Le système d'information de la Direction générale des Finances publiques a été visé par une exfiltration de données. L'autorité de contrôle a été notifiée et a ouvert ses vérifications. Le périmètre est large : informations fiscales, données cadastrales, numéros SIREN, raisons sociales. Particuliers et entreprises, tout le monde est concerné. Une obligation que beaucoup sous-estiment encore En cas de violation, un responsable de traitement dispose de 72 heures pour notifier l'autorité de contrôle. Ce délai n'est pas indicatif. Il vaut pour une PME comme pour une administration centrale. La taille n'exonère de rien. Quand la chronologie de la découverte et de la notification se retrouve contestée, y compris en interne par des représentants du personnel, c'est tout le sérieux de la gestion de crise qui se retrouve sur la sellette. Le vrai piège : le point de départ Le compteur des 72 heures ne démarre pas quand l'affaire devient publique. Il démarre dès que l'organisme a connaissance de la violation avec un degré de certitude raisonnable. Nuance décisive. C'est très exactement là que les chronologies se contredisent et que les responsabilités se discutent. Encore faut-il savoir qui, dans l'organisation, a autorité pour acter officiellement cette heure de prise de connaissance. Autre signal notable. L'autorité invite désormais les victimes à ne plus multiplier les plaintes individuelles. Le message est clair : la réponse se joue au niveau du responsable de traitement, pas dans l'empilement des démarches personnelles. Trois réflexes à ancrer Pour un DPO, l'affaire se traduit en actions concrètes. Cartographier précisément ce qui déclenche le compteur des 72 heures. Documenter chaque décision, chaque horaire, chaque arbitrage, parce que ces éléments seront examinés. Et anticiper l'information des personnes concernées, plutôt que de la subir dans l'urgence. Un organisme public reste un responsable de traitement comme un autre. Face à l'autorité, l'argument de la complexité administrative ne pèse pas lourd.
