PFPDT l'exige (art. 24(4)) ; la notification peut être restreinte, différée ou levée dans des conditions comparables à l'art. 26 | Autorité : violation susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Les sous-traitants doivent également notifier le responsable du traitement «dès que possible» | Texte de loi principal (RS 235.1, art. 24), en vigueur depuis le 1er septembre 2023. Tout chiffre de 72 heures cité pour la Suisse relève d'un commentaire informel, et non du texte de loi |
| Norvège | Datatilsynet | Identique au RGPD : 72 heures ; l'orientation propre du Datatilsynet autorise explicitement une notification initiale échelonnée et incomplète, l'horloge démarrant dès que le responsable du traitement a une certitude raisonnable qu'une violation s'est produite | Même déclencheur de risque élevé que le RGPD, «dans les meilleurs délais» | Même test à deux niveaux que le RGPD | Texte de loi principal, RGPD applicable directement via la transposition EEE (décision du Comité mixte de l'EEE 154/2018), en vigueur |
| Islande | Persónuvernd | Identique au RGPD : 72 heures | Même déclencheur de risque élevé que le RGPD | Même test à deux niveaux que le RGPD | RGPD applicable directement via le même mécanisme de transposition EEE que la Norvège ; loi n° 90/2018 |
| Liechtenstein | Datenschutzstelle (DSS) | Identique au RGPD : 72 heures | Même déclencheur de risque élevé que le RGPD | Même test à deux niveaux que le RGPD | RGPD applicable directement via le même mécanisme de transposition EEE ; Datenschutzgesetz en vigueur depuis le 1er janvier 2019 |
| Allemagne, volet sectoriel télécoms (§ 169 TKG) | BNetzA et BfDI, notifiées séparément, en plus de la voie ordinaire de l'art. 33 du RGPD | Aucun chiffre. Le texte de loi dit seulement «unverzüglich», sans retard injustifié, pour les deux volets | Même norme «unverzüglich», uniquement en cas d'atteinte grave aux droits/intérêts des utilisateurs | S'applique spécifiquement aux fournisseurs de télécommunications publiques, transposant la directive vie privée et communications électroniques via le règlement (UE) 611/2013, une base légale distincte de l'art. 33/34 du RGPD | Texte de loi principal (gesetze-im-internet.de), en vigueur. Le chiffre de «24 heures» couramment cité ne figure pas dans le texte du TKG ; il provient du règlement (UE) 611/2013, art. 2(2), qui s'applique directement aux mêmes fournisseurs et constitue un délai contraignant réel, qui court en parallèle de celui-ci |
Asie-Pacifique
L'Asie-Pacifique se divise globalement en trois groupes : les juridictions qui reprennent le délai de 72 heures de type RGPD pour l'autorité (Corée du Sud, Philippines, Indonésie, Malaisie), les juridictions à délais exprimés en jours ou fondés sur une évaluation (Japon, Singapour, Australie), et les juridictions sans aucun chiffre fixe (la loi néo-zélandaise, Hong Kong, le droit taïwanais actuel).
| Juridiction | Autorité de contrôle | Délai de notification à l'autorité | Notification aux personnes concernées | Déclencheur / Seuil | Base légale et statut |
|---|---|---|---|---|---|
| Japon | Personal Information Protection Commission (PPC) | Deux étapes : un rapport préliminaire «sans délai» (l'orientation de la PPC évoque environ 3 à 5 jours en pratique), puis un rapport final dans un délai de 30 jours (60 jours si la violation peut impliquer une finalité illicite ou inappropriée, comme une cyberattaque) | Requise «sans délai», aucun chiffre d'heures ou de jours dans la règle elle-même | L'un des éléments suivants : données personnelles sensibles concernées, risque de préjudice matériel, finalité probablement inappropriée ou illicite, ou plus de 1 000 personnes concernées | Principal, orientation de la PPC en vertu de l'APPI modifiée, en vigueur. Voir notre comparaison entre l'APPI japonaise et le RGPD pour le cadre plus large |
| Corée du Sud | Personal Information Protection Commission (PIPC) | 72 heures après en avoir pris connaissance, lorsque la fuite concerne 1 000 personnes ou plus, des données sensibles/d'identifiant unique, ou une intrusion illicite confirmée | 72 heures également, ce volet s'appliquant même pour une seule personne concernée, un seuil plus bas que celui de l'autorité | 1 000 personnes ou plus pour le déclencheur de notification à l'autorité ; toute ampleur pour la notification aux personnes concernées | Corroboré par plusieurs sources spécialisées en conformité (PIPA art. 34) ; considérer le chiffre exact en heures comme corroboré par des cabinets d'avocats, en attente d'une nouvelle vérification directe du texte de loi. Voir notre présentation de la PIPA sud-coréenne |
| Chine | Cyberspace Administration of China (CAC), ainsi que les régulateurs sectoriels pour les infrastructures critiques | L'art. 57 de la PIPL dit lui-même «immédiatement» («li ji»), sans chiffre fixe. Des réglementations sectorielles de cybersécurité imposent des délais chiffrés pour les opérateurs d'infrastructures d'information critiques et les incidents «significatifs» : 1 heure pour un rapport sommaire, 24 heures pour un rapport détaillé | PIPL art. 57 : notifier les personnes concernées et le régulateur «immédiatement» en cas de fuite, d'altération ou de perte, avérée ou probable | Aucun seuil chiffré dans l'art. 57 de la PIPL lui-même ; les délais d'1 heure/24 heures s'appliquent spécifiquement aux incidents «significatifs» ou «particulièrement majeurs» impliquant des données à grande échelle ou un risque pour la sécurité nationale | PIPL confirmée en texte principal ; les délais d'1 heure/24 heures pour les incidents de cybersécurité sont corroborés par plusieurs cabinets d'avocats mais n'ont pas été revérifiés directement dans le texte propre de la CAC lors de cette passe. Voir notre présentation des lois chinoises sur la protection des données |
| Singapour | Personal Data Protection Commission (PDPC) | Dès que raisonnablement possible, et au plus tard 3 jours calendaires après l'achèvement de l'évaluation de violation requise | Requise lorsque le seuil de préjudice significatif est atteint, liée à la même évaluation, sans délai fixe distinct | Notifiable si susceptible d'entraîner un préjudice significatif (annexe 2 de la PDPA : numéro NRIC, compte financier, santé, identifiants de connexion, etc.) ou si elle concerne 500 personnes ou plus, indépendamment du préjudice | Cadre général de la PDPA vérifié en texte principal ; le chiffre spécifique de «3 jours calendaires» provient d'un guide de conformité. Voir notre présentation des lois singapouriennes sur la protection des données |
| Malaisie | Personal Data Protection Commissioner (JPDP) | 72 heures à compter de la violation, selon la circulaire n° 2/2025, art. 4(4) (le site du Commissaire lui-même étiquette à tort cette circulaire «1/2025», mais le document est bien numéroté 2/2025) | 7 jours après que le responsable du traitement a notifié le Commissaire, et non 7 jours à compter de la violation elle-même (art. 5(2)) | L'un des cinq déclencheurs alternatifs de l'art. 4(3) : préjudice corporel/financier, usage détourné à des fins illicites, données sensibles, données permettant une fraude à l'identité, ou «échelle significative» (plus de 1 000 personnes concernées, art. 3(1)(e)). L'échelle significative est l'un des cinq déclencheurs, pas un seuil plancher | Principal, texte de la circulaire lu directement, en vigueur depuis le 1er juin 2025. Voir notre présentation des lois malaisiennes sur la protection des données |
| Philippines | National Privacy Commission (NPC) | 72 heures dès la connaissance ou la conviction raisonnable qu'une violation s'est produite ; rapport écrit complet dû dans un délai de 5 jours | 72 heures également, la même horloge, courant en parallèle et non de manière échelonnée après la notification à l'autorité | Informations personnelles sensibles ou données permettant une fraude à l'identité, acquises par une personne non autorisée, avec un risque réel de préjudice grave. Un chiffre distinct de 100 personnes régit l'urgence au sein du délai de 72 heures (aucun report autorisé), il ne constitue pas en lui-même le déclencheur de l'obligation | Principal, circulaire NPC 16-03, art. 17-18, lue directement, en vigueur. Voir notre présentation des lois philippines sur la protection des données |
| Indonésie | Ministère de la Communication et des Affaires numériques (Komdigi, faisant fonction par intérim ; aucune autorité indépendante n'est encore opérationnelle) | 3 x 24 heures (72 heures), selon la UU PDP, Pasal 46(1) | Même délai de 72 heures, à l'autorité et à la personne concernée simultanément | Toute «kegagalan Pelindungan Data Pribadi» (défaillance de la protection des données personnelles) ; aucun seuil chiffré dans l'article | Texte de loi principal, lu directement, en vigueur. Voir notre présentation des lois indonésiennes sur la protection des données |
| Thaïlande | Personal Data Protection Committee (PDPC) | «Sans retard injustifié», et dans les 72 heures si possible, sauf si l'évaluation des risques du responsable du traitement lui-même ne révèle aucun risque pour les droits et libertés | Requise uniquement lorsque la violation est susceptible de présenter un risque élevé, un seuil plus haut que celui de la notification à l'autorité | Le déclencheur par défaut de la notification à l'autorité est large (dérogation fondée uniquement sur le risque) ; la notification aux personnes concernées exige spécifiquement un «risque élevé» | PDPA art. 37(4), corroboré par des sources de veille réglementaire, texte principal de la clause spécifique non revérifié lors de cette passe. Voir notre présentation des lois thaïlandaises sur la protection des données |
| Australie | Office of the Australian Information Commissioner (OAIC) | Aucun délai fixe en heures. Le plafond légal pour évaluer une violation de données suspectée éligible est de 30 jours calendaires ; une fois confirmée, notifier «dès que raisonnablement possible» | «Dès que raisonnablement possible» après la remise de la déclaration à l'OAIC, sans délai fixe distinct | «Violation de données éligible» : accès, divulgation ou perte non autorisés susceptibles d'entraîner un préjudice grave, apprécié selon la norme de la personne raisonnable, lorsqu'une mesure corrective ne peut empêcher le préjudice | Principal, Privacy Act 1988, art. 26WH/26WK/26WL, lu directement, en vigueur |
| Nouvelle-Zélande | Office of the Privacy Commissioner (OPC) | La loi (Privacy Act 2020) dit «dès que raisonnablement possible», sans chiffre fixe. L'orientation propre de l'OPC opérationnalise cela à environ 72 heures, mais l'OPC présente explicitement ce chiffre comme «un simple guide», et non comme un délai légal | «Dès que raisonnablement possible», aucun chiffre fixe non plus pour ce volet | «Violation de la vie privée notifiable» : celle qui a causé ou est susceptible de causer un préjudice grave (préjudice physique, financier, psychologique, professionnel ou pour la sécurité) | Texte de loi principal (Privacy Act 2020, partie 6), en vigueur ; le défaut de notification est une infraction passible d'une amende pouvant atteindre 10 000 NZD |
| Hong Kong | Privacy Commissioner for Personal Data (PCPD) | Facultatif. Aucun délai légal n'existe. La PDPO n'impose aucune obligation de notification des violations ; l'orientation non contraignante de la PCPD de 2023 recommande de notifier «dès que raisonnablement possible» | Facultative, la même recommandation non contraignante | Pas un seuil légal ; le déclencheur recommandé (non exigé) par la PCPD est un risque réel de préjudice significatif | Aucune loi de notification des violations n'existe. C'est la seule juridiction de ce tableau où «aucun délai» est correct parce que la notification elle-même n'est pas obligatoire |
| Taïwan | Actuellement, aucune autorité dédiée à la notification des violations sous le droit en vigueur ; une Personal Data Protection Commission (PDPC) a été créée mais ses pouvoirs en matière de notification des violations ne sont pas encore actifs | Droit actuel : aucun délai de notification à l'autorité n'existe. L'art. 12 de la PDPA exige seulement de notifier la personne concernée «d'une manière appropriée», sans délai fixe. Une modification de décembre 2025 (adoptée, non en vigueur) ajoutera une obligation de notification à l'autorité de 72 heures une fois les règlements subordonnés finalisés et un décret d'entrée en vigueur publié | Droit actuel : «manière appropriée», sans délai fixe. La modification en instance ajoutera également un délai de 72 heures envers la personne concernée, courant en parallèle du nouveau délai envers l'autorité | Droit actuel : aucun seuil chiffré. Modification en instance : seuils encore à l'état de projet, non encore publiés | PDPA actuelle, art. 12, en vigueur ; le chiffre de «72 heures» largement cité décrit la modification pas encore en vigueur |
| Vietnam | Ministère de la Sécurité publique (l'autorité de protection des données personnelles ; les notifications lui sont adressées directement ou via le Portail national d'information sur la protection des données personnelles) | 72 heures à compter de la détection de la violation, désormais en vertu de la loi sur la protection des données personnelles n° 91/2025/QH15 (art. 27) et du décret 356/2025/ND-CP (art. 28). Le décret 13/2023/ND-CP, l'instrument que presque tous les répertoires citent encore pour le Vietnam, a cessé d'être en vigueur le 1er janvier 2026 | 72 heures envers les personnes concernées lorsque la violation implique des données de localisation ou des données biométriques (décret 356/2025/ND-CP, art. 29(1)(a)), ainsi qu'une obligation distincte de 72 heures pour les données sensibles divulguées dans les activités de finance, de banque et d'information de crédit (art. 8(3)). En dehors de ces catégories, la loi ne fixe toujours aucun délai général de notification aux personnes concernées | Une violation des règles de protection des données personnelles susceptible de nuire à la défense nationale, à la sécurité, à l'ordre public, ou à la vie, la santé, l'honneur, la dignité ou les biens d'une personne concernée ; aucun seuil chiffré | Principal, décret 356/2025/ND-CP lu directement, en vigueur depuis le 1er janvier 2026. Toute citation «Vietnam = décret 13/2023», y compris dans la plupart des répertoires de conformité, est désormais obsolète |
| Inde | Deux régimes distincts qui ne doivent pas être confondus : le CERT-In (cybersécurité, IT Act art. 70B), en vigueur dès maintenant ; et le Data Protection Board en vertu de la DPDP Act 2023, pas encore en vigueur pour la notification des violations | CERT-In : 6 heures à compter du constat ou de la notification de l'une des 20 catégories d'incidents cyber répertoriées, sans seuil de taille, actuellement contraignant. Règle 7 de la DPDP : «sans délai» plus un rapport détaillé de 72 heures au Board. adoptée, mais cette règle n'entre en vigueur que vers le 13 mai 2027 | DPDP (une fois en vigueur) : «sans délai» envers les personnes concernées (Data Principals), sans chiffre distinct en jours. Le CERT-In ne comporte aucun volet de notification individuelle | CERT-In : l'une des 20 catégories d'incidents, aucune taille minimale. DPDP (une fois en vigueur) : aucun seuil de matérialité, toute violation doit être notifiée quelle que soit son ampleur | Directive CERT-In 20(3)/2022, en vigueur depuis le 28 juin 2022 (c'est le régime qui lie réellement les entités indiennes aujourd'hui). Règles DPDP 2025, publiées au journal officiel le 13 novembre 2025, dispositions de notification des violations différées d'environ 18 mois |
Moyen-Orient et Afrique
Cette région présente l'écart le plus large entre ce que rapportent les blogs de conformité et ce que dit réellement l'instrument juridique sous-jacent. Plusieurs chiffres de «72 heures» ne figurent ici que dans une orientation ou un règlement infra-légal, et non dans la loi principale, et au moins deux juridictions (Afrique du Sud, Maroc) ne fixent délibérément aucun délai chiffré.
| Juridiction | Autorité de contrôle | Délai de notification à l'autorité | Notification aux personnes concernées | Déclencheur / Seuil | Base légale et statut |
|---|---|---|---|---|---|
| Arabie saoudite | SDAIA (l'«autorité compétente» désignée par le règlement) | 72 heures, mais ce chiffre figure dans le règlement d'application (art. 24(1)), et non dans la loi elle-même. L'art. 20 de la PDPL renvoie entièrement aux règlements et ne mentionne aucun chiffre | «Sans retard injustifié» (règlement d'application, art. 24(5)), aucun chiffre fixe | Incident «susceptible de causer un préjudice» aux données ou contraire aux droits ou intérêts de la personne concernée, un déclencheur fondé sur le risque et non sur un nombre de personnes | Principal, la PDPL et le règlement d'application lus directement l'un et l'autre. Voir notre présentation des lois saoudiennes sur la protection des données |
| Émirats arabes unis, fédéral (PDPL) | UAE Data Office | Le décret-loi fédéral n° 45/2021, art. 9(1), ne fixe aucun délai. Il exige de notifier le Bureau «dès qu'il en a connaissance» d'une violation, mais laisse le délai réel aux «mesures et exigences fixées par les règlements d'application», qui n'ont jamais été publiés. Le chiffre de 72 heures cité partout est une orientation opérationnelle de l'UAE Data Office, non le texte de loi | Aucun délai non plus. L'art. 9(2) laisse entièrement le délai de notification aux personnes concernées aux «règlements d'application», qui n'ont jamais été publiés | Risque pour la confidentialité, la vie privée ou la sécurité des données de la personne concernée, aucun seuil précis défini | Texte de loi confirmé ; le chiffre de 72 heures provient d'un guide de conformité, il n'est pas codifié. Voir notre comparaison entre la PDPL émiratie et le RGPD |
| Émirats arabes unis, DIFC | Commissioner of Data Protection (DIFC) | Aucun délai fixe en heures ou en jours dans l'ensemble de la DP Law 2020. Art. 41(1) : «dès que raisonnablement possible compte tenu des circonstances» | Même norme, «dès que raisonnablement possible», renforcée à «promptement» uniquement en cas de risque immédiat de préjudice (art. 42(1)) | Toute violation compromettant la confidentialité, la sécurité ou la vie privée pour la notification à l'autorité ; «susceptible d'entraîner un risque élevé» pour la notification aux personnes concernées | Principal, articles 41-42 lus directement, en vigueur |
| Émirats arabes unis, ADGM | Office of Data Protection (Commissioner of Data Protection, ADGM) | 72 heures, «sans retard injustifié et, si possible, 72 heures au plus tard» (Data Protection Regulations 2021, art. 32(1)) ; motifs requis en cas de retard | «Sans retard injustifié» lorsque cela est susceptible d'entraîner un risque élevé, aucun chiffre fixe, avec des exemptions de type RGPD (art. 33(3)) | Risque élevé pour les droits des personnes physiques, une formulation de type RGPD | Principal, articles 32-33 lus directement, en vigueur |
| Qatar | Compliance and Data Protection Department (CDP), rattaché à la NCSA | La loi n° 13 de 2016, art. 14, ne fixe aucun délai chiffré, seulement «si cette violation devait entraîner un préjudice sérieux». Un chiffre de 72 heures apparaît dans les lignes directrices infra-légales du CDP/NCSA, et non dans la loi | Le même déclencheur de «préjudice sérieux» s'applique aux deux volets en vertu de la loi ; les lignes directrices appliquent le même chiffre de 72 heures aux deux | «Préjudice sérieux pour les données personnelles ou la vie privée», non défini, auto-évalué par le responsable du traitement | Le constat structurel (le délai figure dans une orientation, non dans la loi) est corroboré par plusieurs sources ; le chiffre de 72 heures lui-même n'a pas été confirmé par une lecture directe et principale des lignes directrices |
| Bahreïn | Personal Data Protection Authority (PDPA) | La loi principale n° 30 de 2018 ne comporte aucun article sur la notification des violations, confirmé par la lecture directe de ses 60 articles. Tout chiffre de 72 heures pour Bahreïn ne figure que dans la résolution n° 43 de 2022, un instrument infra-légal qui n'a pu être localisé sous forme de document principal librement accessible | Même lacune : aucune clause de notification aux personnes concernées dans la loi principale | Sans objet dans la loi principale | Loi principale lue intégralement, confirme la lacune. Nous ne publions aucun chiffre précis en heures pour Bahreïn, car l'instrument qui le fournirait n'a pu être vérifié |
| Koweït | Communications and Information Technology Regulatory Authority (CITRA) | Nous ne publions aucun chiffre précis. Les sources secondaires se contredisent entre 24 heures et 72 heures, toutes deux attribuées au règlement n° 26 de 2024, art. 4(15), et aucune n'a été confirmée par une lecture directe du texte principal | Même contradiction, non résolue | Non clairement indiqué dans les sources disponibles | Portée limitée : couvre uniquement les fournisseurs télécoms/IT titulaires d'une licence CITRA, et non une loi économique générale comme toutes les autres lignes de ce tableau |
| Oman | Ministry of Transport, Communications and Information Technology (MTCIT), Personal Data Protection Department | 72 heures à compter de la prise de connaissance d'une violation menaçant les droits de la personne concernée, selon le règlement d'application de 2024 du décret royal 6/2022 | Le même déclencheur s'applique à la notification aux personnes concernées ; aucun chiffre distinct en jours identifié | Violation «susceptible d'entraîner une destruction, une altération, une divulgation ou un accès non autorisé» et menaçant les droits de la personne concernée, aucun seuil chiffré précis | Sourcé secondairement ; le PDF principal du journal officiel a été localisé mais son texte n'était pas extractible |
| Israël | Privacy Protection Authority (PPA) | Aucun chiffre fixe en heures ou en jours. Les Protection of Privacy Regulations (Data Security), 5777-2017, exigent un signalement «immédiat» de tout «incident de sécurité grave». La PPA a durci sa position en septembre 2022, abandonnant une marge informelle de 24 à 72 heures au profit d'une exigence de notification véritablement immédiate | Pas une obligation légale par défaut. La PPA peut, séparément, ordonner à un responsable du traitement de notifier les personnes concernées au cas par cas | «Incident de sécurité grave», défini selon le niveau de sécurité de la base de données | Sourcé secondairement (aucun texte principal gov.il consulté) ; le durcissement de la politique de 2022 est la nuance clé, sous-rapportée, que la plupart des agrégateurs continuent d'ignorer, en indiquant «24-72 heures» pour Israël |
| Turquie | KVKK (Personal Data Protection Board) | 72 heures, «sans délai et 72 heures au plus tard après en avoir pris connaissance», selon la décision du Board n° 2019/10, lue directement. Motifs requis en cas de dépassement | «Le délai raisonnable le plus court», le contact direct étant privilégié, ou une annonce publique si le contact direct n'est pas réalisable | Accès illicite à des données personnelles (loi n° 6698, art. 12(5)) ; le déclencheur d'accès illicite constitue lui-même le seuil | Principal, décision du Board lue directement, en vigueur. Ligne au niveau de confiance le plus élevé de ce tableau |
| Égypte | Personal Data Protection Center (PDPC) | 72 heures envers le PDPC, selon le règlement d'application publié le 1er novembre 2025 en vertu de la loi n° 151/2020. Une période de grâce d'un an court jusqu'au 31 octobre 2026, de sorte que l'application intégrale n'est pas encore effective | 3 jours ouvrés à compter de la notification au PDPC, un second délai distinct | S'applique largement à toute violation de données personnelles, avec notification immédiate pour les violations impliquant la sécurité nationale | Sourcé secondairement (alertes de cabinets d'avocats, texte principal du règlement non localisé lors de cette passe) ; le calendrier de la période de grâce est le signal important pour quiconque publie avant le 31 octobre 2026 |
| Maroc | CNDP (Commission nationale de contrôle de la protection des données à caractère personnel) | Aucun délai chiffré obligatoire n'existe. Le mécanisme central de la loi 09-08 est un régime de déclaration/autorisation préalable du traitement, et non une obligation de notification post-violation assortie d'un délai | Non prévue par la loi | Sans objet, aucun régime légal de notification des violations | Corroboré par plusieurs sources indépendantes ; peut être présenté en toute fiabilité comme une juridiction sans délai véritable, aux côtés de l'Afrique du Sud et du Ghana |
| Tunisie | INPDP | Non tranché. Le texte en vigueur est la loi organique n° 2004-63 de 2004, antérieure aux régimes de notification de type RGPD et qui ne contient vraisemblablement aucune clause de ce type. Un projet de réforme de 2025 est en instance, non encore adopté. On ignore quel instrument décrit réellement un chiffre de «72 heures» éventuellement cité | Même ambiguïté | Même ambiguïté | Non confirmé par une lecture principale du texte de 2004 ; ne pas considérer 72 heures comme du droit tunisien actuel établi |
| Nigeria | Nigeria Data Protection Commission (NDPC) | 72 heures après en avoir pris connaissance, selon le Nigeria Data Protection Act 2023, art. 40(2) ; divulgation échelonnée autorisée si les informations complètes ne sont pas encore disponibles | «Sans retard injustifié» en cas de risque élevé de fraude, d'usurpation d'identité ou d'exposition de données sensibles | Risque élevé pour les droits et libertés, apprécié selon la nature de la violation et la probabilité d'un préjudice secondaire | Corroboration secondaire forte et cohérente, y compris le document d'orientation propre du régulateur ; non revérifié de façon indépendante en texte principal lors de cette passe |
| Kenya | Office of the Data Protection Commissioner (ODPC) | 72 heures après en avoir pris connaissance, selon le Data Protection Act 2019, art. 43(1)(a), lu directement. Une notification tardive doit expliquer le retard | «Par écrit dans un délai raisonnablement praticable», aucun chiffre fixe en heures ou en jours, avec une exception lorsque des mesures de sécurité appropriées, comme le chiffrement, étaient déjà en place | Non chiffré, mais pas automatique non plus : l'art. 43(1) exige un accès ou une acquisition non autorisés plus un risque réel de préjudice pour la personne concernée, et le règlement 37 des Data Protection (General) Regulations 2021 définit quand ce risque réel est réputé exister (nom complet ou numéro d'identité combiné à des données de l'annexe 2 telles que salaire, numéro de carte ou de compte bancaire ; ou un identifiant de compte combiné à un mot de passe, un code de sécurité ou une donnée biométrique) | Principal, portail officiel des lois du Kenya lu directement, en vigueur |
| Afrique du Sud | Information Regulator | Aucun délai fixe en heures ou en jours. POPIA, art. 22(1) : notification «dès que raisonnablement possible», en tenant compte des besoins des forces de l'ordre et du temps nécessaire pour déterminer l'étendue de la violation et restaurer l'intégrité du système | La même norme «dès que raisonnablement possible» s'applique à la fois au régulateur et à la personne concernée, la POPIA ne scinde pas cela en délais distincts | «Motifs raisonnables de croire» que des informations personnelles ont été consultées ou acquises par une personne non autorisée, un déclencheur fondé sur la conviction et non sur un seuil de gravité | Corroboration quasi unanime dans toutes les sources vérifiées ; présenter délibérément cette ligne comme sans délai fixe, ne pas attribuer 72 heures à l'Afrique du Sud |
| Ghana | Data Protection Commission | Aucun délai fixe en heures ou en jours en vertu du Data Protection Act, 2012 (Act 843) actuel. Un projet de modification en instance ajouterait un délai obligatoire de 72 heures, pas encore en vigueur | Même déclencheur de «motifs raisonnables», aucun délai fixe | «Motifs raisonnables de croire» qu'un accès ou une acquisition non autorisés se sont produits | Le constat de fond (aucun délai chiffré aujourd'hui, un projet de loi de 72 heures en instance) est corroboré par plusieurs sources ; la citation exacte de l'article n'a pas été confirmée de façon indépendante |
| Tanzanie | Personal Data Protection Commission (PDPC) | Aucun délai fixe en heures ou en jours dans la loi elle-même. Personal Data Protection Act 2022, art. 27(5) : notifier «sans retard injustifié». Un chiffre précis pourrait figurer dans les règlements spécifiques aux violations de 2023, qui n'ont pas été consultés lors de cette passe | Non détaillé dans les sources disponibles, signalé comme une lacune plutôt que confirmé dans un sens ou dans l'autre | Tout incident entraînant un accès, une divulgation, une perte ou une compromission non autorisés de données personnelles, aucun seuil de gravité identifié | Corroboré par des répertoires de cabinets internationaux ; les règlements de 2023 pourraient contenir un délai chiffré absent de la loi elle-même, considérer ceci comme non résolu, et non établi |
Les Amériques
Les lois de protection des données de tradition civiliste d'Amérique latine utilisent principalement une formulation ouverte dans la loi principale, les délais chiffrés apparaissant dans des règlements d'application, décrets ou résolutions, un niveau en dessous de la loi elle-même. Deux exceptions structurelles, l'Argentine (aucune obligation légale) et le Chili (une véritable méprise entre deux lois), sont les erreurs les plus citées de la région.
| Juridiction | Autorité de contrôle | Délai de notification à l'autorité | Notification aux personnes concernées | Déclencheur / Seuil | Base légale et statut |
|---|---|---|---|---|---|
| Canada, fédéral (LPRPDE) | Commissariat à la protection de la vie privée du Canada (CPVP) | «Dès que possible après que l'organisation a établi que la violation a eu lieu», aucun nombre de jours fixe (art. 10.1(2)) | Même norme, même disposition, «dès que possible» (art. 10.1(6)) | «Risque réel de préjudice grave» : sensibilité de l'information combinée à la probabilité d'usage abusif (art. 10.1(8)) | Texte de loi principal (art. 10.1), lu directement, en vigueur |
| Québec (loi 25) | Commission d'accès à l'information (CAI) | Aucun chiffre légal fixe en heures ou en jours. L'art. 3.5 : «doit promptement aviser» la CAI dès qu'il existe un risque de préjudice sérieux. Le chiffre de 72 heures largement cité relève d'une orientation de la CAI ou du secteur, non du texte de la loi elle-même | Les personnes concernées doivent également être avisées en vertu de la même disposition, bien que la loi ne répète aucun adverbe pour ce volet ; la CAI peut ordonner l'avis si l'entreprise ne le donne pas | «Risque de préjudice sérieux» découlant de l'incident de confidentialité | Texte de loi principal (art. 3.5), lu directement sur legisquebec.gouv.qc.ca, en vigueur |
| Brésil (LGPD) | Autoridade Nacional de Proteção de Dados (ANPD) | 3 jours ouvrés à compter du moment où le responsable du traitement prend connaissance que l'incident a compromis des données personnelles (délai doublé à 6 jours pour les petits agents), selon la résolution ANPD CD/ANPD n° 15/2024 | Même délai de 3 jours ouvrés, même résolution | Le responsable du traitement doit évaluer si l'incident est susceptible de causer un risque ou un préjudice pertinent aux personnes concernées, une appréciation au cas par cas, tous les incidents ne sont pas notifiables | Principal, site propre de l'ANPD lu directement, en vigueur |
| Mexique (nouvelle LFPDPPP) | Secretaría Anticorrupción y Buen Gobierno (SABG), qui a remplacé l'INAI après la suppression de ce dernier le 21 mars 2025 | «De forma inmediata» (immédiatement), aucun chiffre en jours dans la loi ; la procédure de notification à la SABG elle-même est laissée à de futurs règlements | Notification «immédiate» dès que la violation affecte significativement les droits patrimoniaux ou moraux de la personne concernée | La violation doit «affecter significativement» les droits patrimoniaux ou moraux de la personne concernée | Texte de loi principal et décret de remplacement du régulateur tous deux lus directement, en vigueur |
| Argentine (loi 25.326) | Agencia de Acceso a la Información Pública (AAIP) | Aucune obligation légale générale de notifier une violation n'existe en droit argentin, seulement des exceptions sectorielles. L'AAIP recommande, de manière non contraignante, de notifier dans les 72 heures | De même, aucun délai contraignant ; la recommandation de l'AAIP couvre également les personnes concernées, également non contraignante | Sans objet, c'est l'élément distinctif clé par rapport au reste des Amériques | Texte principal de la loi 25.326 confirme l'absence de tout article sur la notification des violations ; seulement une obligation générale de sécurité à l'art. 9. Voir notre présentation des lois argentines sur la protection des données |
| Uruguay | Unidad Reguladora y de Control de Datos Personales (URCDP) | 72 heures après avoir pris connaissance de la vulnérabilité (décret 64/020, art. 4). Un chiffre distinct et sans rapport de 24 heures figurant à l'art. 3 est le délai pour entamer les procédures d'atténuation, et non pour notifier qui que ce soit, une source fréquente de confusion | Aucun chiffre fixe en heures, «une fois confirmé... dans un langage clair et simple», due uniquement en cas d'impact significatif sur les droits | Risque élevé pour les droits des personnes concernées | Principal, décret 64/020, art. 4, lu directement, en vigueur. Voir notre présentation des lois uruguayennes sur la protection des données |
| Chili (loi 21.719) | Nouvelle Agencia de Protección de Datos Personales (APDP), effective à compter du 1er décembre 2026 | Aucun délai fixe. L'article 14 sexies : signaler «par les moyens les plus rapides possibles et sans retard injustifié», point final. C'est la correction centrale de cette page : les chiffres de 72 heures (et de 3 heures, et de 15 jours) largement cités pour le Chili appartiennent à une loi différente, la loi-cadre sur la cybersécurité (21.663), art. 9, qui couvre les cyberattaques contre les services essentiels signalées au CSIRT Nacional, et non les violations de données personnelles | Requise uniquement pour les données sensibles, les mineurs de moins de 14 ans, ou les données financières/de crédit, même norme «rapide, sans retard injustifié», aucun délai fixe | Risque raisonnable pour les droits et libertés des personnes concernées, pour le déclencheur propre à la loi sur la protection des données | Les deux lois lues directement dans leur intégralité. La loi sur la protection des données 21.719 n'est pas encore en vigueur (effective à compter du 1er décembre 2026) ; la loi-cadre sur la cybersécurité 21.663 est, séparément, déjà en vigueur pour les opérateurs de services essentiels |
| Colombie | Superintendencia de Industria y Comercio (SIC) | 15 jours ouvrés à compter du moment où l'incident est détecté et porté à la connaissance de la personne ou du service responsable | Aucun délai légal distinct de notification aux personnes concernées identifié ; le régime colombien est centré sur la notification à l'autorité | Tout événement visant à violer les codes de sécurité, ou altération, perte, consultation, usage ou accès non autorisés ou frauduleux à des données personnelles | Principal, avis publié par la SIC elle-même citant la règle mot pour mot, en vigueur |
| Pérou | Autoridad Nacional de Protección de Datos Personales | 48 heures au maximum après en avoir pris connaissance, selon le D.S. 016-2024-JUS, art. 34, en vigueur depuis le 30 mars 2025 | 48 heures également, le même chiffre pour les deux volets, et non deux délais distincts comme certaines sources secondaires l'avaient supposé | Exposition de volumes de données importants, effet potentiel sur un grand nombre de personnes, données sensibles concernées, ou préjudice manifeste à d'autres droits | Principal, règlement art. 34 lu directement, en vigueur |
| Costa Rica | Agencia de Protección de Datos de los Habitantes (PRODHAB) | L'art. 39 exige que le même contenu de notification soit envoyé à la fois à la personne concernée et à PRODHAB, aucun délai distinct propre à l'autorité n'est prévu | 5 jours ouvrés à compter de la survenance de la vulnérabilité, présenté comme le délai envers la personne concernée (art. 38) | «Irrégularité» dans le traitement ou le stockage, perte, destruction ou extorsion de données résultant d'une vulnérabilité de sécurité | Principal, décret 37554-JP, art. 38-39, lu directement, en vigueur |
| Panama | Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) | «De inmediato» (immédiatement), la règle générale pour l'ANTAI comme pour les personnes concernées, sans chiffre distinct propre à l'ANTAI | La règle générale «immédiatement», assortie d'un plafond de 72 heures régissant spécifiquement le format et le contenu de la notification envers les personnes concernées | Dommage, perte, altération, destruction, accès non autorisé ou usage illicite de données personnelles représentant un risque pour la protection des données | Principal, décret exécutif 285 de 2021, art. 37, lu directement, en vigueur |
| Équateur | Superintendencia de Protección de Datos Personales, ainsi qu'ARCOTEL | 5 jours («término de cinco (5) días», donc jours ouvrés) après avoir eu connaissance certaine de la violation (LOPDP, art. 43), et non 3 jours comme certaines sources secondaires l'inversent. La notification du sous-traitant au responsable du traitement obéit à un délai distinct de 2 jours ouvrés, et la notification est dispensée lorsque la violation n'est pas susceptible de présenter un risque pour les droits et libertés | 3 jours («término de tres días», également des jours ouvrés) à compter de la prise de connaissance du risque (LOPDP, art. 46), le plus court des deux volets, à nouveau dans l'ordre inverse de ce que rapportent plusieurs agrégateurs. L'art. 46 dispense la notification aux personnes concernées lorsque des mesures techniques efficaces avaient déjà été appliquées ou lorsque le responsable du traitement démontre que le risque ne se réalisera pas, et permet une annonce publique lorsque la notification directe exigerait un effort disproportionné | Toute «vulneración» affectant la confidentialité, la disponibilité ou l'intégrité de données personnelles | Principal, LOPDP, art. 43 et 46, lus directement, en vigueur |
| Jamaïque | Office of the Information Commissioner (OIC) | 72 heures après en avoir pris connaissance, et l'horloge ne peut être suspendue pour d'abord confirmer que des données personnelles ont réellement été affectées, l'obligation naît dès que la violation pourrait potentiellement affecter des données personnelles | 72 heures également, selon des sources secondaires convergentes | Toute violation de sécurité affectant ou susceptible d'affecter des données personnelles | Sourcé secondairement (PDF principal non extractible en texte lors de cette passe) ; une sanction pénale citée pouvant atteindre 7 ans d'emprisonnement pour défaut de signalement n'a pas été confirmée de façon indépendante et doit être considérée comme non vérifiée |
Idées reçues courantes
«Le Chili, c'est 72 heures.» Faux. La loi chilienne sur la protection des données, 21.719, ne fixe aucun délai chiffré pour la notification des violations, seulement «les moyens les plus rapides possibles, sans retard injustifié». Le chiffre de 72 heures que l'on attache partout au Chili appartient en réalité à une loi distincte, la loi-cadre sur la cybersécurité (21.663), qui régit les cyberattaques contre les services essentiels signalées à un régulateur différent, le CSIRT Nacional, et non les violations de données personnelles en général. Confondre ces deux lois est l'erreur la plus répétée concernant le Chili.
«La règle télécoms allemande, c'est 24 heures.» À moitié vrai, et la moitié fausse porte sur la source, pas sur le chiffre. Le § 169 de la loi allemande sur les télécommunications (TKG) utilise seulement «unverzüglich», sans retard injustifié, sans aucun chiffre dans le texte de loi, de sorte qu'un fournisseur qui ne lit que le TKG n'y trouvera pas les 24 heures. Mais les 24 heures sont bien réelles et contraignantes : le règlement (UE) n° 611/2013, article 2(2), s'applique directement dans chaque État membre, Allemagne comprise, aux fournisseurs de services de communications électroniques accessibles au public, et exige de notifier l'autorité nationale compétente «au plus tard 24 heures après la détection de la violation de données à caractère personnel, si possible». L'erreur consiste à attribuer ce chiffre au TKG, pas dans le chiffre lui-même.
«L'Équateur, c'est 72 heures pour l'autorité, 3 jours pour les personnes concernées» ou «3 jours pour l'autorité». Ces deux formulations courantes inversent l'ordre ou confondent les volets. La LOPDP équatorienne fixe 5 jours ouvrés envers la Superintendencia et ARCOTEL (art. 43), et un délai plus court de 3 jours ouvrés envers la personne concernée (art. 46), l'inverse de l'ordre autorité-puis-personnes que retiennent la plupart des lois sur les violations de données.
«Tout le monde utilise 72 heures.» Faux. Une part significative des juridictions de ce tableau ne fixent aucun chiffre pour au moins l'un des deux volets : l'Afrique du Sud, la Suisse, le Canada, la loi néo-zélandaise elle-même (les 72 heures que l'on voit citées relèvent d'une orientation du Privacy Commissioner, non de la loi), le Maroc, le Ghana, le DIFC, Israël, et la loi chilienne sur la protection des données utilisent tous à la place des normes ouvertes comme «dès que raisonnablement possible» ou «sans retard injustifié».
Une orientation n'est pas un texte de loi. Le chiffre fédéral de 72 heures des Émirats arabes unis est une orientation opérationnelle de l'UAE Data Office ; les règlements d'application qui codifieraient un chiffre n'ont jamais été formellement publiés. Les 72 heures de la Nouvelle-Zélande proviennent du guide propre du Privacy Commissioner, explicitement présenté comme «un simple guide». Les 72 heures du Québec sont un raccourci de la CAI ou du secteur pour une loi qui dit en réalité seulement «promptement».
Adopté n'est pas en vigueur. Le délai de 72 heures pour la notification à l'autorité de Taïwan n'existe que dans une modification de décembre 2025 en attente de règlements subordonnés et d'un décret d'entrée en vigueur ; le droit taïwanais actuellement en vigueur ne comporte aucun délai de notification à l'autorité. L'obligation de notification des violations de la DPDP indienne est adoptée mais n'entre en vigueur que vers le 13 mai 2027. Le règlement d'application égyptien est entré en vigueur le 1er novembre 2025 mais comporte une période de grâce d'un an jusqu'au 31 octobre 2026.
Hong Kong n'a aucun délai légal, parce qu'il n'a aucune obligation légale. La notification des violations est entièrement facultative à Hong Kong en vertu de la PDPO ; l'orientation du Privacy Commissioner recommandant une notification rapide est non contraignante.
L'Argentine n'a aucune obligation de notification des violations. La loi 25.326 comporte une obligation générale de sécurité mais aucun article sur la notification des violations. La recommandation de 72 heures de l'AAIP est exactement cela, une recommandation, pas une exigence légale.
Koweït : aucun chiffre ne devrait être publié. Des sources secondaires fiables se contredisent directement entre 24 heures et 72 heures pour le même règlement (règlement n° 26 de 2024, art. 4(15)), et ce règlement a une portée limitée aux fournisseurs télécoms et IT titulaires d'une licence CITRA, et non à une loi économique générale.
Régimes sectoriels : les règles qui se superposent au droit général
Plusieurs régimes imposent leurs propres délais, souvent plus courts, de notification de violation ou d'incident à des secteurs spécifiques, qui se superposent (et ne remplacent pas) au délai général de protection des données déjà applicable.
- Directive NIS2 (UE 2022/2555), art. 23. s'applique aux entités «essentielles» et «importantes» : infrastructures critiques, infrastructures numériques, santé, énergie et secteurs similaires, et non aux responsables du traitement en général. Une cascade en trois étapes : une alerte précoce dans les 24 heures, une notification complète de l'incident dans les 72 heures, et un rapport final dans un délai d'un mois.
- DORA (UE 2022/2554), art. 20 et ses normes techniques d'application. s'applique au secteur financier : banques, assureurs, entreprises d'investissement et prestataires tiers critiques de services TIC. Confirmé directement à partir des normes techniques réglementaires : un rapport initial dans les 4 heures suivant la classification d'un incident comme majeur (et en tout état de cause dans les 24 heures suivant la prise de connaissance), un rapport intermédiaire dans les 72 heures, et un rapport final dans un délai d'un mois.
- Règlement eIDAS (UE 910/2014), art. 19(2). les prestataires de services de confiance (signature électronique, cachet électronique, authentification de site web) doivent notifier leur organisme de contrôle national dans les 24 heures, indépendamment de la voie de 72 heures du RGPD, et cette obligation s'applique aussi au Royaume-Uni via son régime eIDAS conservé.
- Règlement sectoriel européen vie privée et communications électroniques (611/2013). les fournisseurs de communications électroniques publiques dans l'ensemble de l'UE notifient leur régulateur national des télécommunications dans les 24 heures si possible, la règle applicable dans toute l'UE qui sous-tend l'exemple du TKG allemand ci-dessus.
- HIPAA (données de santé américaines), 45 CFR § 164.404. les entités couvertes doivent notifier les personnes concernées sans retard injustifié et au plus tard 60 jours calendaires après la découverte. Les violations affectant 500 personnes ou plus exigent aussi de notifier le HHS et, dans de nombreux cas, les médias locaux importants, selon le même délai de 60 jours ; les violations plus petites sont consignées et signalées au HHS annuellement.
- SEC, Item 1.05 du formulaire 8-K (sociétés cotées américaines). divulgue un incident de cybersécurité matériel dans les 4 jours ouvrés suivant la détermination de sa matérialité, et non à compter de la découverte de l'incident lui-même. L'horloge démarre à la détermination de la matérialité, laquelle doit elle-même être effectuée «sans retard injustifié».
- Divergence CERT contre autorité de protection des données, l'exemple le plus marqué de tout ce tableau : l'Inde. La règle des 6 heures du CERT-In pour les incidents de cybersécurité est en vigueur et contraignante dès aujourd'hui. L'obligation de notification des violations propre à la protection des données de la DPDP Act, avec son propre «sans délai» plus un rapport de 72 heures au Board, est adoptée mais n'entre en vigueur que vers le 13 mai 2027. Une entreprise indienne confrontée à une violation aujourd'hui même est liée par le délai de 6 heures du CERT-In, et non par un quelconque chiffre de la DPDP, quelle que soit la fréquence à laquelle «le délai indien de notification des violations» est rapporté comme étant de 72 heures.
États-Unis : synthèse par État
Il n'existe aucune loi fédérale unique de notification des violations de données aux États-Unis. Les 50 États, DC et les territoires américains disposent chacun de leur propre loi, et le site tient à jour une page complète pour chacun à l'adresse /us-laws/data-privacy-laws/{state}-data-privacy-laws/data-breach-notification/. Cette section résume le schéma général plutôt que de répéter 51 lignes.
La norme la plus courante n'est pas un chiffre fixe. La plupart des États utilisent une norme «sans retard injustifié» ou «dans les meilleurs délais possibles», parfois assortie d'un chiffre plafond en dernier recours.
Lorsque les États fixent un plafond chiffré, celui-ci se situe généralement entre 30 et 60 jours. Le Washington exige une notification dans les 30 jours calendaires (RCW 19.255.010), et la Floride fixe le même chiffre de 30 jours avec une extension de 15 jours possible pour motif valable, ce qui porte le plafond pratique à 45 jours. Le Colorado utilise également 30 jours, avec un seuil plus bas de 500 résidents pour la notification au procureur général et un seuil distinct de 1 000 résidents pour la notification aux agences d'évaluation du crédit à l'échelle nationale.
Le Texas est l'exception à mentionner spécifiquement, car il ne correspond pas au schéma que supposent la plupart des agrégateurs. Le Texas accorde 60 jours pour notifier les personnes concernées, mais exige une notification au procureur général du Texas dans un délai beaucoup plus court de 30 jours lorsque 250 résidents texans ou plus sont concernés, c'est le délai envers le procureur général, et non celui envers les consommateurs, qui est le plus court.
Les seuils de notification au procureur général ou au régulateur se déclenchent le plus souvent à 500 résidents (Floride, Washington et bien d'autres) ou 1 000 résidents (utilisé à la fois comme déclencheur indépendant de notification au procureur général dans certains États et comme déclencheur distinct pour les agences d'évaluation du crédit dans le Colorado).
Des règles sectorielles fédérales comblent une partie de ce vide en l'absence de loi fédérale générale : la règle des 60 jours d'HIPAA pour les données de santé et la règle des 4 jours ouvrés de la SEC pour les sociétés cotées (détaillées ci-dessus), ainsi que la Safeguards Rule de la FTC, qui exige des institutions financières non bancaires qu'elles notifient la FTC, et non les consommateurs, dans les 30 jours suivant la découverte d'une violation affectant les informations non chiffrées de 500 consommateurs ou plus. Cette règle de la FTC concerne uniquement le régulateur ; la notification aux consommateurs dépend toujours de la loi de l'État applicable.
Recommandations pratiques de conformité
Identifiez séparément les deux volets, pour chaque juridiction où vous opérez. Un plan de réponse aux violations qui ne suit que «le délai» d'un pays, plutôt que le délai envers l'autorité et le délai envers les personnes concernées comme deux horloges distinctes avec deux déclencheurs distincts, échouera dès que ces deux horloges divergeront, ce qui est la norme, et non l'exception, dans ce tableau.
Faites démarrer l'horloge de chaque juridiction à partir de la «prise de connaissance», et non de la «confirmation». La plupart des lois ci-dessus se mesurent à partir du moment où le responsable du traitement a pris connaissance de la violation, ou a eu des motifs raisonnables de croire qu'elle s'était produite, et non à partir de la conclusion de l'enquête. Attendre une certitude complète avant de démarrer l'horloge est l'une des façons les plus courantes pour une organisation de manquer un délai de 72 heures.
Vérifiez si le chiffre sur lequel vous vous appuyez figure dans la loi principale, dans un règlement subordonné, ou dans une orientation, et s'il est effectivement entré en vigueur. Ce tableau signale chaque cas où ces trois éléments divergent : le Chili, l'Allemagne, les Émirats arabes unis, la Nouvelle-Zélande, le Québec, Taïwan, l'Inde et l'Égypte ont tous au moins un chiffre couramment cité qui s'avère relever d'une orientation, d'une loi différente, ou n'être pas encore en vigueur.
Lorsqu'une juridiction ne fixe aucun chiffre, «dès que possible» demeure une norme opposable, et non une invitation à tarder. Les régulateurs des juridictions sans délai fixe, notamment le PFPDT suisse et l'Information Regulator sud-africain, évaluent activement si le retard lui-même était raisonnable au vu des faits, même sans seuil chiffré précis auquel se mesurer.
Une violation multinationale déclenche simultanément le délai le plus court applicable dans chaque juridiction concernée. Une violation touchant à la fois des personnes concernées dans l'UE, en Inde et aux États-Unis est liée par les 72 heures du RGPD, les 6 heures du CERT-In, et les règles d'État et sectorielles américaines applicables, de manière concurrente et non séquentielle. Bâtissez votre plan de réponse autour du délai le plus court de l'ensemble, pas de la moyenne.
Questions fréquentes
72 heures est-elle la norme mondiale de notification des violations de données ?
Non. C'est le chiffre le plus copié, à l'origine du RGPD de l'UE, mais une part significative des pays de ce tableau, dont la Suisse, l'Afrique du Sud, le Canada, la loi néo-zélandaise elle-même, et la loi chilienne sur la protection des données, ne fixent aucun chiffre du tout. D'autres utilisent des chiffres entièrement différents, comme les 3 jours ouvrés du Brésil ou les 48 heures du Pérou.
Pourquoi le Chili est-il constamment cité comme un pays à 72 heures ?
La loi-cadre chilienne sur la cybersécurité (21.663) fixe bien un délai de 72 heures, mais uniquement pour les cyberattaques contre les services essentiels, signalées au CSIRT Nacional. La véritable loi chilienne sur la protection des données, 21.719, ne fixe aucun délai chiffré pour les violations de données personnelles, seulement «les moyens les plus rapides possibles, sans retard injustifié». Les agrégateurs attribuent régulièrement à tort le chiffre de la loi sur la cybersécurité à la loi sur la protection des données.
Le délai de 24 heures couramment cité pour les télécoms allemandes est-il exact ?
Le chiffre est exact, l'attribution ne l'est généralement pas. Le § 169 de la loi allemande sur les télécommunications (TKG) utilise seulement «unverzüglich», sans retard injustifié, sans aucun chiffre dans le texte de loi. Le délai de 24 heures provient en réalité du droit de l'UE directement applicable : le règlement (UE) n° 611/2013, article 2(2), exige des fournisseurs de services de communications électroniques accessibles au public qu'ils notifient l'autorité nationale compétente «au plus tard 24 heures après la détection de la violation de données à caractère personnel, si possible». Un fournisseur télécoms allemand est bien soumis à un délai contraignant de 24 heures, il n'est simplement pas inscrit dans le TKG.
Quelle est la différence entre le délai de notification à l'autorité et le délai de notification aux personnes concernées ?
Ce sont généralement deux horloges distinctes avec deux déclencheurs distincts. Sous le RGPD, par exemple, l'autorité de contrôle doit être notifiée de toute violation présentant un risque dans un délai de 72 heures, tandis que les personnes concernées ne doivent être notifiées, sans chiffre fixe, que si la violation présente un risque élevé, un seuil nettement plus haut. De nombreuses autres juridictions suivent une répartition similaire, et confondre les deux volets est l'erreur la plus fréquente dans le traitement de ce sujet.
Quels pays n'ont absolument aucun délai légal de notification des violations ?
L'Afrique du Sud, la Suisse, le Canada, la Nouvelle-Zélande (par la loi ; un chiffre de 72 heures n'existe que dans une orientation non contraignante du régulateur), le Maroc et le Ghana ne fixent tous aucun chiffre en heures ou en jours dans leur droit actuel. Hong Kong va plus loin : la notification des violations elle-même est entièrement facultative. L'Argentine n'a aucune obligation légale de notification des violations, quelle qu'elle soit, seulement une recommandation non contraignante du régulateur.
La règle indienne de notification des violations de données est-elle en vigueur dès maintenant ?
Pas encore. L'obligation de notification des violations de la DPDP Act, y compris son rapport détaillé de 72 heures au Data Protection Board, a été publiée au journal officiel le 13 novembre 2025 mais n'entre en vigueur que vers le 13 mai 2027. Ce qui lie réellement les entités indiennes aujourd'hui est un régime distinct de cybersécurité, la règle de signalement d'incident de 6 heures du CERT-In en vertu de l'IT Act, en vigueur depuis 2022. Ce sont deux régimes différents qui ne devraient jamais être présentés comme un unique chiffre du «délai indien de notification des violations».
Le délai malaisien de 72 heures court-il à compter de la survenance de la violation ou de sa découverte ?
Le texte de la circulaire lui-même (Pekeliling n° 2/2025, art. 4(4)) indique «dans les 72 heures à compter de la violation de données personnelles», une formulation qui pointe vers la survenance plutôt que la découverte, tandis que l'art. 4(1) présente séparément l'obligation sous-jacente comme «dès que raisonnablement possible». Les lignes directrices détaillées propres au Commissaire sur ce point n'ont pas été vérifiées de façon indépendante pour cette page, il convient donc de traiter le point de départ exact de l'horloge avec une certaine prudence et de confirmer l'orientation actuelle de la JPDP avant de s'y fier pour un délai de conformité réel.
Les États-Unis ont-ils un unique délai fédéral de notification des violations de données ?
Non. Il n'existe aucune loi fédérale générale de notification des violations. Les 50 États, DC et les territoires américains fixent chacun leurs propres délais, le plus souvent «sans retard injustifié» assorti d'un plafond optionnel de 30 à 60 jours. Des règles sectorielles fédérales comblent une partie de ce vide pour certains secteurs : HIPAA accorde 60 jours aux entités couvertes pour les violations de données de santé, et la SEC exige des sociétés cotées qu'elles divulguent les incidents de cybersécurité matériels dans les 4 jours ouvrés suivant la détermination de leur matérialité.
Pourquoi le Koweït et Bahreïn n'ont-ils pas de délai publié dans ce tableau ?
Pour le Koweït, des sources secondaires fiables se contredisent directement, certaines citant 24 heures et d'autres 72 heures, pour le même règlement, et nous n'avons pas pu résoudre cette contradiction face à un texte principal. Pour Bahreïn, la loi principale sur la protection des données ne comporte aucun article sur la notification des violations ; tout chiffre de 72 heures ne figure que dans une résolution de 2022 qui n'a pu être localisée comme document principal vérifiable. Publier un chiffre inventé dans l'un ou l'autre cas serait moins exact que d'indiquer honnêtement cette lacune.
Mises à jour
Publication initiale du tableau comparatif de délais de notification des violations de données couvrant plus de 45 juridictions, en Europe, en Asie-Pacifique, au Moyen-Orient et en Afrique, et dans les Amériques, entièrement sourcé à partir des textes de loi principaux, des règlements d'application et des orientations des régulateurs, ainsi qu'une synthèse du droit des États américains et des régimes sectoriels (NIS2, DORA, eIDAS, HIPAA, SEC).
Sources et références
- RGPD article 33 — Notification d'une violation de données à caractère personnel à l'autorité de contrôle(gdpr-info.eu)
- RGPD article 34 — Communication d'une violation de données à caractère personnel à la personne concernée(gdpr-info.eu)
- ICO — Violations de données personnelles : guide pratique(ico.org.uk).gov
- Suisse — nLPD (RS 235.1), article 24 — Meldung von Verletzungen der Datensicherheit(fedlex.admin.ch).gov
- Datatilsynet — Meld avvik til Datatilsynet (orientation norvégienne sur le signalement des violations)(datatilsynet.no).gov
- EFTA EEA-Lex — Transposition du RGPD dans l'accord EEE (décision JCD 154/2018)(efta.int)
- Allemagne — Telekommunikationsgesetz (TKG), § 169(gesetze-im-internet.de).gov
- BfDI — Das Verfahren nach § 169 TKG (procédure prévue par le § 169 TKG)(bfdi.bund.de).gov
- CNIL — Notifications d'incidents de sécurité aux autorités de régulation(cnil.fr).gov
- EUR-Lex — Directive (UE) 2022/2555 (NIS2)(eur-lex.europa.eu).gov
- EUR-Lex — Règlement délégué (UE) 2025/301 de la Commission (normes techniques de réglementation DORA sur le signalement des incidents)(eur-lex.europa.eu).gov
- EUR-Lex — Règlement (UE) 910/2014 (eIDAS), article 19(eur-lex.europa.eu).gov
- PPC japonaise — Présentation de l'obligation de signalement des violations de données(ppc.go.jp).gov
- Chine — Cyberspace Administration of China, règlement sur la gestion de la sécurité des données réseau(cac.gov.cn).gov
- Chine — PIPL, article 57 (traduction)(personalinformationprotectionlaw.com)
- Singapour — Personal Data Protection Act 2012(sso.agc.gov.sg).gov
- Malaisie — Pekeliling Pesuruhjaya Perlindungan Data Peribadi Bilangan 2 Tahun 2025 (circulaire sur la notification des violations de données)(pdp.gov.my).gov
- Philippines — Circulaire NPC 16-03 — Gestion des violations de données personnelles(privacy.gov.ph).gov
- Indonésie — UU n° 27 Tahun 2022 sur la protection des données personnelles, Pasal 46(jdih.komdigi.go.id).gov
- Australie OAIC — Régime de notification des violations de données admissibles (Notifiable Data Breach), partie 4(oaic.gov.au).gov
- Nouvelle-Zélande OPC — Orientation sur la gestion des violations (Breach Management)(privacy.org.nz).gov
- Hong Kong PCPD — Note d'orientation sur le traitement et la notification des violations de données(pcpd.org.hk).gov
- Taïwan — Loi sur la protection des données personnelles, article 12(law.moj.gov.tw).gov
- Vietnam — Décret n° 13/2023/ND-CP sur la protection des données personnelles, article 23(finalsite.net)
- Internet Freedom Foundation — déclaration sur la notification et le calendrier d'entrée en vigueur des Digital Data Protection Rules 2025(internetfreedom.in)
- Arabie saoudite — Loi sur la protection des données personnelles, article 20(sdaia.gov.sa).gov
- Arabie saoudite — Règlement d'application de la PDPL, article 24(sdaia.gov.sa).gov
- Émirats arabes unis — Décret-loi fédéral n° 45 de 2021 (PDPL), article 9(uaepdpl.com)
- Loi sur la protection des données du DIFC n° 5 de 2020, articles 41-42(assets.difc.com).gov
- Règlement sur la protection des données de l'ADGM 2021, articles 32-33(assets.adgm.com).gov
- Qatar — Loi n° 13 de 2016, article 14(almeezan.qa).gov
- Bahreïn — Loi sur la protection des données personnelles n° 30 de 2018 (texte intégral)(pdp.gov.bh).gov
- Oman — Loi sur la protection des données personnelles, texte du Journal officiel(mtcit.gov.om).gov
- KVKK turque — Décision du Board n° 2019/10 sur la notification des violations de données personnelles(kvkk.gov.tr).gov
- NDPC nigériane — Orientation sur le Data Protection Act, mars 2025(ndpc.gov.ng).gov
- Kenya Law — Data Protection Act, 2019, article 43(kenyalaw.org).gov
- Ghana — Data Protection Act, 2012 (Act 843)(nita.gov.gh).gov
- Tanzanie — Personal Data Protection Act, 2022(pdpc.go.tz).gov
- Canada — Loi sur la protection des renseignements personnels et les documents électroniques, art. 10.1(laws-lois.justice.gc.ca).gov
- Québec — Loi sur la protection des renseignements personnels dans le secteur privé, art. 3.5(legisquebec.gouv.qc.ca).gov
- ANPD — Comunicado de Incidente de Segurança (obligation de notification des violations)(gov.br).gov
- Mexique — Ley Federal de Protección de Datos Personales en Posesión de los Particulares(diputados.gob.mx).gov
- Mexique — Diario Oficial de la Federación, décret de transition du régulateur, 20 mars 2025(dof.gob.mx).gov
- Argentine — Loi 25.326 (Ley de Protección de los Datos Personales), texte intégral(oas.org)
- Uruguay — Décret 64/020, articles 3-4(impo.com.uy).gov
- Chili — Loi 21.719, article 14 sexies (texte officiel BCN)(bcn.cl).gov
- Chili — Loi 21.663 (loi-cadre sur la cybersécurité), article 9(bcn.cl).gov
- SIC colombienne — Respect de l'obligation de signalement des incidents de sécurité(sic.gov.co).gov
- Pérou — D.S. 016-2024-JUS, article 34(lpderecho.pe)
- Costa Rica — Décret exécutif 37554-JP, articles 38-39(mopt.go.cr).gov
- Panama — Décret exécutif 285 de 2021, article 37(sijusa.com)
- Équateur — Loi organique sur la protection des données personnelles, articles 43 et 46(cpccs.gob.ec).gov
- eCFR — Règle de notification des violations HIPAA, 45 CFR § 164.404(ecfr.gov).gov
- SEC — Communiqué de presse 2023-139, divulgation des incidents de cybersécurité (Item 1.05, formulaire 8-K)(sec.gov).gov
- FTC — L'obligation de notification de la Safeguards Rule est désormais en vigueur(ftc.gov).gov
- Washington RCW 19.255.010 — Avis de violations de sécurité(app.leg.wa.gov).gov
- Statut de Floride § 501.171 — Sécurité des renseignements personnels confidentiels(flsenate.gov).gov