Un incident frappe un groupe fintech : de la première heure au rapport final du régulateur

Chaque texte ancre son décompte sur un événement distinct :

• RGPD et UK GDPR : 72 heures après la prise de connaissance de la violation.
• DORA : 4 heures après la classification d'un incident TIC comme majeur, au plus tard 24 heures après sa détection.
• LAAPD (Banque du Canada) : 48 heures après que le FSP a déterminé que l'incident est important.
• NYDFS Part 500 : 72 heures après avoir déterminé qu'un incident s'est produit, y compris chez un fournisseur.
• PDPA (Singapour) : 3 jours calendaires après avoir évalué la violation comme à notifier.
• FTC Safeguards Rule : 30 jours après la découverte à partir de 500 consommateurs touchés.

Notre premier document est donc un journal horodaté sur lequel s'appuie chaque avis.

1. Confinement. Comptes et clés compromis désactivés, serveurs isolés, point d'entrée fermé.
2. Preuves. Capturer journaux, images et instantanés avant toute reconstruction, et consigner la chaîne de conservation.
3. Étendue. Systèmes, données, clients, opérations interrompues ; pour une fuite KYC, passeports, selfies et adresses à part.
4. Classification. Pour chaque juridiction du groupe : seuil de notification atteint ou non, et point de départ du délai.
5. Projets. Des textes d'avis fondés sur des faits établis. Le RGPD permet expressément de fournir les informations par étapes quand on ne peut pas tout réunir d'un coup (art. 33(4)).

La décision de notifier reste à vous, à votre DPO et à votre avocat ; nous leur donnons des faits fiables.

L'avis décrit la violation, les personnes et enregistrements concernés, le contact du DPO, les conséquences et les mesures prises (art. 33(3)). Passé 72 heures, il doit motiver le retard. Un sous-traitant, comme votre prestataire KYC, prévient le responsable sans tarder (art. 33(2)).

Royaume-Uni

Le UK GDPR conserve le délai de 72 heures. Depuis le 30 septembre 2026, l'article 33 désigne comme destinataire l'Information Commission, qui succède à l'ICO.

Un registre de chaque violation

Toute violation est documentée, notifiée ou non (art. 33(5)) ; au Canada, la LPRPDE impose de garder ces registres 24 mois. Nous le tenons au fil du travail.

Les délais sont fixés par le règlement délégué (UE) 2025/301 de la Commission. Si l'incident est classé majeur plus de 24 heures après sa détection, la notification initiale est due dans les 4 heures suivant la classification (art. 5(2)).

Pour un EME ou un établissement de paiement agréé dans l'UE, c'est le délai le plus serré : critères de classification et modèle d'avis doivent exister à l'avance, et nous répétons un scénario où DORA et RGPD démarrent ensemble. Pour la sécurité des données personnelles elles-mêmes, voir notre page protection des données.

Le rapport couvre chronologie, point d'entrée, systèmes et données touchés, confinement, reprise et date de revérification. Une version courte en langage clair va à la direction et à la banque ; une annexe technique va au régulateur et à l'auditeur.

Nous mettons ensuite à jour le plan de réponse là où du temps a été perdu.