Deux horloges, un même incident L'article 33 du RGPD, tout DPO le connaît : notifier la CNIL dans les 72 heures suivant la connaissance d'une violation qui présente un risque pour les personnes. L'autre délai est moins familier. Depuis la loi LOPMI, l'indemnisation d'une perte liée à une cyberattaque par l'assureur suppose une plainte déposée dans les 72 heures suivant la connaissance de l'attaque. Deux horloges. Le même point de départ, ou presque. Et des équipes déjà débordées par la restauration. Ce que recommande le Clusif Le Clusif a publié le 19 octobre 2026 un livret consacré à la plainte après un incident de cybersécurité. Premier livrable de son groupe de travail, avec des fiches pratiques annoncées pour la fin d'année. Les conseils sont très concrets. Repérer à l'avance le commissariat ou la brigade compétents. Confier le dépôt au représentant légal ou à une personne habilitée. Se présenter physiquement, une pré-plainte en ligne ne suffit pas, ou écrire directement au procureur. Apporter journaux, captures d'écran, premiers rapports d'analyse, contacts des prestataires. Déposer vite, avec les éléments disponibles, pour obtenir un récépissé, puis compléter. Pour les agents publics, l'article 40 du Code de procédure pénale ajoute une obligation de signalement. Une procédure, deux étapes Plainte et notification ne visent ni la même chose ni la même personne. L'une cible l'auteur. L'autre informe l'autorité de contrôle, et le responsable de traitement reste seul juge de l'impact sur les personnes. Mais elles reposent sur les mêmes preuves. D'où une organisation simple. Une seule procédure de violation, avec une étape plainte et une étape notification, chacune confiée à un responsable nommé et à un suppléant. Le DPO qualifie et notifie. La direction juridique ou générale porte la plainte et le dialogue avec l'assureur. Un journal de crise commun alimente les deux. Le récépissé de plainte peut être mentionné dans la notification. La notification complémentaire de l'article 33.4 sert à mettre l'autorité à jour au fil des découvertes. À préparer à froid Un modèle de pouvoir pré-signé. Une page unique avec le contact de la police, de l'assureur et le numéro de contrat. Des journaux horodatés copiés hors du système compromis. Rien de complexe. Mais tout ce qui n'est pas prêt avant l'incident manquera pendant.
