Violation de données : 72 heures

L'APDP, l'autorité monégasque de protection des données, indique publiquement avoir constaté une augmentation significative du nombre de violations de données personnelles qui lui sont notifiées depuis le début de l'année 2026. Ce n'est pas nécessairement le signe que la Principauté serait devenue moins sûre : c'est surtout le signe que les entreprises découvrent enfin l'existence de cette obligation. La loi n° 1.565 du 3 décembre 2024 a introduit un devoir pour lequel beaucoup de sociétés monégasques n'ont encore aucune procédure — et le jour où vous en avez besoin est le pire moment pour l'inventer.

Cet article décrit la forme concrète de cette obligation : ce qui constitue une violation, ce que signifie réellement le délai de 72 heures, et ce qu'il faut avoir préparé avant l'incident.

Ce qu'est une violation de données — bien plus large qu'on ne le croit

La plupart des dirigeants imaginent un pirate exfiltrant une base clients. C'est une hypothèse parmi d'autres. La définition juridique est beaucoup plus large : tout incident de sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à celles-ci — de manière accidentelle ou illicite.

Dans la pratique, les incidents qui remontent aux autorités sont banals :

• Un collaborateur envoie une liste de clients au mauvais destinataire.
• Une newsletter part avec toutes les adresses en « À » au lieu de « Cci ».
• Un ordinateur portable ou une clé USB non chiffrée est oublié dans un taxi.
• Le compte d'un ancien salarié n'est jamais désactivé et sert des mois plus tard.
• Une sauvegarde, un formulaire ou un dossier cloud mal configuré rend des données publiquement accessibles.
• Un rançongiciel chiffre vos fichiers : la perte d'accès est en soi une violation, même sans exfiltration.

Le réflexe « rien n'a été volé, donc il ne s'est rien passé » est donc faux. Perdre l'accès aux données, ou leur intégrité, compte aussi.

Le délai de 72 heures, précisément

L'article 32 de la loi n° 1.565 impose au responsable du traitement de notifier à l'APDP une violation de données personnelles dans les meilleurs délais et, si possible, dans un délai maximum de soixante-douze heures après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Passé ce délai, la notification doit être accompagnée des motifs du retard.

Trois détails changent tout :

Le compte à rebours démarre à la prise de connaissance, pas à l'incident. Si une violation a eu lieu en mars et que vous la découvrez en juillet, le délai court à partir de juillet. Votre capacité de détection détermine donc directement votre exposition juridique.

Soixante-douze heures, week-end compris. Une découverte le vendredi soir ne vous laisse pas jusqu'au mercredi. Si personne dans l'entreprise n'est habilité à agir en dehors des heures de bureau, le problème existe avant l'incident.

La notification doit être substantielle. Elle décrit la nature de la violation en indiquant, si possible, les catégories et le nombre approximatif de personnes concernées, ainsi que le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact permettant d'obtenir davantage d'informations. L'APDP met à disposition un formulaire de notification et ses coordonnées sur son site : mieux vaut les utiliser que d'improviser.

On n'attend pas de vous une analyse forensique complète en 72 heures. On attend que vous signaliez vite, puis que vous complétiez au fil de l'enquête.

Quand il faut aussi prévenir les personnes concernées

Notifier l'autorité est une obligation. L'article 32 traite également de l'information des personnes elles-mêmes, dans les meilleurs délais, lorsque la violation présente pour elles une gravité suffisante. Cette communication doit décrire la violation en termes clairs et simples, et exposer les conséquences probables ainsi que les mesures prises.

La loi prévoit des exceptions — en substance : lorsque les données étaient déjà protégées par des mesures telles qu'un chiffrement les rendant incompréhensibles pour toute personne non autorisée ; lorsque l'information individuelle exigerait des efforts disproportionnés (une communication publique peut alors être envisagée) ; ou lorsque des mesures ultérieures font que le risque n'est plus susceptible de se matérialiser. L'APDP peut néanmoins exiger que les personnes soient informées.

Les seuils exacts et leur application à votre cas relèvent d'un conseil qualifié. Ne décidez pas seul, sous pression, que votre situation entre dans une exception : c'est précisément le raisonnement que l'autorité examinera après coup.

Le registre à tenir même sans notification

C'est l'obligation la plus souvent ignorée. L'article 32 impose de documenter toute violation de données personnelles — y compris celles que vous estimez non notifiables — en consignant les faits, les effets et les mesures correctives prises. L'APDP publie un modèle de registre téléchargeable : la page blanche n'est plus une excuse.

Ce registre transforme une décision défendable en décision prouvable. Si vous avez jugé un incident à faible risque et choisi de ne pas notifier, il atteste que l'analyse a bien eu lieu. Sans lui, « nous avons estimé que ce n'était pas grave » se confond avec « nous n'avons rien remarqué ».

Se préparer avant l'incident

La réponse à une violation est un processus d'entreprise doté d'un volet technique, et non l'inverse. Ce qu'il est utile d'avoir en place :

• Un décideur désigné et son suppléant, joignables hors horaires de bureau, avec l'autorité pour notifier.
• Une procédure interne d'une page : qui est prévenu, dans quel ordre, et ce qui est consigné.
• Une cartographie des données : quelles données personnelles se trouvent dans votre site, votre CRM, votre outil de réservation, votre plateforme d'emailing et vos sauvegardes, et qui sont vos sous-traitants. Si elles sont éparpillées dans des outils déconnectés, c'est une bonne raison de consolider votre dispositif emailing et CRM.
• Des contrats fournisseurs qui les obligent à vous alerter vite. Hébergeur, agence ou prestataire de paiement détectent souvent un incident avant vous.
• Une hygiène technique de base : logiciels à jour, comptes administrateurs limités, appareils chiffrés, sauvegardes testées. L'essentiel relève de la maintenance de site web ordinaire plutôt que d'un projet exceptionnel — et c'est ce qui vous permet d'affirmer honnêtement que les données étaient protégées.
• Une surface réduite : si votre boutique en ligne ou vos formulaires collectent des données que vous n'utilisez jamais, cessez de les collecter. Ce que vous ne détenez pas ne peut pas fuiter.

Un rappel propre à Monaco

Monaco n'est pas un État membre de l'Union européenne et n'est pas soumise au RGPD. La Principauté dispose de son propre cadre — la loi n° 1.565 du 3 décembre 2024, sous le contrôle de l'APDP — construit selon un standard comparable, mais qui reste distinct, avec ses textes, ses formulaires et ses attentes. Les conseils rédigés pour des sociétés françaises ou européennes sont une analogie utile et un mauvais substitut. Et si vous recourez à des sous-traitants hors de Monaco, les obligations pèsent toujours sur vous en tant que responsable du traitement.

Si vous souhaitez y voir clair sur l'endroit où résident réellement les données personnelles dans votre site, votre boutique ou vos outils clients — et sur ce que vous pourriez dire à l'APDP en 72 heures — contactez-nous. Nous pouvons mettre en ordre le volet technique de votre conformité APDP avant que la question ne se pose ; pour l'interprétation juridique de la loi n° 1.565, consultez un conseil monégasque qualifié.