- S’applique à
- Toute organisation qui traite des données à caractère personnel dans l’UE/EEE, ainsi que les organisations hors de l’UE qui offrent des biens ou des services à des personnes dans l’UE ou les surveillent.
- Statut (novembre 2026)
- S’applique sans changement. La proposition « Digital Omnibus » de la Commission européenne du 19 nov. 2025 n’exigerait de notification que pour les violations susceptibles d’engendrer un risque élevé, dans un délai de 96 heures, via un point de signalement unique. Elle est encore en cours de procédure législative et n’est pas en vigueur.
- Obligation de notification
- Art. 33 : notifier l’autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, en cas de violation de données à caractère personnel, à moins qu’elle ne soit pas susceptible d’engendrer un risque pour les personnes.
- Art. 34 : informer les personnes concernées dans les meilleurs délais lorsque la violation est susceptible d’engendrer un risque élevé pour elles.
- Art. 33, par. 5 : documenter chaque violation, y compris celles que vous n’avez pas à notifier.
- Identifiants divulgués et exposition sur le dark web
- Une fuite d’identifiants de connexion, d’adresses e-mail ou de mots de passe constitue une violation de données à caractère personnel. Les 72 heures courent à partir du moment où vous en prenez connaissance : le jour où une fuite est découverte et confirmée peut donc déclencher le délai.
- Sanction maximale
- Jusqu’à 10 millions EUR ou 2 % du chiffre d’affaires annuel mondial pour les manquements aux art. 33 et 34 (art. 83(4)) ; jusqu’à 20 millions EUR ou 4 %, le montant le plus élevé étant retenu, pour les manquements les plus graves (art. 83(5)).
Lois et réglementations
Lois sur la cybersécurité et les fuites de données par pays
Lorsque des données d’entreprise fuient, la loi déclenche un compte à rebours : souvent 72 heures, parfois 24 heures ou moins, à compter du moment où vous en avez connaissance. Voici les délais, les autorités à informer et les amendes maximales, loi par loi, avec la source officielle de chacune.
- Délai, autorité de contrôle, amende maximale et statut pour chaque loi
- Chaque chiffre vérifié sur le texte officiel
- UE, Suisse, Royaume-Uni, États-Unis, Amériques, Asie-Pacifique, Moyen-Orient et Afrique
Revue en novembre 2026 · ne constitue pas un avis juridique
- 1 hChine, incidents touchant les infrastructures d’information critiques
- 4 hDORA, après qu’un incident a été classé comme majeur (au plus tard 24 h)
- 6 hInde, rapports d’incidents cyber du CERT-In
- 24 hAlerte précoce NIS2, infrastructures critiques suisses, CRA
- 72 hRGPD, RGPD britannique, NY DFS Part 500, PDPL saoudienne
- 3 joursSingapour (jours calendaires), Brésil (jours ouvrés)
- 30 joursPlusieurs États américains, Californie, GLBA Safeguards Rule
- 60 joursHIPAA, notification aux personnes au plus tard
Les délais commencent en général à courir lorsque vous avez connaissance de l’incident, et non lorsqu’il s’est produit.
Délais de notification en un coup d’œil
Le premier délai, les destinataires de la notification, l’amende maximale et le statut de chaque loi. Ouvrez une loi pour en voir le détail et la source officielle.
Affichage de 29 lois sur 29
| Loi | Région | Délai de notification | À qui | Sanction max. | En vigueur depuis |
|---|---|---|---|---|---|
| GDPR | Union européenne | 72 h | Autorité de protection des données ; personnes concernées en cas de risque élevé | 20 M EUR ou 4 % du chiffre d’affaires mondial | 25 mai 2018 |
| NIS2Entrée en vigueur progressive | Union européenne | Alerte précoce 24 h, notification 72 h, rapport final 1 mois | CSIRT national ou autorité compétente | Au moins 10 M EUR ou 2 % (entités essentielles), 7 M EUR ou 1,4 % (entités importantes) | 18 oct. 2024 (via le droit national) |
| DORA | Union européenne | 4 h après la classification (max. 24 h), 72 h, 1 mois | Autorité de surveillance financière (autorité compétente) | Fixé par chaque État membre | 17 janv. 2025 |
| Cyber Resilience ActApplication progressive | Union européenne | Alerte à 24 h, notification à 72 h, rapport final à 14 jours / 1 mois | Coordinateur CSIRT et ENISA (plateforme unique de signalement) | 15 M EUR ou 2,5 % du chiffre d’affaires mondial | Notification en vigueur depuis le 11 sept. 2026 |
| Directive CERApplication progressive | Union européenne | 24 h, rapport détaillé sous 1 mois | Autorité nationale compétente | Fixé par chaque État membre | 18 oct. 2024 (via le droit national) |
| LPD suisse (nLPD) | Suisse | Dans les meilleurs délais | PFPDT ; personnes concernées si nécessaire | 250 000 CHF (amende à l’encontre des personnes responsables) | 1er sept. 2023 |
| Signalement des cyberattaques selon la LSI suisse | Suisse | 24 h | Office fédéral de la cybersécurité (OFCS / NCSC) | 100 000 CHF (après une décision ignorée) | 1er avr. 2025 |
| RGPD britannique et DPA 2018 | Royaume-Uni | 72 h | Information Commissioner’s Office (ICO) ; personnes concernées en cas de risque élevé | 17,5 M GBP ou 4 % du chiffre d’affaires mondial | 25 mai 2018 |
| UK NIS Regulations | Royaume-Uni | 72 h | Autorité sectorielle compétente (services numériques : ICO) | 17 M GBP | 10 mai 2018 |
| Cyber Security and Resilience BillPas encore en vigueur | Royaume-Uni | Proposé : 24 h pour la notification initiale, 72 h pour le rapport complet | Autorité de régulation et NCSC (proposé) | Proposé : 17 M GBP ou 4 % du chiffre d’affaires mondial | Projet de loi, pas encore en vigueur |
| Règles de la SEC sur la divulgation en matière de cybersécurité | États-Unis | 4 jours ouvrables après la détermination de la matérialité | Le public, via le formulaire 8-K | Aucun délai chiffré dans la règle (application du droit des valeurs mobilières) | 18 déc. 2023 |
| SEC Regulation S-P | États-Unis | 30 jours (prestataires de services : 72 h) | Clients concernés | Aucun montant dans la règle | 3 déc. 2025 (petites entreprises : 3 juin 2026) |
| CIRCIAPas encore en vigueur | États-Unis | 72 h ; paiements de rançon 24 h (une fois en vigueur) | CISA | Pas d’amendes (citation à comparaître, action en justice, exclusion) | Règle finale en attente |
| HIPAA Breach Notification Rule | États-Unis | 60 jours | Personnes concernées, HHS, médias (500 ou plus dans un État) | 2 190 294 USD par an (plafond par niveau) | 23 sept. 2009 |
| FTC Safeguards Rule (GLBA) | États-Unis | 30 jours (500+ consommateurs) | Federal Trade Commission | Aucun montant dans la règle | 13 mai 2024 |
| NY DFS Part 500 | États-Unis | 72 h ; paiement d’une extorsion : 24 h | Superintendent du NY DFS | Jusqu’à 75 000 USD par jour (Banking Law § 44) | 2017 (modifié le 1er nov. 2023) |
| Californie : CCPA/CPRA et loi sur les fuites de données | États-Unis | 30 jours | Résidents concernés ; procureur général si 500 ou plus | 107 à 799 USD par consommateur et par incident (actions en justice) | Règle des 30 jours depuis le 1er janv. 2026 |
| Lois des États américains sur les fuites de données | États-Unis | Variable : souvent 30 jours ou « sans retard injustifié » | Résidents concernés ; souvent le procureur général de l’État | Variable (Floride : jusqu’à 500 000 USD par fuite de données) | Variable selon l’État |
| Canada, LPRPDE (PIPEDA) | Canada et Amérique latine | Dès que possible | Commissaire à la protection de la vie privée (OPC) et personnes concernées | 100 000 CAD | 1er nov. 2018 (règles sur les violations) |
| LGPD (Brésil) | Canada et Amérique latine | 3 jours ouvrés | ANPD et personnes concernées | 2 % du chiffre d’affaires au Brésil, max. 50 M BRL par infraction | Règle des 3 jours depuis avr. 2024 |
| Mexique LFPDPPP | Canada et Amérique latine | Immédiatement | Personnes concernées | Jusqu’à 320 000 UMA (doublé pour les données sensibles) | 21 mars 2025 |
| Australie : Privacy Act (NDB) | Asie-Pacifique | Évaluer dans un délai de 30 jours, puis notifier | OAIC et personnes concernées | 50 M AUD, 3 fois l’avantage obtenu ou 30 % du chiffre d’affaires | 22 févr. 2018 |
| Australie Cyber Security Act | Asie-Pacifique | 72 h après un paiement de rançon | Australian Signals Directorate (ASD) | 60 unités de pénalité | 30 mai 2025 |
| PDPA de Singapour | Asie-Pacifique | 3 jours calendaires après l’évaluation | PDPC ; personnes concernées | 1 M SGD ou 10 % du chiffre d’affaires à Singapour | 1er févr. 2021 |
| India DPDP Act & CERT-InEntrée en vigueur progressive | Asie-Pacifique | CERT-In : 6 h ; DPDP : sans délai | CERT-In ; Data Protection Board et personnes concernées | 250 crores INR | CERT-In 2022 ; DPDP en vigueur par étapes jusqu’en 2027 |
| Chine : CSL, PIPL et déclaration des incidents | Asie-Pacifique | 1 h (infrastructures critiques), 4 h (autres) | Administration du cyberespace, régulateur sectoriel, police | 50 M RMB ou 5 % du chiffre d’affaires (PIPL) | 1er nov. 2025 (mesures de notification) |
| Japan APPI | Asie-Pacifique | Premier rapport sous 3 à 5 jours ; rapport final sous 30 / 60 jours | Personal Information Protection Commission (PPC) et personnes concernées | 100 M JPY (entreprises, pénal) | 1er avr. 2022 (signalements obligatoires) |
| Arabie saoudite, PDPL | Moyen-Orient et Afrique | 72 h | SDAIA ; personnes concernées | 5 M SAR (doublé en cas de récidive) | 14 sept. 2023 (appliqué à partir du 14 sept. 2024) |
| POPIA d’Afrique du Sud | Moyen-Orient et Afrique | Dans les meilleurs délais raisonnables | Information Regulator et personnes concernées | 10 M ZAR | En vigueur ; portail en ligne depuis le 1er avr. 2025 |
Faites défiler le tableau pour voir toutes les lois. Les amendes sont le maximum que la loi autorise ; les délais sont le premier à courir après que vous avez pris connaissance de l’incident. h = heures, M = million.
Chaque loi en détail
À qui elle s’applique, ce qu’elle exige après une violation, ce que cela signifie pour les accès divulgués, l’amende maximale et le texte officiel.
Union européenne
- S’applique à
- Entités « essentielles » et « importantes » de taille moyenne et grande dans les secteurs des annexes I et II (énergie, transports, banque, santé, infrastructures numériques, gestion des services TIC, administration publique, industrie manufacturière, fournisseurs numériques et autres), par le biais de la loi propre à chaque pays.
- Statut (novembre 2026)
- Les États membres devaient la transposer avant le 17 oct. 2024. Le 8 juil. 2026, la Commission a saisi la Cour de justice de l’UE contre l’Irlande, l’Espagne, la France et les Pays-Bas pour transposition tardive.
- Obligation de notification
- Art. 23(4)(a) : alerte précoce dans les 24 heures suivant la prise de connaissance d’un incident significatif.
- Art. 23(4)(b) : notification de l’incident sous 72 heures, avec une première évaluation.
- Art. 23(4)(c)-(d) : rapport intermédiaire sur demande ; rapport final au plus tard un mois après la notification des 72 heures.
- Lois nationales (sélection)
- Allemagne Loi de transposition de NIS2 (NIS2UmsuCG) en vigueur depuis le 6 déc. 2025 ; § 32 BSIG : alerte précoce 24 h, notification 72 h, rapport final 1 mois, auprès du point de contact commun BSI/BBK.
- France Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025 ; pas encore adopté par l’Assemblée nationale.
- Espagne Projet de loi sur la coordination et la gouvernance de la cybersécurité présenté au Conseil des ministres le 14 janv. 2025 ; non en vigueur.
- Italie Décret législatif 138/2024 en vigueur depuis le 16 oct. 2024 (autorité : ACN) ; pré-notification 24 h et notification 72 h au CSIRT Italia, exigibles 9 mois après qu’une entité a été informée qu’elle relève du champ d’application.
- Pays-Bas Cyberbeveiligingswet en vigueur depuis le 15 août 2026 ; notification dès que possible et en tout cas dans les 24 heures au CSIRT et à l’autorité de contrôle.
- Autriche NISG 2026 (Journal officiel fédéral I n° 94/2025) en vigueur depuis le 1er oct. 2026.
- Identifiants divulgués et exposition sur le dark web
- Des identifiants divulgués ne constituent pas à eux seuls un incident NIS2. Ils le deviennent lorsqu’ils conduisent à un incident significatif, ou le révèlent, par exemple un accès non autorisé affectant vos services. Si la fuite contient des données à caractère personnel, le RGPD s’applique également.
- Sanction maximale
- Les États membres doivent prévoir des amendes maximales d’au moins 10 millions d’EUR ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’EUR ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu (art. 34, par. 4 et 5). Les plafonds nationaux peuvent être plus élevés.
- Sources officielles
- Directive (UE) 2022/2555 sur EUR-Lex (s’ouvre dans un nouvel onglet)
- Commission européenne : saisine de la Cour de justice (8 juil. 2026) (s’ouvre dans un nouvel onglet)
- Allemagne : § 32 BSIG (s’ouvre dans un nouvel onglet)
- France : dossier du projet de loi à l’Assemblée nationale (s’ouvre dans un nouvel onglet)
- Espagne : Conseil des ministres, 14 janv. 2025 (s’ouvre dans un nouvel onglet)
- Italie : FAQ NIS de l’ACN (s’ouvre dans un nouvel onglet)
- Pays-Bas : NCSC sur la Cyberbeveiligingswet (s’ouvre dans un nouvel onglet)
- Autriche : NISG 2026 au Journal officiel fédéral (s’ouvre dans un nouvel onglet)
- S’applique à
- Entités financières de l’UE : banques, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, assureurs, gestionnaires de fonds et autres, ainsi que la supervision des prestataires tiers critiques de services TIC.
- Statut (novembre 2026)
- Applicable depuis le 17 janv. 2025. Les délais de notification sont fixés par le règlement délégué (UE) 2025/301 de la Commission.
- Obligation de notification
- Art. 19 : signaler les incidents majeurs liés aux TIC à l’autorité compétente.
- Règlement délégué 2025/301, art. 5 : notification initiale dans les 4 heures suivant la qualification de l’incident comme majeur, et au plus tard 24 heures après en avoir pris connaissance.
- Rapport intermédiaire dans les 72 heures suivant la notification initiale ; rapport final dans le mois suivant le dernier rapport intermédiaire.
- Identifiants divulgués et exposition sur le dark web
- Les identifiants divulgués du personnel ou des clients d’une entité financière doivent être évalués selon les critères de classification de DORA. Si l’incident est majeur, les délais de 4 heures et de 24 heures s’appliquent, et le RGPD s’applique en parallèle aux données à caractère personnel.
- Sanction maximale
- Le règlement laisse les sanctions aux États membres (art. 50). Pour les prestataires tiers critiques de services TIC, le superviseur principal peut imposer des astreintes allant jusqu’à 1 % du chiffre d’affaires mondial quotidien moyen (art. 35, par. 8).
- S’applique à
- Fabricants de produits matériels et logiciels comportant des éléments numériques, vendus sur le marché de l’UE.
- Statut (novembre 2026)
- En vigueur depuis le 10 déc. 2024. Les obligations de notification s’appliquent depuis le 11 sept. 2026 ; les règles relatives aux organismes d’évaluation de la conformité depuis le 11 juin 2026 ; toutes les autres obligations à partir du 11 déc. 2027.
- Obligation de notification
- Art. 14 : signaler les vulnérabilités activement exploitées et les incidents graves affectant la sécurité d’un produit, simultanément au CSIRT désigné comme coordinateur et à l’ENISA.
- Alerte précoce dans les 24 heures et notification dans les 72 heures après la prise de connaissance.
- Rapport final dans les 14 jours suivant la disponibilité d’un correctif (vulnérabilités) ou dans le mois suivant la notification (incidents graves).
- Identifiants divulgués et exposition sur le dark web
- Pertinent pour les fabricants de produits. Des clés de signature ou des identifiants de mise à jour divulgués, ou un exploit de votre produit échangé sur des forums criminels, peuvent constituer une vulnérabilité activement exploitée ou un incident grave, et la prise de connaissance déclenche le délai de 24 heures.
- Sanction maximale
- Jusqu’à 15 millions d’EUR ou 2,5 % du chiffre d’affaires annuel mondial pour les exigences essentielles et les obligations des art. 13 et 14, le montant le plus élevé étant retenu (art. 64(2)) ; jusqu’à 10 millions d’EUR ou 2 % pour les autres obligations énumérées (art. 64(3)).
- S’applique à
- Entités que les États membres identifient comme critiques pour des services essentiels (énergie, transports, santé, eau potable, alimentation, administration publique, espace et autres).
- Statut (novembre 2026)
- La transposition était exigée avant le 17 oct. 2024. Les États membres devaient identifier leurs entités critiques avant le 17 juil. 2026 ; les obligations d’une entité critique s’appliquent 10 mois après sa notification.
- Obligation de notification
- Art. 15(1) : notifier à l’autorité compétente les incidents qui perturbent significativement, ou pourraient perturber significativement, un service essentiel.
- Notification initiale dans les 24 heures suivant la prise de connaissance (sauf impossibilité opérationnelle) ; rapport détaillé au plus tard un mois plus tard.
- Identifiants divulgués et exposition sur le dark web
- La CER couvre la résilience physique et tous risques ; les incidents cyber des mêmes entités relèvent principalement de NIS2. Une fuite n’est pertinente ici que si elle perturbe, ou pourrait perturber, un service essentiel.
- Sanction maximale
- La directive ne fixe aucun montant : les États membres déterminent les sanctions (art. 22).
- Sources officielles
Suisse
- S’applique à
- Entreprises privées et organes fédéraux qui traitent des données personnelles, y compris les entreprises étrangères dont le traitement a un effet en Suisse.
- Statut (novembre 2026)
- En vigueur depuis le 1er sept. 2023. Les annonces de violation sont adressées au Préposé fédéral à la protection des données et à la transparence (PFPDT) via son formulaire en ligne « DataBreach ».
- Obligation de notification
- Art. 24, al. 1 : notifier le PFPDT dans les meilleurs délais d’une violation de la sécurité des données susceptible d’entraîner un risque élevé pour les personnes concernées. Aucun nombre d’heures fixe n’est prévu.
- Art. 24(4) : informer les personnes concernées si leur protection l’exige ou si le PFPDT le demande.
- Identifiants divulgués et exposition sur le dark web
- Des accès exposés à des personnes non autorisées constituent une violation de la sécurité des données. S’ils sont susceptibles d’exposer les personnes à un risque élevé, le PFPDT doit être informé et les utilisateurs peuvent devoir être avertis.
- Sanction maximale
- Amendes pénales pouvant atteindre 250 000 CHF à l’encontre des personnes privées responsables en cas de violation intentionnelle des obligations énumérées, par ex. les exigences minimales de sécurité des données (art. 61, let. c) ; l’entreprise peut être sanctionnée à leur place, jusqu’à 50 000 CHF (art. 64). L’absence de notification n’est pas sanctionnée en tant que telle.
- S’applique à
- Infrastructures critiques énumérées à l’art. 74b LSI : autorités, énergie, banques et assurances, hôpitaux, télécommunications, transports, eau potable, fournisseurs de cloud et de centres de données, services de sécurité numérique et de confiance, ainsi que fabricants de matériel et de logiciels dont les produits sont utilisés avec un accès à distance par des infrastructures critiques, entre autres.
- Statut (novembre 2026)
- L’obligation de signalement s’applique depuis le 1er avr. 2025 ; les amendes depuis le 1er oct. 2025. Le NCSC est désormais l’Office fédéral de la cybersécurité (OFCS).
- Obligation de notification
- Art. 74e LSI : signaler une cyberattaque dans les 24 heures suivant sa détection ; les informations manquantes peuvent suivre.
- Art. 74d LSI : doivent être signalées les attaques qui menacent le fonctionnement de l’infrastructure, ont conduit à une manipulation ou à une fuite d’informations, sont restées longtemps non détectées, ou comportent un chantage, des menaces ou une contrainte.
- Ordonnance sur la cybersécurité, art. 16 : compléter la notification dans un délai de 14 jours.
- Identifiants divulgués et exposition sur le dark web
- Une attaque ayant entraîné une fuite d’informations doit être signalée dans les 24 heures par les organisations concernées. Des données volées ou des identifiants d’accès découverts sur le dark web peuvent marquer le moment où l’attaque est détectée.
- Sanction maximale
- Jusqu’à 100 000 CHF pour le fait d’ignorer délibérément une décision de l’OFCS ordonnant la déclaration (art. 74h) ; l’OFCS fixe d’abord un délai, puis rend une décision (art. 74g). Une déclaration tardive n’est pas sanctionnée en tant que telle.
Royaume-Uni
- S’applique à
- Organisations qui traitent des données à caractère personnel au Royaume-Uni, ou qui proposent des biens ou des services à des personnes au Royaume-Uni ou surveillent ces personnes.
- Statut (novembre 2026)
- Modifiée par le Data (Use and Access) Act 2025. Depuis le 30 sept. 2026, le régulateur est l’Information Commission, qui continue de se faire appeler « ICO » ; ses pouvoirs restent inchangés.
- Obligation de notification
- Art. 33 : notifier l’Information Commission dans les meilleurs délais et, si possible, dans les 72 heures après avoir pris connaissance d’une violation, sauf si celle-ci n’est pas susceptible d’engendrer un risque.
- Art. 34 : informer les personnes concernées sans retard injustifié si la violation est susceptible d’engendrer un risque élevé.
- Fournisseurs de services de télécommunications et d’accès à internet (PECR, règl. 5A) : sous 72 heures, si possible, depuis le 20 août 2025.
- Identifiants divulgués et exposition sur le dark web
- Les identifiants divulgués sont des données à caractère personnel. Leur exposition constitue une violation, sauf s’il est improbable qu’elle engendre un risque ; comme les personnes réutilisent leurs mots de passe, une fuite d’identifiants implique souvent un risque élevé et une information individuelle.
- Sanction maximale
- Jusqu’à 8,7 millions de GBP ou 2 % pour les violations des art. 33 et 34 (art. 83(4)) ; jusqu’à 17,5 millions de GBP ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu, pour les violations les plus graves (art. 83(5), DPA 2018 s. 157).
- S’applique à
- Opérateurs de services essentiels dans l’énergie, les transports, la santé, l’eau potable et les infrastructures numériques, ainsi que les fournisseurs de services numériques concernés (places de marché en ligne, moteurs de recherche, cloud computing).
- Statut (novembre 2026)
- En vigueur. Sera étendue par le Cyber Security and Resilience Bill une fois celui-ci adopté.
- Obligation de notification
- Règl. 11 : les opérateurs de services essentiels notifient l’autorité compétente sans retard injustifié et au plus tard 72 heures après avoir pris connaissance d’un incident NIS.
- Reg. 12 : les fournisseurs de services numériques notifient à l’Information Commission les incidents ayant un impact substantiel, dans le même délai de 72 heures.
- Identifiants divulgués et exposition sur le dark web
- Une fuite d’identifiants seule ne déclenche une notification NIS que si elle provoque un incident ayant un impact significatif sur le service. Sinon, c’est le RGPD britannique qui s’applique.
- Sanction maximale
- Jusqu’à 1 million, 8,5 millions ou 17 millions de GBP, selon la gravité de l’infraction (règl. 18(6)).
- S’applique à
- Étendrait les règles NIS aux fournisseurs de services informatiques gérés et aux centres de données, et permettrait de désigner des fournisseurs critiques.
- Statut (novembre 2026)
- Présenté le 12 nov. 2025. La Chambre des lords a terminé son examen le 2 nov. 2026 ; la Chambre des communes examine actuellement les amendements des Lords. Pas encore de sanction royale ; les obligations entreraient en vigueur par voie de législation secondaire.
- Obligation de notification
- Proposé : notification initiale dans les 24 heures suivant la prise de connaissance d’un incident significatif, à l’autorité de régulation et au NCSC en même temps ; rapport complet sous 72 heures.
- Proposé : les fournisseurs de services numériques, les fournisseurs de services managés et les centres de données notifient également les clients susceptibles d’être affectés.
- Identifiants divulgués et exposition sur le dark web
- La compromission de données figure parmi les critères proposés pour qualifier un incident de significatif ; une fuite ayant un impact au Royaume-Uni pourrait donc devoir être déclarée sous 24 heures. Les seuils seront fixés par voie réglementaire.
- Sanction maximale
- Proposé : jusqu’à 17 millions GBP ou 4 % du chiffre d’affaires mondial pour les manquements graves, tels que les obligations de signalement des incidents et de sécurité ; 10 millions GBP ou 2 % pour les moins graves. Ces montants peuvent changer avant l’adoption de la loi.
États-Unis
- S’applique à
- Sociétés cotées aux États-Unis et enregistrées auprès de la SEC (émetteurs privés étrangers via les formulaires 6-K et 20-F).
- Statut (novembre 2026)
- Applicable depuis le 18 déc. 2023, et depuis le 15 juin 2024 pour les petites sociétés déclarantes. Les rapports annuels décrivent la gestion et la gouvernance du risque cyber (Item 106).
- Obligation de notification
- Form 8-K Item 1.05 : déclarer un incident de cybersécurité dans les quatre jours ouvrables suivant la détermination de son caractère significatif, avec sa nature, son étendue, son calendrier et son impact significatif.
- L’Attorney General des États-Unis peut autoriser un report lorsque la divulgation présenterait un risque substantiel pour la sécurité nationale ou la sécurité publique.
- Identifiants divulgués et exposition sur le dark web
- Une fuite d’identifiants n’impose un dépôt que si elle conduit à un incident que l’entreprise juge significatif. L’évaluation de l’importance elle-même doit être faite sans retard injustifié.
- Sanction maximale
- Les règles ne prévoient pas de sanction spécifique ; elles sont appliquées au moyen des recours généraux du droit américain des valeurs mobilières.
- S’applique à
- Courtiers-négociants, portails de financement, sociétés d’investissement, conseillers en investissement enregistrés et agents de transfert.
- Statut (novembre 2026)
- Les grandes entreprises sont soumises à la règle depuis le 3 déc. 2025, les plus petites depuis le 3 juin 2026.
- Obligation de notification
- § 248.30(a)(4) : notifier les personnes concernées dès que possible, et au plus tard 30 jours après avoir appris que des informations sensibles de clients ont été, ou ont vraisemblablement été, consultées ou utilisées sans autorisation.
- Les prestataires de services doivent informer l’entreprise dans les 72 heures suivant la prise de connaissance d’une violation.
- Identifiants divulgués et exposition sur le dark web
- Les informations sensibles sur les clients incluent expressément un nom d’utilisateur associé à des éléments d’authentification tels qu’un code d’accès ; les identifiants de clients divulgués sont donc couverts.
- Sanction maximale
- La règle ne prévoit aucune sanction spécifique ; elle est appliquée au titre des lois sur les valeurs mobilières.
- S’applique à
- Entités couvertes des secteurs d’infrastructures critiques américains, telles que la règle finale les définira.
- Statut (novembre 2026)
- La CISA a publié son projet de règle le 4 avr. 2024 et travaille toujours sur la règle finale. Rien ne doit être déclaré au titre du CIRCIA tant que la règle finale n’est pas entrée en vigueur.
- Obligation de notification
- Déclarer un incident cyber couvert à la CISA dans les 72 heures suivant le moment où l’on a des raisons raisonnables de croire qu’il s’est produit.
- Signaler le paiement d’une rançon dans les 24 heures suivant ce paiement.
- Identifiants divulgués et exposition sur le dark web
- La question de savoir si une fuite constitue un incident cyber couvert dépendra des définitions de la règle finale.
- Sanction maximale
- La loi ne prévoit aucune amende. La CISA peut demander des informations, délivrer une citation à comparaître et saisir l’Attorney General en cas de non-conformité pour une action civile ; les fausses déclarations constituent une infraction fédérale.
- S’applique à
- Régimes de santé, centres de traitement des données de santé, prestataires de soins facturant par voie électronique, et leurs partenaires commerciaux.
- Statut (novembre 2026)
- En vigueur. Le HHS a proposé en janvier 2025 une mise à jour de la HIPAA Security Rule, distincte ; elle n’est pas définitive.
- Obligation de notification
- § 164.404 : notifier les personnes concernées sans retard injustifié et au plus tard 60 jours calendaires après la découverte.
- § 164.406 et 164.408 : à partir de 500 personnes, notifier aussi le HHS en même temps, ainsi que les médias de premier plan pour plus de 500 résidents d’un État. Les violations de moindre ampleur sont notifiées au HHS dans les 60 jours suivant la fin de l’année.
- § 164.410 : les business associates informent l’entité couverte dans un délai de 60 jours.
- Identifiants divulgués et exposition sur le dark web
- La règle couvre les informations de santé protégées non sécurisées. Les identifiants de connexion du personnel qui ont fuité comptent lorsqu’ils conduisent à l’acquisition, à la consultation, à l’utilisation ou à la divulgation de données de santé.
- Sanction maximale
- Sanctions civiles de 145 à 2 190 294 USD par violation selon le degré de culpabilité, plafonnées à 2 190 294 USD par année civile pour des violations identiques (ajustement d’inflation 2025, 45 CFR 102.3).
- S’applique à
- Institutions financières non bancaires relevant de la FTC, telles que les courtiers en prêts hypothécaires, les concessionnaires automobiles, les prêteurs sur salaire et les préparateurs de déclarations fiscales.
- Statut (novembre 2026)
- L’obligation de notification s’applique depuis le 13 mai 2024.
- Obligation de notification
- § 314.4(j) : notifier la FTC dès que possible et au plus tard 30 jours après la découverte d’un événement de notification concernant au moins 500 consommateurs, via le formulaire en ligne de la FTC.
- Un événement à notifier correspond à l’acquisition d’informations clients non chiffrées sans l’autorisation du client.
- Identifiants divulgués et exposition sur le dark web
- Les données sont considérées comme non chiffrées si la clé de chiffrement a également été dérobée, et il n’y a pas de test du risque de préjudice : une fuite confirmée de fichiers clients concernant 500 consommateurs ou plus doit être notifiée.
- Sanction maximale
- La règle ne fixe aucun montant de sanction ; elle est appliquée par la FTC.
- S’applique à
- Banques, assureurs, prestataires de transfert de fonds et autres entreprises agréées ou autorisées par le New York Department of Financial Services.
- Statut (novembre 2026)
- Le deuxième amendement du 1er nov. 2023 a été introduit par étapes ; ses dernières exigences (authentification multifacteur pour tous les accès, inventaire des actifs) s’appliquent depuis le 1er nov. 2025.
- Obligation de notification
- § 500.17(a) : notifier le superintendent par voie électronique au plus tard 72 heures après avoir établi qu’un incident de cybersécurité s’est produit, y compris chez une société affiliée ou un prestataire tiers.
- § 500.17(c) : notification d’un paiement d’extorsion dans les 24 heures, puis explication écrite dans les 30 jours.
- Certification annuelle de conformité avant le 15 avril.
- Identifiants divulgués et exposition sur le dark web
- Ne pas empêcher l’accès non autorisé à des informations non publiques en raison d’un manquement constitue en soi une violation (§ 500.20(b)), et les identifiants divulgués sont une voie directe vers cet accès.
- Sanction maximale
- En vertu de l’article 44 du Banking Law : jusqu’à 2 500 USD par jour, 15 000 USD par jour en cas de manquements répétés et 75 000 USD par jour pour les violations commises sciemment et délibérément ; plafonds plus élevés pour les organisations bancaires.
- S’applique à
- Entreprises qui détiennent ou concèdent sous licence des informations personnelles de résidents de Californie ; le CCPA s’applique aux entreprises à but lucratif au-delà de ses seuils.
- Statut (novembre 2026)
- La SB 446 a ajouté un délai fixe à la loi sur les fuites de données à partir du 1er janv. 2026. Les règlements de la CPPA sur les audits de cybersécurité s’appliquent depuis le 1er janv. 2026, les premières certifications d’audit étant dues à partir du 1er avr. 2028.
- Obligation de notification
- Civ. Code 1798.82 : notifier les résidents concernés dans les 30 jours calendaires suivant la découverte de la violation ou l’information reçue à son sujet (des délais sont admis pour les autorités répressives).
- Pour plus de 500 résidents : envoyer un modèle de notification au procureur général dans les 15 jours calendaires suivant leur notification.
- Identifiants divulgués et exposition sur le dark web
- Les consommateurs peuvent engager une action en vertu de 1798.150 lorsqu’une adresse e-mail, associée à un mot de passe ou à une question de sécurité et sa réponse donnant accès à un compte, a été volée ou divulguée parce que la sécurité n’était pas raisonnable.
- Sanction maximale
- Dommages-intérêts forfaitaires de 107 à 799 USD par consommateur et par incident, ou dommages réels s’ils sont supérieurs (1798.150) ; amendes administratives jusqu’à 2 663 USD par violation, 7 988 USD en cas d’intention (montants ajustés 2025).
- S’applique à
- Toute organisation qui détient des renseignements personnels de résidents d’un État, où qu’elle soit établie.
- Statut (novembre 2026)
- Chaque État a sa propre loi. Beaucoup exigent une notification « sans retard injustifié » ; un nombre croissant fixent des délais précis.
- Obligation de notification
- Colorado (C.R.S. 6-1-716) : les résidents dans les 30 jours suivant la constatation d’une violation ; le procureur général dans les 30 jours si 500 résidents ou plus sont concernés.
- Floride (§ 501.171) : les personnes concernées dans un délai de 30 jours ; le Department of Legal Affairs dans un délai de 30 jours si 500 personnes ou plus sont touchées.
- Washington (RCW 19.255.010) : les consommateurs sous 30 jours calendaires ; le procureur général sous 30 jours si plus de 500 résidents sont concernés.
- Identifiants divulgués et exposition sur le dark web
- Le Colorado, la Floride et l’État de Washington, entre autres, incluent dans la définition des informations personnelles un nom d’utilisateur ou une adresse e-mail associé à un mot de passe ou à une question de sécurité donnant accès à un compte en ligne ; des identifiants de compte divulgués peuvent donc suffire à déclencher une notification.
- Sanction maximale
- Fixée État par État. Floride : jusqu’à 1 000 USD par jour pendant les 30 premiers jours, puis jusqu’à 50 000 USD par période de 30 jours, au maximum 500 000 USD par fuite de données (§ 501.171(9)).
Canada et Amérique latine
- S’applique à
- Organisations du secteur privé exerçant une activité commerciale, sauf dans les provinces dotées d’une loi substantiellement similaire pour les affaires intraprovinciales.
- Statut (novembre 2026)
- Le projet de remplacement (Bill C-27) est caduc depuis janvier 2025. Le Bill C-8 a reçu la sanction royale le 15 juin 2026 ; sa Loi sur la protection des cybersystèmes essentiels n’est pas encore en vigueur. Au Québec, la Loi 25 ajoute sa propre obligation d’informer la CAI.
- Obligation de notification
- Art. 10.1 : signaler au Commissioner toute atteinte aux mesures de sécurité, et en informer les personnes concernées, dès que possible après avoir déterminé qu’elle crée un risque réel de préjudice grave.
- s. 10.3 : conserver pendant 24 mois un registre de chaque fuite de données, à déclarer ou non.
- Identifiants divulgués et exposition sur le dark web
- Les identifiants divulgués sont évalués selon le critère du risque réel de préjudice grave (sensibilité des données, probabilité d’utilisation abusive). Toute fuite doit être consignée, même sous ce seuil.
- Sanction maximale
- Jusqu’à 100 000 CAD en cas de manquement délibéré à l’obligation de signaler ou de tenir des registres (art. 28). Au Québec, sanctions administratives pouvant atteindre 10 millions de CAD ou 2 % du chiffre d’affaires mondial.
- Sources officielles
- S’applique à
- Organisations qui traitent des données à caractère personnel au Brésil ou concernant des personnes se trouvant au Brésil.
- Statut (novembre 2026)
- La résolution 15 de l’ANPD du 24 avr. 2024 fixe le délai et le contenu du rapport.
- Obligation de notification
- LGPD art. 48 et résolution 15/2024, art. 6 et 9 : notifier l’ANPD et les personnes concernées dans un délai de trois jours ouvrés après avoir appris qu’un incident présentant un risque ou un dommage pertinent a touché des données à caractère personnel.
- Des précisions peuvent être ajoutées dans un délai de 20 jours ouvrables ; conservez un registre des incidents pendant au moins cinq ans.
- Identifiants divulgués et exposition sur le dark web
- La résolution 15/2024 range les données d’authentification parmi les critères d’un incident à risque pertinent ; une fuite d’identifiants peut donc déclencher le délai de trois jours ouvrables.
- Sanction maximale
- Une amende simple pouvant atteindre 2 % du chiffre d’affaires au Brésil, plafonnée à 50 millions de BRL par infraction (art. 52 II).
- S’applique à
- Organisations du secteur privé qui traitent des données à caractère personnel au Mexique.
- Statut (novembre 2026)
- La nouvelle loi a remplacé la loi de 2010 le 21 mars 2025. La supervision est passée de l’ancien INAI à la Secretaría Anticorrupción y Buen Gobierno.
- Obligation de notification
- Art. 19 : informer sans délai les personnes concernées des violations de sécurité qui affectent significativement leurs droits patrimoniaux ou moraux. La loi n’impose aucune obligation de notifier l’autorité.
- Identifiants divulgués et exposition sur le dark web
- Les identifiants de compte divulgués qui permettent à des tiers d’accéder à l’argent ou aux comptes d’une personne relèvent de l’obligation d’informer sans délai.
- Sanction maximale
- Amendes pouvant atteindre 320 000 fois l’Unité de mesure et d’actualisation (UMA), davantage en cas de récidive et jusqu’au double pour les données sensibles (art. 59).
- Sources officielles
Asie-Pacifique
- S’applique à
- Agences du gouvernement australien et la plupart des entreprises et organisations à but non lucratif dont le chiffre d’affaires annuel dépasse 3 millions d’AUD.
- Statut (novembre 2026)
- La Privacy and Other Legislation Amendment Act 2024 a introduit des sanctions civiles échelonnées et des avis d’infraction.
- Obligation de notification
- Art. 26WH : évaluer une violation présumée de manière raisonnable et rapide, en général dans les 30 jours.
- Une violation éligible (susceptible de causer un préjudice grave) doit être signalée à l’OAIC avec une déclaration (s. 26WK), et les personnes concernées doivent être informées (s. 26WL).
- Identifiants divulgués et exposition sur le dark web
- Des identifiants trouvés sur le dark web peuvent constituer les motifs raisonnables de soupçonner une violation qui déclenchent l’évaluation de 30 jours.
- Sanction maximale
- Pour une société, le montant le plus élevé entre 50 millions d’AUD, trois fois l’avantage obtenu ou 30 % du chiffre d’affaires ajusté, en cas d’atteintes graves à la vie privée (s. 13G).
- S’applique à
- Entités d’infrastructures critiques et entreprises dépassant le seuil de chiffre d’affaires fixé par la réglementation qui effectuent un paiement de ransomware, ou en font effectuer un en leur nom.
- Statut (novembre 2026)
- La déclaration des paiements de ransomware s’applique depuis le 30 mai 2025.
- Obligation de notification
- art. 27 : signaler à l’ASD dans les 72 heures suivant le paiement de la rançon ransomware, ou suivant la prise de connaissance de ce paiement.
- Identifiants divulgués et exposition sur le dark web
- Une demande d’extorsion portant sur des données volées et publiée sur un site de fuites ne déclenche ce rapport que si un paiement est effectué.
- Sanction maximale
- Une sanction civile de 60 unités de pénalité (art. 27(5)).
- S’applique à
- Organisations du secteur privé à Singapour.
- Statut (novembre 2026)
- Notification obligatoire des fuites de données depuis le 1er févr. 2021 ; plafond d’amende relevé depuis le 1er oct. 2022. Les propriétaires d’infrastructures d’information critiques déclarent aussi à la Cyber Security Agency au titre du Cybersecurity Act, modifié à partir du 31 oct. 2025.
- Obligation de notification
- Évaluer dans un délai de 30 jours calendaires si une violation doit être notifiée : préjudice important probable, ou 500 personnes ou plus touchées.
- Notifier la PDPC dès que possible et au plus tard trois jours calendaires après cela ; notifier les personnes concernées dès que possible.
- Identifiants divulgués et exposition sur le dark web
- Un identifiant de compte exposé avec un mot de passe, un code de sécurité ou d’autres données donnant accès au compte est réputé causer un préjudice important (Notification of Data Breaches Regulations 2021, reg. 3(1)(b)) ; une fuite d’identifiants doit donc être notifiée.
- Sanction maximale
- Jusqu’à 1 million de SGD, ou 10 % du chiffre d’affaires annuel à Singapour pour les organisations dont le chiffre d’affaires dépasse 10 millions de SGD, le montant le plus élevé étant retenu (art. 48J).
- Sources officielles
- PDPC : gestion des violations de données (s’ouvre dans un nouvel onglet)
- Notification of Data Breaches Regulations 2021 (s’ouvre dans un nouvel onglet)
- PDPC : lignes directrices consultatives sur l’application de la loi (PDF) (s’ouvre dans un nouvel onglet)
- CSA : Cybersecurity (Amendment) Act en vigueur (s’ouvre dans un nouvel onglet)
- S’applique à
- Organisations qui traitent des données personnelles numériques en Inde, ou de personnes en Inde lorsqu’elles leur proposent des biens ou des services ; les CERT-In Directions s’appliquent aux prestataires de services, intermédiaires, centres de données et entreprises.
- Statut (novembre 2026)
- Les DPDP Rules ont été notifiées le 14 nov. 2025 avec une période de mise en conformité progressive de 18 mois ; les obligations de la loi en cas de violation s’appliquent donc à partir de 2027. L’obligation de signalement au CERT-In s’applique déjà.
- Obligation de notification
- CERT-In Directions : signaler au CERT-In les types de cyberincidents listés dans un délai de six heures après les avoir constatés.
- DPDP Act, art. 8(6), une fois en vigueur : informer le Data Protection Board et chaque personne concernée de toute violation de données à caractère personnel, sous la forme prescrite par les Rules.
- Identifiants divulgués et exposition sur le dark web
- Le DPDP Act ne prévoit aucun seuil de matérialité : une fuite d’identifiants confirmée provenant de vos systèmes devra donc être notifiée au Board et aux personnes concernées.
- Sanction maximale
- Jusqu’à 250 crore INR en cas de défaut de mesures de sécurité raisonnables et jusqu’à 200 crore INR en cas de défaut de notification d’une violation (DPDP Act, annexe).
- Sources officielles
- DPDP Act 2023 (copie du Journal officiel, PDF) (s’ouvre dans un nouvel onglet)
- PIB : synthèse des DPDP Rules 2025 (PDF) (s’ouvre dans un nouvel onglet)
- CERT-In Directions au titre de la s. 70B(6) (s’ouvre dans un nouvel onglet)
- PIB : le CERT-In publie ses directives (28 avr. 2022) (s’ouvre dans un nouvel onglet)
- S’applique à
- Opérateurs de réseaux en Chine ; la PIPL couvre aussi certains traitements, effectués depuis l’étranger, de données de personnes se trouvant en Chine.
- Statut (novembre 2026)
- Les mesures de déclaration des incidents s’appliquent depuis le 1er nov. 2025 ; la loi sur la cybersécurité modifiée depuis le 1er janv. 2026, avec un niveau de sanction distinct pour les fuites de données à grande échelle.
- Obligation de notification
- Mesures de signalement des incidents : les opérateurs d’infrastructures d’information critiques signalent les incidents à déclarer à leur service de protection et à la police au plus tard dans l’heure ; les autres opérateurs les signalent à l’administration provinciale du cyberespace dans un délai de quatre heures.
- PIPL, art. 57 : en cas de fuite avérée ou possible d’informations personnelles, prendre immédiatement des mesures correctives et notifier le régulateur et les personnes concernées.
- Identifiants divulgués et exposition sur le dark web
- Des informations personnelles retrouvées divulguées en ligne exigent une notification immédiate en vertu de l’art. 57 de la PIPL.
- Sanction maximale
- Violations graves de la PIPL : jusqu’à 50 millions de RMB ou 5 % du chiffre d’affaires de l’exercice précédent, ainsi que des amendes pour les personnes responsables (art. 66). Loi sur la cybersécurité modifiée : jusqu’à 10 millions de RMB dans les cas les plus graves.
- S’applique à
- Entreprises qui traitent des données à caractère personnel au Japon.
- Statut (novembre 2026)
- Les signalements de violations sont obligatoires depuis le 1er avr. 2022. Une modification a été promulguée le 17 juil. 2026 et entrera en vigueur dans un délai de deux ans ; elle assouplit la notification aux personnes lorsque le risque est faible et ajoute une nouvelle infraction pour l’obtention d’informations personnelles par fraude ou par accès non autorisé.
- Obligation de notification
- Art. 26(1) : un rapport préliminaire à la PPC dans les meilleurs délais, en pratique sous trois à cinq jours.
- Un rapport final dans les 30 jours, ou 60 jours lorsqu’une finalité illicite, telle qu’un accès non autorisé ou un ransomware, est possible.
- À signaler : données sensibles, données pouvant causer un préjudice financier, finalité abusive, ou plus de 1 000 personnes.
- Identifiants divulgués et exposition sur le dark web
- Le vol par accès non autorisé et les données de connexion divulguées pour des services permettant des paiements doivent être notifiés, quel que soit le nombre de personnes touchées.
- Sanction maximale
- Amendes pénales pouvant atteindre 100 millions de JPY pour les entreprises qui enfreignent les ordres de la PPC ou fournissent des bases de données à des fins de profit illicite (art. 184).
Moyen-Orient et Afrique
- S’applique à
- Organisations qui traitent des données à caractère personnel de personnes en Arabie saoudite, y compris depuis l’étranger.
- Statut (novembre 2026)
- En vigueur depuis le 14 sept. 2023, avec un délai de grâce d’un an qui a pris fin le 14 sept. 2024.
- Obligation de notification
- Art. 20 de la loi et art. 24 du règlement d’application : notifier la Saudi Data & AI Authority (SDAIA) via son portail, dans les 72 heures suivant la prise de connaissance d’un incident pouvant porter atteinte aux données à caractère personnel ou aux personnes concernées.
- Informez également les personnes concernées.
- Identifiants divulgués et exposition sur le dark web
- Un accès illicite à des identifiants que vous détenez peut déclencher la notification sous 72 heures.
- Sanction maximale
- Un avertissement ou une amende pouvant atteindre 5 millions de SAR, doublée en cas de récidive (art. 36) ; jusqu’à deux ans de prison et 3 millions de SAR pour la divulgation de données sensibles (art. 35).
- Sources officielles
- S’applique à
- Organismes publics et privés qui traitent des informations personnelles en Afrique du Sud.
- Statut (novembre 2026)
- Depuis le 1er avr. 2025, les atteintes à la sécurité doivent être déclarées via le portail eServices de l’Information Regulator.
- Obligation de notification
- Art. 22 : lorsqu’il existe des motifs raisonnables de croire que des informations personnelles ont fait l’objet d’un accès ou d’une acquisition par une personne non autorisée, il faut en informer l’Information Regulator et les personnes concernées dès que raisonnablement possible. Il n’existe aucun seuil de signalement.
- Identifiants divulgués et exposition sur le dark web
- Toute acquisition non autorisée confirmée doit être déclarée, quel que soit le risque.
- Sanction maximale
- Une amende administrative pouvant atteindre 10 millions de ZAR (art. 109).
Également demandés
- AI Act de l’UE. Les fournisseurs de systèmes d’IA à haut risque signalent les incidents graves dans un délai de 15 jours (art. 73). La surveillance du dark web n’est pas un usage à haut risque au sens de l’annexe III, et les règles relatives aux systèmes à haut risque ont été reportées au 2 déc. 2027 par le règlement (UE) 2026/1744. Source officielle (s’ouvre dans un nouvel onglet)
- Cybersecurity Act de l’UE. Met en place une certification de sécurité volontaire de l’UE et définit le mandat de l’ENISA ; il n’impose aucune obligation de déclaration des fuites de données. Une révision a été proposée le 20 janv. 2026. Source officielle (s’ouvre dans un nouvel onglet)
- PDPL des Émirats arabes unis. Le décret-loi fédéral 45/2021 impose de notifier la violation au UAE Data Office, mais le délai et les amendes sont renvoyés à des règlements d’application ; nous n’indiquons donc pas de chiffres. Source officielle (s’ouvre dans un nouvel onglet)
Conformité
Comment la surveillance du dark web vous aide à respecter les délais
Presque tous les délais ci-dessus commencent lorsque vous avez connaissance d’une fuite de données. Une fuite que personne ne voit ne peut être ni évaluée, ni déclarée, ni contenue. La surveillance ne décide pas si une fuite doit être déclarée ; cela reste une appréciation juridique. Elle raccourcit le temps avant que vous le sachiez et vous donne les faits pour le rapport.
Être informé plus tôt
Des alertes lorsque vos domaines, adresses e-mail ou identifiants du personnel apparaissent dans des données de fuite, des stealer logs ou des discussions du dark web, afin que vous appreniez une fuite par vos propres alertes plutôt que par une autorité, un client ou l’attaquant.
Détection des fuites de donnéesÉvaluer plus vite
Chaque résultat indique ce qui a fuité, quels comptes et quelles machines sont concernés et quand cela a été découvert : les faits que demande un rapport sous 24 ou 72 heures.
Surveillance des identifiants et des stealer logsTenir le registre
Plusieurs lois exigent de documenter chaque violation, notifiée ou non (RGPD art. 33, par. 5, PIPEDA, LGPD). Les constats, alertes et rapports peuvent être exportés pour constituer ce dossier.
Rapports sur le dark web
Ceci n’est pas un conseil juridique
Cette page est un aperçu général donné à titre d’orientation. Elle ne constitue pas un avis juridique et n’est pas exhaustive : les lois évoluent, les règles nationales et les orientations des autorités apportent des précisions, et l’obligation de notifier une fuite dépend des faits. Consultez les sources officielles et adressez-vous à votre conseil juridique ou à votre délégué à la protection des données avant de décider.
Vérifié en novembre 2026. Chaque délai et chaque amende ont été contrôlés à partir de la source officielle indiquée dans le détail de chaque loi.