Délais de notification des violations de données par pays (tableau comparatif 2026)

Réponse rapide

Il n'existe aucun délai mondial de notification des violations de données. Le RGPD de l'Union européenne a fixé la référence à laquelle la plupart des autres lois sont comparées : notifier l'autorité de contrôle dans un délai de 72 heures après avoir pris connaissance de la violation, et notifier les personnes concernées «sans retard injustifié» uniquement si la violation présente un risque élevé pour leurs droits.

De nombreux pays reprennent le chiffre de 72 heures pour leur propre volet de notification à l'autorité (Corée du Sud, Philippines, Indonésie, règlement d'application de l'Arabie saoudite, Turquie, Kenya, Nigeria, Uruguay, et plusieurs zones franches des Émirats arabes unis). Tout autant s'en écartent : la Suisse, l'Afrique du Sud, le Canada, la loi néo-zélandaise, le Chili, la règle sectorielle télécoms allemande, et la plupart des pays d'Amérique latine de tradition civiliste, qui utilisent une formulation ouverte telle que «sans retard injustifié», «dès que possible en pratique» ou «dès que raisonnablement possible» plutôt qu'un nombre d'heures fixe.

Une poignée de juridictions n'ont, en pratique, aucune loi de notification des violations de données à l'heure actuelle : Hong Kong (facultatif), l'Argentine (aucune obligation légale), et l'obligation propre à la protection des données de l'Inde (adoptée mais pas encore en vigueur). Les tableaux ci-dessous indiquent séparément les deux délais pour chaque juridiction que nous avons pu vérifier, et le précisent clairement chaque fois qu'aucun chiffre fixe n'existe.

Comment lire ce tableau

Chaque ligne ci-dessous est volontairement scindée en deux colonnes : le délai de notification à l'autorité de contrôle et le délai de notification aux personnes concernées. Ce sont fréquemment deux horloges différentes, avec des déclencheurs différents, et les confondre est l'erreur la plus courante dans le traitement de ce sujet. Le RGPD en est l'exemple le plus clair : le déclencheur de la notification à l'autorité est toute violation présentant un risque, tandis que le déclencheur de la notification aux personnes exige un risque élevé, un seuil nettement plus haut, et ce second volet ne comporte aucun chiffre fixe.

«Aucun délai fixe» est une réponse réelle et correctement documentée, pas une lacune de ce tableau. Lorsque la loi d'une juridiction dit «dès que possible» ou «sans retard injustifié» sans chiffre associé, nous le mentionnons clairement plutôt que d'emprunter un chiffre à la loi d'un autre pays ou à une orientation du régulateur qui n'a jamais été inscrite dans le texte de loi.

Nous précisons également, chaque fois que cela importe, si un délai figure dans le texte de loi principal, dans un règlement subordonné, ou seulement dans une orientation non contraignante, et si un délai adopté est effectivement en vigueur. Ces trois distinctions déterminent le poids qu'une équipe conformité doit accorder à un chiffre, et la plupart des sources secondaires les réduisent à un simple titre «X heures» qui efface entièrement la nuance.

La référence des 72 heures du RGPD, en bref

La référence de l'UE/EEE provient du Règlement général sur la protection des données, articles 33 et 34. Un responsable du traitement doit notifier son autorité de contrôle compétente «dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance», sauf si la violation en question n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. La notification aux personnes concernées elles-mêmes n'est requise que lorsque la violation est susceptible d'engendrer un risque élevé, et ce volet ne comporte aucun chiffre fixe, seulement «dans les meilleurs délais».

Cette structure à deux niveaux, un seuil plus bas et un délai fixe pour l'autorité, un seuil plus haut et aucun délai fixe pour les personnes concernées, est le schéma que la majeure partie du reste du monde reproduit ou dont elle s'écarte délibérément. Pour une analyse complète du texte du RGPD lui-même, de ses exemptions et de son historique d'application, consultez notre analyse approfondie de la règle des 72 heures du RGPD.

Europe

Les États de l'UE/EEE partagent un seul texte juridique (le RGPD), de sorte que la véritable variation en Europe provient des États EEE-AELE qui appliquent le RGPD via une transposition nationale distincte, des États non membres de l'UE comme la Suisse et le Royaume-Uni qui disposent de leurs propres lois post-RGPD, et des régimes sectoriels qui imposent des délais distincts, souvent plus courts. Les décisions d'adéquation de l'UE déterminent aussi, en amont, comment les données de violation peuvent circuler à travers ces frontières.

Asie-Pacifique

L'Asie-Pacifique se divise globalement en trois groupes : les juridictions qui reprennent le délai de 72 heures de type RGPD pour l'autorité (Corée du Sud, Philippines, Indonésie, Malaisie), les juridictions à délais exprimés en jours ou fondés sur une évaluation (Japon, Singapour, Australie), et les juridictions sans aucun chiffre fixe (la loi néo-zélandaise, Hong Kong, le droit taïwanais actuel).

Moyen-Orient et Afrique

Cette région présente l'écart le plus large entre ce que rapportent les blogs de conformité et ce que dit réellement l'instrument juridique sous-jacent. Plusieurs chiffres de «72 heures» ne figurent ici que dans une orientation ou un règlement infra-légal, et non dans la loi principale, et au moins deux juridictions (Afrique du Sud, Maroc) ne fixent délibérément aucun délai chiffré.

Les Amériques

Les lois de protection des données de tradition civiliste d'Amérique latine utilisent principalement une formulation ouverte dans la loi principale, les délais chiffrés apparaissant dans des règlements d'application, décrets ou résolutions, un niveau en dessous de la loi elle-même. Deux exceptions structurelles, l'Argentine (aucune obligation légale) et le Chili (une véritable méprise entre deux lois), sont les erreurs les plus citées de la région.

Idées reçues courantes

«Le Chili, c'est 72 heures.» Faux. La loi chilienne sur la protection des données, 21.719, ne fixe aucun délai chiffré pour la notification des violations, seulement «les moyens les plus rapides possibles, sans retard injustifié». Le chiffre de 72 heures que l'on attache partout au Chili appartient en réalité à une loi distincte, la loi-cadre sur la cybersécurité (21.663), qui régit les cyberattaques contre les services essentiels signalées à un régulateur différent, le CSIRT Nacional, et non les violations de données personnelles en général. Confondre ces deux lois est l'erreur la plus répétée concernant le Chili.

«La règle télécoms allemande, c'est 24 heures.» À moitié vrai, et la moitié fausse porte sur la source, pas sur le chiffre. Le § 169 de la loi allemande sur les télécommunications (TKG) utilise seulement «unverzüglich», sans retard injustifié, sans aucun chiffre dans le texte de loi, de sorte qu'un fournisseur qui ne lit que le TKG n'y trouvera pas les 24 heures. Mais les 24 heures sont bien réelles et contraignantes : le règlement (UE) n° 611/2013, article 2(2), s'applique directement dans chaque État membre, Allemagne comprise, aux fournisseurs de services de communications électroniques accessibles au public, et exige de notifier l'autorité nationale compétente «au plus tard 24 heures après la détection de la violation de données à caractère personnel, si possible». L'erreur consiste à attribuer ce chiffre au TKG, pas dans le chiffre lui-même.

«L'Équateur, c'est 72 heures pour l'autorité, 3 jours pour les personnes concernées» ou «3 jours pour l'autorité». Ces deux formulations courantes inversent l'ordre ou confondent les volets. La LOPDP équatorienne fixe 5 jours ouvrés envers la Superintendencia et ARCOTEL (art. 43), et un délai plus court de 3 jours ouvrés envers la personne concernée (art. 46), l'inverse de l'ordre autorité-puis-personnes que retiennent la plupart des lois sur les violations de données.

«Tout le monde utilise 72 heures.» Faux. Une part significative des juridictions de ce tableau ne fixent aucun chiffre pour au moins l'un des deux volets : l'Afrique du Sud, la Suisse, le Canada, la loi néo-zélandaise elle-même (les 72 heures que l'on voit citées relèvent d'une orientation du Privacy Commissioner, non de la loi), le Maroc, le Ghana, le DIFC, Israël, et la loi chilienne sur la protection des données utilisent tous à la place des normes ouvertes comme «dès que raisonnablement possible» ou «sans retard injustifié».

Une orientation n'est pas un texte de loi. Le chiffre fédéral de 72 heures des Émirats arabes unis est une orientation opérationnelle de l'UAE Data Office ; les règlements d'application qui codifieraient un chiffre n'ont jamais été formellement publiés. Les 72 heures de la Nouvelle-Zélande proviennent du guide propre du Privacy Commissioner, explicitement présenté comme «un simple guide». Les 72 heures du Québec sont un raccourci de la CAI ou du secteur pour une loi qui dit en réalité seulement «promptement».

Adopté n'est pas en vigueur. Le délai de 72 heures pour la notification à l'autorité de Taïwan n'existe que dans une modification de décembre 2025 en attente de règlements subordonnés et d'un décret d'entrée en vigueur ; le droit taïwanais actuellement en vigueur ne comporte aucun délai de notification à l'autorité. L'obligation de notification des violations de la DPDP indienne est adoptée mais n'entre en vigueur que vers le 13 mai 2027. Le règlement d'application égyptien est entré en vigueur le 1er novembre 2025 mais comporte une période de grâce d'un an jusqu'au 31 octobre 2026.

Hong Kong n'a aucun délai légal, parce qu'il n'a aucune obligation légale. La notification des violations est entièrement facultative à Hong Kong en vertu de la PDPO ; l'orientation du Privacy Commissioner recommandant une notification rapide est non contraignante.

L'Argentine n'a aucune obligation de notification des violations. La loi 25.326 comporte une obligation générale de sécurité mais aucun article sur la notification des violations. La recommandation de 72 heures de l'AAIP est exactement cela, une recommandation, pas une exigence légale.

Koweït : aucun chiffre ne devrait être publié. Des sources secondaires fiables se contredisent directement entre 24 heures et 72 heures pour le même règlement (règlement n° 26 de 2024, art. 4(15)), et ce règlement a une portée limitée aux fournisseurs télécoms et IT titulaires d'une licence CITRA, et non à une loi économique générale.

Régimes sectoriels : les règles qui se superposent au droit général

Plusieurs régimes imposent leurs propres délais, souvent plus courts, de notification de violation ou d'incident à des secteurs spécifiques, qui se superposent (et ne remplacent pas) au délai général de protection des données déjà applicable.

• Directive NIS2 (UE 2022/2555), art. 23. s'applique aux entités «essentielles» et «importantes» : infrastructures critiques, infrastructures numériques, santé, énergie et secteurs similaires, et non aux responsables du traitement en général. Une cascade en trois étapes : une alerte précoce dans les 24 heures, une notification complète de l'incident dans les 72 heures, et un rapport final dans un délai d'un mois.
• DORA (UE 2022/2554), art. 20 et ses normes techniques d'application. s'applique au secteur financier : banques, assureurs, entreprises d'investissement et prestataires tiers critiques de services TIC. Confirmé directement à partir des normes techniques réglementaires : un rapport initial dans les 4 heures suivant la classification d'un incident comme majeur (et en tout état de cause dans les 24 heures suivant la prise de connaissance), un rapport intermédiaire dans les 72 heures, et un rapport final dans un délai d'un mois.
• Règlement eIDAS (UE 910/2014), art. 19(2). les prestataires de services de confiance (signature électronique, cachet électronique, authentification de site web) doivent notifier leur organisme de contrôle national dans les 24 heures, indépendamment de la voie de 72 heures du RGPD, et cette obligation s'applique aussi au Royaume-Uni via son régime eIDAS conservé.
• Règlement sectoriel européen vie privée et communications électroniques (611/2013). les fournisseurs de communications électroniques publiques dans l'ensemble de l'UE notifient leur régulateur national des télécommunications dans les 24 heures si possible, la règle applicable dans toute l'UE qui sous-tend l'exemple du TKG allemand ci-dessus.
• HIPAA (données de santé américaines), 45 CFR § 164.404. les entités couvertes doivent notifier les personnes concernées sans retard injustifié et au plus tard 60 jours calendaires après la découverte. Les violations affectant 500 personnes ou plus exigent aussi de notifier le HHS et, dans de nombreux cas, les médias locaux importants, selon le même délai de 60 jours ; les violations plus petites sont consignées et signalées au HHS annuellement.
• SEC, Item 1.05 du formulaire 8-K (sociétés cotées américaines). divulgue un incident de cybersécurité matériel dans les 4 jours ouvrés suivant la détermination de sa matérialité, et non à compter de la découverte de l'incident lui-même. L'horloge démarre à la détermination de la matérialité, laquelle doit elle-même être effectuée «sans retard injustifié».
• Divergence CERT contre autorité de protection des données, l'exemple le plus marqué de tout ce tableau : l'Inde. La règle des 6 heures du CERT-In pour les incidents de cybersécurité est en vigueur et contraignante dès aujourd'hui. L'obligation de notification des violations propre à la protection des données de la DPDP Act, avec son propre «sans délai» plus un rapport de 72 heures au Board, est adoptée mais n'entre en vigueur que vers le 13 mai 2027. Une entreprise indienne confrontée à une violation aujourd'hui même est liée par le délai de 6 heures du CERT-In, et non par un quelconque chiffre de la DPDP, quelle que soit la fréquence à laquelle «le délai indien de notification des violations» est rapporté comme étant de 72 heures.

États-Unis : synthèse par État

Il n'existe aucune loi fédérale unique de notification des violations de données aux États-Unis. Les 50 États, DC et les territoires américains disposent chacun de leur propre loi, et le site tient à jour une page complète pour chacun à l'adresse /us-laws/data-privacy-laws/{state}-data-privacy-laws/data-breach-notification/. Cette section résume le schéma général plutôt que de répéter 51 lignes.

La norme la plus courante n'est pas un chiffre fixe. La plupart des États utilisent une norme «sans retard injustifié» ou «dans les meilleurs délais possibles», parfois assortie d'un chiffre plafond en dernier recours.

Lorsque les États fixent un plafond chiffré, celui-ci se situe généralement entre 30 et 60 jours. Le Washington exige une notification dans les 30 jours calendaires (RCW 19.255.010), et la Floride fixe le même chiffre de 30 jours avec une extension de 15 jours possible pour motif valable, ce qui porte le plafond pratique à 45 jours. Le Colorado utilise également 30 jours, avec un seuil plus bas de 500 résidents pour la notification au procureur général et un seuil distinct de 1 000 résidents pour la notification aux agences d'évaluation du crédit à l'échelle nationale.

Le Texas est l'exception à mentionner spécifiquement, car il ne correspond pas au schéma que supposent la plupart des agrégateurs. Le Texas accorde 60 jours pour notifier les personnes concernées, mais exige une notification au procureur général du Texas dans un délai beaucoup plus court de 30 jours lorsque 250 résidents texans ou plus sont concernés, c'est le délai envers le procureur général, et non celui envers les consommateurs, qui est le plus court.

Les seuils de notification au procureur général ou au régulateur se déclenchent le plus souvent à 500 résidents (Floride, Washington et bien d'autres) ou 1 000 résidents (utilisé à la fois comme déclencheur indépendant de notification au procureur général dans certains États et comme déclencheur distinct pour les agences d'évaluation du crédit dans le Colorado).

Des règles sectorielles fédérales comblent une partie de ce vide en l'absence de loi fédérale générale : la règle des 60 jours d'HIPAA pour les données de santé et la règle des 4 jours ouvrés de la SEC pour les sociétés cotées (détaillées ci-dessus), ainsi que la Safeguards Rule de la FTC, qui exige des institutions financières non bancaires qu'elles notifient la FTC, et non les consommateurs, dans les 30 jours suivant la découverte d'une violation affectant les informations non chiffrées de 500 consommateurs ou plus. Cette règle de la FTC concerne uniquement le régulateur ; la notification aux consommateurs dépend toujours de la loi de l'État applicable.

Recommandations pratiques de conformité

Identifiez séparément les deux volets, pour chaque juridiction où vous opérez. Un plan de réponse aux violations qui ne suit que «le délai» d'un pays, plutôt que le délai envers l'autorité et le délai envers les personnes concernées comme deux horloges distinctes avec deux déclencheurs distincts, échouera dès que ces deux horloges divergeront, ce qui est la norme, et non l'exception, dans ce tableau.

Faites démarrer l'horloge de chaque juridiction à partir de la «prise de connaissance», et non de la «confirmation». La plupart des lois ci-dessus se mesurent à partir du moment où le responsable du traitement a pris connaissance de la violation, ou a eu des motifs raisonnables de croire qu'elle s'était produite, et non à partir de la conclusion de l'enquête. Attendre une certitude complète avant de démarrer l'horloge est l'une des façons les plus courantes pour une organisation de manquer un délai de 72 heures.

Vérifiez si le chiffre sur lequel vous vous appuyez figure dans la loi principale, dans un règlement subordonné, ou dans une orientation, et s'il est effectivement entré en vigueur. Ce tableau signale chaque cas où ces trois éléments divergent : le Chili, l'Allemagne, les Émirats arabes unis, la Nouvelle-Zélande, le Québec, Taïwan, l'Inde et l'Égypte ont tous au moins un chiffre couramment cité qui s'avère relever d'une orientation, d'une loi différente, ou n'être pas encore en vigueur.

Lorsqu'une juridiction ne fixe aucun chiffre, «dès que possible» demeure une norme opposable, et non une invitation à tarder. Les régulateurs des juridictions sans délai fixe, notamment le PFPDT suisse et l'Information Regulator sud-africain, évaluent activement si le retard lui-même était raisonnable au vu des faits, même sans seuil chiffré précis auquel se mesurer.

Une violation multinationale déclenche simultanément le délai le plus court applicable dans chaque juridiction concernée. Une violation touchant à la fois des personnes concernées dans l'UE, en Inde et aux États-Unis est liée par les 72 heures du RGPD, les 6 heures du CERT-In, et les règles d'État et sectorielles américaines applicables, de manière concurrente et non séquentielle. Bâtissez votre plan de réponse autour du délai le plus court de l'ensemble, pas de la moyenne.

Questions fréquentes

72 heures est-elle la norme mondiale de notification des violations de données ?

Non. C'est le chiffre le plus copié, à l'origine du RGPD de l'UE, mais une part significative des pays de ce tableau, dont la Suisse, l'Afrique du Sud, le Canada, la loi néo-zélandaise elle-même, et la loi chilienne sur la protection des données, ne fixent aucun chiffre du tout. D'autres utilisent des chiffres entièrement différents, comme les 3 jours ouvrés du Brésil ou les 48 heures du Pérou.

Pourquoi le Chili est-il constamment cité comme un pays à 72 heures ?

La loi-cadre chilienne sur la cybersécurité (21.663) fixe bien un délai de 72 heures, mais uniquement pour les cyberattaques contre les services essentiels, signalées au CSIRT Nacional. La véritable loi chilienne sur la protection des données, 21.719, ne fixe aucun délai chiffré pour les violations de données personnelles, seulement «les moyens les plus rapides possibles, sans retard injustifié». Les agrégateurs attribuent régulièrement à tort le chiffre de la loi sur la cybersécurité à la loi sur la protection des données.

Le délai de 24 heures couramment cité pour les télécoms allemandes est-il exact ?

Le chiffre est exact, l'attribution ne l'est généralement pas. Le § 169 de la loi allemande sur les télécommunications (TKG) utilise seulement «unverzüglich», sans retard injustifié, sans aucun chiffre dans le texte de loi. Le délai de 24 heures provient en réalité du droit de l'UE directement applicable : le règlement (UE) n° 611/2013, article 2(2), exige des fournisseurs de services de communications électroniques accessibles au public qu'ils notifient l'autorité nationale compétente «au plus tard 24 heures après la détection de la violation de données à caractère personnel, si possible». Un fournisseur télécoms allemand est bien soumis à un délai contraignant de 24 heures, il n'est simplement pas inscrit dans le TKG.

Quelle est la différence entre le délai de notification à l'autorité et le délai de notification aux personnes concernées ?

Ce sont généralement deux horloges distinctes avec deux déclencheurs distincts. Sous le RGPD, par exemple, l'autorité de contrôle doit être notifiée de toute violation présentant un risque dans un délai de 72 heures, tandis que les personnes concernées ne doivent être notifiées, sans chiffre fixe, que si la violation présente un risque élevé, un seuil nettement plus haut. De nombreuses autres juridictions suivent une répartition similaire, et confondre les deux volets est l'erreur la plus fréquente dans le traitement de ce sujet.

Quels pays n'ont absolument aucun délai légal de notification des violations ?

L'Afrique du Sud, la Suisse, le Canada, la Nouvelle-Zélande (par la loi ; un chiffre de 72 heures n'existe que dans une orientation non contraignante du régulateur), le Maroc et le Ghana ne fixent tous aucun chiffre en heures ou en jours dans leur droit actuel. Hong Kong va plus loin : la notification des violations elle-même est entièrement facultative. L'Argentine n'a aucune obligation légale de notification des violations, quelle qu'elle soit, seulement une recommandation non contraignante du régulateur.

La règle indienne de notification des violations de données est-elle en vigueur dès maintenant ?

Pas encore. L'obligation de notification des violations de la DPDP Act, y compris son rapport détaillé de 72 heures au Data Protection Board, a été publiée au journal officiel le 13 novembre 2025 mais n'entre en vigueur que vers le 13 mai 2027. Ce qui lie réellement les entités indiennes aujourd'hui est un régime distinct de cybersécurité, la règle de signalement d'incident de 6 heures du CERT-In en vertu de l'IT Act, en vigueur depuis 2022. Ce sont deux régimes différents qui ne devraient jamais être présentés comme un unique chiffre du «délai indien de notification des violations».

Le délai malaisien de 72 heures court-il à compter de la survenance de la violation ou de sa découverte ?

Le texte de la circulaire lui-même (Pekeliling n° 2/2025, art. 4(4)) indique «dans les 72 heures à compter de la violation de données personnelles», une formulation qui pointe vers la survenance plutôt que la découverte, tandis que l'art. 4(1) présente séparément l'obligation sous-jacente comme «dès que raisonnablement possible». Les lignes directrices détaillées propres au Commissaire sur ce point n'ont pas été vérifiées de façon indépendante pour cette page, il convient donc de traiter le point de départ exact de l'horloge avec une certaine prudence et de confirmer l'orientation actuelle de la JPDP avant de s'y fier pour un délai de conformité réel.

Les États-Unis ont-ils un unique délai fédéral de notification des violations de données ?

Non. Il n'existe aucune loi fédérale générale de notification des violations. Les 50 États, DC et les territoires américains fixent chacun leurs propres délais, le plus souvent «sans retard injustifié» assorti d'un plafond optionnel de 30 à 60 jours. Des règles sectorielles fédérales comblent une partie de ce vide pour certains secteurs : HIPAA accorde 60 jours aux entités couvertes pour les violations de données de santé, et la SEC exige des sociétés cotées qu'elles divulguent les incidents de cybersécurité matériels dans les 4 jours ouvrés suivant la détermination de leur matérialité.

Pourquoi le Koweït et Bahreïn n'ont-ils pas de délai publié dans ce tableau ?

Pour le Koweït, des sources secondaires fiables se contredisent directement, certaines citant 24 heures et d'autres 72 heures, pour le même règlement, et nous n'avons pas pu résoudre cette contradiction face à un texte principal. Pour Bahreïn, la loi principale sur la protection des données ne comporte aucun article sur la notification des violations ; tout chiffre de 72 heures ne figure que dans une résolution de 2022 qui n'a pu être localisée comme document principal vérifiable. Publier un chiffre inventé dans l'un ou l'autre cas serait moins exact que d'indiquer honnêtement cette lacune.