Fuite de données en entreprise : obligation de signaler, amendement n° 13 et risques

Page du service : défense face à une demande d’autorisation d’une action collective.

Une fuite commence comme une question technique et se termine comme une question juridique. Dans les premières heures, la direction essaie de comprendre ce qui est sorti et, en parallèle, trois risques apparaissent : face à l’Autorité de protection de la vie privée, face aux personnes concernées qui risquent d’agir en justice, et face au groupe qui peut devenir une action collective. Tous trois reposent sur des documents créés (ou non créés) pendant ces heures-là. Voici ce qu’exige le droit, dans les termes mêmes des dispositions.

La première heure : ce que l’article 11 exige vraiment

L’obligation de signaler un incident ne figure pas dans la loi mais dans le règlement : le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017), pris en application de l’article 36 de la loi (l’amendement n° 13 a aussi ajouté à la loi l’article 17(b), qui autorise expressément l’adoption d’un règlement en matière de sécurité des données). Voici le texte :

Trois conclusions pratiques. Premièrement, « sans délai », et non 72 heures. Celui qui gère l’incident selon le calendrier européen est en retard. Deuxièmement, l’avis au registraire comporte deux obligations et non une seule : l’avis de l’incident et le compte rendu des mesures prises ensuite. La documentation du traitement fait donc partie de l’obligation elle-même. Troisièmement, l’information des clients n’est pas automatique : elle intervient, le cas échéant, sur ordre du registraire au titre de l’alinéa (2), et après consultation du directeur de la Direction nationale de la cybersécurité. Une société peut évidemment informer de sa propre initiative, et cela a parfois un intérêt commercial et probatoire. Mais c’est une décision, pas une obligation née de l’incident lui-même.

Et le prix du retard : le point (21) de la troisième annexe de la loi prévoit une sanction pécuniaire pour celui qui n’a pas informé sans délai le directeur de l’Autorité d’un incident de sécurité grave, ou qui n’a pas rendu compte des mesures qu’il a prises. Elle est de 80 000 ₪ pour une base de données soumise au niveau de sécurité moyen et de 320 000 ₪ au niveau élevé, et du double pour une base de données de niveau élevé qui contient des informations sur 1 000 000 personnes ou plus (article 23Z(h)). Ce sont les montants de base. Selon l’article 23FF(b), ils sont actualisés selon l’indice le 1er janvier de chaque année et, en 2026, ils s’élèvent à 81 890 ₪ et 327 560 ₪. Le point parle d’un avis « au directeur de l’Autorité » : l’amendement n° 13 a remplacé dans la loi « le registraire » par « le directeur de l’Autorité » (article 1(2) de la loi modificative).

Ce qui est exigé avant même l’incident, et qui sera examiné après

L’article 17(a) de la loi prévoit que le responsable de la base de données et son détenteur sont chacun responsables de la sécurité des données. La responsabilité ne passe pas au fournisseur. L’article 11 en tire trois obligations permanentes, dont chacune devient une preuve le lendemain :

• Documenter chaque incident de sécurité : tout cas où a été découvert un incident qui fait craindre une atteinte à l’intégrité des informations, leur utilisation sans autorisation ou au-delà de l’autorisation ; « dans la mesure du possible » au moyen d’un enregistrement automatique (article 11(a)).
• Une procédure de réponse : la procédure de sécurité doit contenir des instructions pour faire face aux incidents selon leur gravité et selon la sensibilité des informations, y compris la révocation des autorisations, d’autres mesures immédiates et le compte rendu au responsable de la base de données (article 11(b)).
• Un examen périodique : pour une base de données soumise au niveau de sécurité moyen, un examen des incidents de sécurité au moins une fois par an ; au niveau élevé, au moins une fois par trimestre (article 11(c)).

Ces trois éléments forment, en pratique, la liste des documents demandés en premier lors d’une enquête administrative ou d’une procédure civile. Une société qui n’a ni procédure, ni journal (log), ni procès-verbal d’examen aborde l’incident sans protection.

L’amendement n° 13 : ce qui a changé depuis le 14 août 2025

La loi sur la protection de la vie privée (amendement n° 13), 5784-2024 a été publiée au Sefer HaHoukim (le Journal officiel des lois) n° 3287 le 14 août 2024, et son article 74(a) prévoit qu’elle entre en vigueur « un an après la date de sa publication », c’est-à-dire le 14 août 2025. Voici les changements qui concernent directement une entreprise qui détient une base de données clients :

L’obligation d’enregistrement a été réduite

L’article 8A(a)(1) ne maintient l’obligation d’enregistrement que dans deux cas. D’une part, une base de données dont la finalité principale est la collecte d’informations personnelles en vue de leur transmission à autrui à titre professionnel ou contre rémunération (y compris les services de prospection directe), et qui contient des informations sur plus de 10 000 personnes. D’autre part, une base de données dont le responsable est un organisme public au sens de l’alinéa (1) de la définition de l’article 23, sauf si elle ne contient que des informations sur les salariés de cet organisme. La plupart des bases de données clients des entreprises ne sont plus soumises à enregistrement. Selon la disposition transitoire de l’article 76(a) de la loi modificative, une base de données enregistrée à la date d’entrée en vigueur reste enregistrée même si elle n’y est plus tenue, sauf si son responsable a informé le directeur de l’Autorité que l’obligation d’enregistrement ne s’applique pas à elle ; elle est alors radiée du registre.

Une nouvelle obligation de déclaration, avec un autre seuil

L’enregistrement est remplacé par une obligation de déclaration. Selon l’article 8A(b)(1), celui dont la base de données (non soumise à enregistrement) contient des informations particulièrement sensibles sur plus de 100 000 personnes doit informer l’Autorité dans un délai de 30 jours de l’identité du responsable, de son adresse et de ses coordonnées, de l’identité du délégué à la protection de la vie privée et de ses coordonnées (si sa nomination est exigée), et lui remettre une copie du document de définition de la base de données. L’article 8A(b)(2) ajoute une obligation de mise à jour, dans un délai de 30 jours, pour toute modification de ces éléments et pour la cessation de l’activité de la base de données.

Le délégué à la protection de la vie privée

L’article 17B1(a) impose la nomination d’un délégué à la protection de la vie privée à quatre catégories : un organisme public (sauf un organisme de sécurité) ; le responsable d’une base de données dont la finalité principale est la collecte d’informations en vue de leur transmission à autrui à titre professionnel ou contre rémunération, avec plus de 10 000 personnes ; celui dont les activités principales comportent un traitement d’informations qui exige une surveillance régulière et systématique de personnes à grande échelle, y compris un opérateur de téléphonie mobile et un fournisseur de service de recherche en ligne ; et celui dont l’activité principale comprend le traitement d’informations particulièrement sensibles à grande échelle, y compris une banque, un assureur, un hôpital général et une caisse maladie. L’article 17B1(b) précise les critères de la « grande échelle ».

Le délégué n’est pas une fonction symbolique. L’article 17B2 oblige le responsable de la base de données à lui fournir les conditions et les ressources nécessaires à sa fonction et à veiller à ce qu’il soit associé de manière appropriée à toute question relative au droit de la protection de la vie privée. Il prévoit que le délégué rend compte directement au directeur général ou à un salarié qui lui est directement subordonné. L’article 17B3 exige une connaissance approfondie du droit de la protection de la vie privée, une compréhension de la technologie et de la sécurité des données et une connaissance de l’activité de l’organisme. Il permet que le délégué ne soit pas salarié de l’organisme. Il lui interdit d’exercer une autre fonction ou d’être subordonné à un dirigeant d’une manière qui risque de l’exposer à un conflit d’intérêts.

La sanction pécuniaire : les montants prévus par la loi

Le chapitre D3 de la loi, ajouté par l’amendement n° 13, met en place un dispositif administratif de contrôle et de sanction. L’article 23Z ne prévoit pas une « amende pour fuite », mais des montants différents selon le type de violation. Voici les montants dans les termes de l’article, c’est-à-dire les montants de base. Selon l’article 23FF(b), ils sont actualisés selon l’indice des prix à la consommation le 1er janvier de chaque année, à partir de 2026, et le directeur de l’Autorité publie les montants actualisés dans Reshoumot et sur le site de l’Autorité de protection de la vie privée (article 23FF(c)) :

Les montants pour 2026 : selon l’article 23FF(b), les montants du tableau sont actualisés le 1er janvier de chaque année. Depuis le 1er janvier 2026, ils sont de 153 540 ₪ (double : 307 080 ₪) ; 15 350 ₪ ; 51,18 ₪ et 102,36 ₪ par personne, avec un plancher de 30 710 ₪ ; 2,05 ₪ et 4,09 ₪ par personne, avec un plancher de 20 470 ₪ ou 40 940 ₪ ; 4,09 ₪ et 8,19 ₪ par personne, avec un plancher de 204 720 ₪ ; et 307 080 ₪ (avis d’actualisation des montants des sanctions pécuniaires, Yalkout HaPirsoumim (le Journal des avis officiels) n° 15000, 7 octobre 2026 (en hébreu)). Le « plancher » est le montant que le directeur de l’Autorité peut imposer lorsque le montant calculé selon le nombre de personnes lui est inférieur.

Notez la structure : deux lignes du tableau sont calculées selon le nombre de personnes dans la base de données et non par un montant fixe. Dans une organisation qui détient des informations sur des centaines de milliers de clients, une sanction de « 2 ₪ par personne » n’est pas un petit montant. C’est cela, et non un montant fixe, qui fait du défaut de nomination du délégué un risque financier réel.

Les réductions et les plafonds : ce qui change réellement le montant

La cinquième annexe de la loi prévoit un mécanisme de réduction qu’il vaut mieux connaître avant d’envoyer une réponse à l’Autorité :

• Absence de sanction antérieure : 20 % si, au cours des cinq ans précédant la violation, aucune sanction ni autre mesure administrative coercitive n’a été imposée pour violation de la même disposition, et 10 % si c’est le cas au cours des trois ans qui l’ont précédée.
• Cessation à l’initiative du contrevenant et auto-déclaration au directeur de l’Autorité : 30 %. C’est la réduction la plus importante parmi les réductions à taux fixe, et c’est exactement ce qui se décide dans les premières heures.
• Mesures pour empêcher la répétition et réduire le préjudice, à la satisfaction du directeur de l’Autorité : 20 %.
• Nomination d’un délégué à la protection de la vie privée par celui qui y est tenu au titre de l’article 17B1(a)(3) et (4) uniquement, avant la remise de l’avis d’intention d’imposer une sanction : 10 %.
• Indemnisation versée ou accordée par jugement à la charge du contrevenant pour les mêmes violations : jusqu’à 30 %.
• La réduction cumulée de tous ces éléments ne dépasse pas 70 % du montant de la sanction.

À côté des réductions, il y a des plafonds. Une « micro-entreprise » est celle dont le chiffre d’affaires de l’année précédant la violation n’a pas dépassé 4 millions ₪, et une « petite entreprise » celle dont le chiffre d’affaires a dépassé 4 millions sans dépasser 10 millions ₪. À la demande du contrevenant, les montants sont réduits pour lui de sorte qu’ils ne dépassent pas 20 000 ₪ (micro-entreprise) ou 40 000 ₪ (petite entreprise) pour les violations visées à l’article 23Z(a) et (b) ; 50 000 ₪ ou 100 000 ₪ pour les violations visées aux paragraphes (c) à (f) ; et 70 000 ₪ ou 140 000 ₪ pour la violation visée au paragraphe (g). En 2026, les plafonds sont de 20 470 ₪ ou 40 940 ₪, 51 180 ₪ ou 102 360 ₪, et 71 650 ₪ ou 143 310 ₪. En outre, selon l’article 7 de la cinquième annexe, si le montant de la sanction dépasse 5 % du chiffre d’affaires du contrevenant, il est ramené à ce taux, à sa demande, accompagnée d’une attestation d’un comptable agréé ou d’un conseiller fiscal agréé, présentée dans un délai de 30 jours à compter de la remise de l’avis d’intention d’imposer une sanction.

Le risque civil : l’article 29A

L’article 29A(b)(1) permet au tribunal de condamner un défendeur, dans une action civile au titre de l’article 4 de la loi, à une indemnité sans preuve du préjudice et, selon l’alinéa (2), au double de ce montant lorsqu’il est prouvé que l’atteinte à la vie privée a été commise avec l’intention de nuire. Le montant inscrit dans la loi est de 50 000 ₪, mais l’article 29A(d) l’indexe sur l’indice des prix à la consommation et l’actualise le 16 de chaque mois, l’indice de base étant celui de mai 2007. Selon la mise à jour du 16 octobre 2026, le plafond est de 72 221,22 ₪, et le double de 144 442,44 ₪. L’article 29A(c) ajoute qu’une indemnité sans preuve du préjudice n’est pas accordée plus d’une fois pour la même atteinte à la vie privée.

En revanche, dans une action collective, le tribunal n’accorde pas de dommages-intérêts sans preuve du préjudice, ce qui n’empêche pas une indemnisation pour un préjudice non pécuniaire (article 20(e) de la loi sur les actions collectives). Le produit du nombre de membres du groupe par le plafond indexé n’est donc pas une mesure du risque dans une telle action. Voir en détail la voie de l’action collective en cas de fuite de données clients.

Le risque d’action collective : la porte d’entrée, les critères et les réparations

Un point que l’on a tendance à manquer : la loi sur la protection de la vie privée ne contient pas de disposition propre sur les actions collectives, et la deuxième annexe de la loi sur les actions collectives ne comporte pas de point consacré à l’atteinte à la vie privée. La porte d’entrée habituelle est le point 1 : « une action contre un professionnel, au sens de la loi sur la protection du consommateur, relative à une affaire entre lui et un client, qu’ils aient conclu une transaction ou non ». La première question de toute demande de ce type est donc de savoir si le défendeur est un professionnel et si le demandeur est son client, et pas seulement si les informations ont fuité.

L’autorisation de la demande est subordonnée aux quatre conditions cumulatives de l’article 8(a) de la loi : des questions de fait ou de droit substantielles communes à tous les membres du groupe, avec une possibilité raisonnable qu’elles soient tranchées en faveur du groupe ; la procédure collective doit être le moyen efficace et équitable de trancher le litige ; il existe un motif raisonnable de penser que les intérêts des membres du groupe seront représentés et gérés de manière appropriée ; et il existe un motif raisonnable de penser que la procédure sera menée de bonne foi. Dans les dossiers de fuite, la première condition est le champ de bataille : le préjudice, et surtout sa preuve en tant que question commune à tout le groupe et non en tant que question individuelle pour chaque victime.

Et si l’action est tranchée en faveur du groupe, l’article 20 fixe le mode de réparation. Le tribunal peut ordonner une indemnisation pour chaque personne qui a prouvé son droit, ordonner que chaque membre du groupe prouve son droit, ou accorder une indemnisation financière d’un montant global lorsqu’il est possible de la calculer précisément sur la base des preuves. Et selon l’article 20(c)(1), lorsqu’une indemnisation financière des membres du groupe n’est pas réalisable, parce qu’il est impossible de les identifier et de les payer à un coût raisonnable ou pour une autre raison, le tribunal peut ordonner toute autre réparation en faveur du groupe ou du public. Une réparation financière en faveur du public est versée à un fonds créé au titre de l’article 27A.

Quatre affirmations qui reviennent sur le sujet, et qui sont fausses

« Il y a 72 heures pour signaler. » Non. Les 72 heures sont une règle du RGPD européen. Le droit israélien exige un avis « sans délai » selon l’article 11(d)(1) : une exigence plus stricte, et non plus souple.

« Il faut immédiatement informer tous les clients. » Non. L’information des personnes concernées a lieu sur ordre du registraire, au titre de l’article 11(d)(2), et après consultation du directeur de la Direction nationale de la cybersécurité.

« L’amende pour une fuite de données est de 500 000 ₪. » La loi ne prévoit ni un tel montant ni une « amende pour fuite ». L’article 23Z fixe des montants différents selon le type de violation : 15 000 ₪, 150 000 ₪, 300 000 ₪, des montants selon le nombre de personnes dans la base de données, et un montant de 30 000 ₪ ou 200 000 ₪ que le directeur de l’Autorité peut imposer lorsque le montant calculé lui est inférieur. Pour la violation du règlement sur la sécurité, les montants de la troisième annexe s’appliquent selon le niveau de sécurité.

« Toute entreprise ayant une base de données clients doit l’enregistrer. » Plus depuis le 14 août 2025. L’article 8A(a)(1) a limité l’obligation d’enregistrement à deux cas seulement, et la plupart des bases de données clients des entreprises n’en font pas partie. Ce qui a été ajouté, c’est l’obligation de déclaration de l’article 8A(b), avec un seuil de 100 000 personnes pour les informations particulièrement sensibles.

L’ordre des actions pendant la première semaine

• Déterminer si l’incident est « grave » : cette décision détermine si l’obligation d’avis immédiat est née, et elle est documentée avec sa motivation et l’heure.
• Geler les preuves : journaux (logs), configurations, sauvegardes, correspondance. L’article 11(a) impose déjà une documentation ; lors d’un incident, son étendue augmente.
• Informer l’Autorité et documenter les mesures : les deux obligations de l’article 11(d)(1), et en même temps la base de la réduction de 30 % pour cessation à l’initiative du contrevenant et auto-déclaration.
• Colmater la brèche et le prouver : une réduction supplémentaire de 20 % suppose des mesures pour empêcher la répétition et réduire le préjudice, à la satisfaction du directeur de l’Autorité.
• Cartographier la base de données : combien de personnes concernées, quels types d’informations, s’il y a des « informations particulièrement sensibles » et quel est le niveau de sécurité applicable. Ce sont les variables qui déterminent à la fois le montant de la sanction et la taille du groupe potentiel.
• Vérifier la chaîne des fournisseurs : l’article 17(a) impose une responsabilité au responsable de la base de données et au détenteur. Un contrat avec un fournisseur ne transfère pas la responsabilité, mais il règle la contribution au préjudice.
• Coordonner les messages : l’avis au public, aux clients professionnels et aux autres régulateurs est rédigé une seule fois. Une formulation rédigée avant d’avoir établi les faits est une source fréquente de risque supplémentaire.

Questions fréquentes

Dans quel délai une société doit-elle signaler une fuite de données ?

L’article 11(d)(1) du règlement sur la protection de la vie privée (sécurité des données), 5777-2017, prévoit qu’en cas d’incident de sécurité grave, le responsable de la base de données en informe le registraire « sans délai », et lui rend compte des mesures prises à la suite de l’incident. Le droit israélien ne fixe pas un délai de 72 heures comme le RGPD européen, et le terme « sans délai » est plus strict, et non plus souple. Une obligation de déclaration distincte, dans un délai de 30 jours, s’applique selon l’article 8A(b) de la loi sur la protection de la vie privée à celui qui détient des informations particulièrement sensibles sur plus de 100 000 personnes dans une base de données non soumise à enregistrement. Mais il s’agit d’une déclaration de l’existence même de la base de données, et non d’un incident.

Faut-il informer les clients que leurs informations ont fuité ?

Pas automatiquement. L’article 11(d)(2) autorise le registraire (et non la société) à ordonner au responsable de la base de données d’informer de l’incident de sécurité une personne concernée susceptible d’en être lésée, après consultation du directeur de la Direction nationale de la cybersécurité. L’information des clients n’est donc pas une obligation autonome née de l’incident lui-même : elle découle de l’ordre du registraire. Cela dit, une société peut informer de sa propre initiative, et cela a parfois un intérêt commercial et probatoire. Une telle décision s’examine aussi au regard d’autres obligations d’information qui peuvent s’appliquer à elle en vertu d’une autre loi ou d’un contrat.

Quel est le montant de la sanction pécuniaire qui peut être imposée à une société pour violation de la loi sur la protection de la vie privée ?

L’article 23Z de la loi sur la protection de la vie privée, 5741-1981, tel que modifié par l’amendement n° 13, fixe des montants différents selon le type de violation. 150 000 ₪ pour le traitement d’informations dans une base de données soumise à enregistrement sans l’avoir enregistrée et pour d’autres violations d’enregistrement et de déclaration, et le double si la base de données contient des informations personnelles sur un million de personnes ou plus. 15 000 ₪ pour le refus de permettre l’accès et pour des violations similaires. 50 ₪ par personne sollicitée sans l’avis exigé par l’article 11, ou 100 ₪ par personne s’il s’agit d’informations particulièrement sensibles ; si le total est inférieur à 30 000 ₪, le directeur de l’Autorité peut imposer 30 000 ₪. 2 ₪ par personne sur laquelle la base de données contient des informations (ou 4 ₪ pour des informations particulièrement sensibles) pour des violations qui comprennent le défaut de nomination d’un responsable de la sécurité des données ou d’un délégué à la protection de la vie privée. 4 ₪ par personne sur laquelle la base de données contient des informations (ou 8 ₪ pour des informations particulièrement sensibles) pour les violations de l’article 23Z(e), qui comprennent le traitement d’informations pour une finalité illicite ; si le total est inférieur à 200 000 ₪, le directeur de l’Autorité peut imposer 200 000 ₪. Pour la violation du règlement sur la sécurité des données, les montants de la troisième annexe s’appliquent, selon le niveau de sécurité applicable à la base de données. La loi ne prévoit pas un montant uniforme de 500 000 ₪ pour une fuite de données. Ce sont les montants de base de la loi. Selon l’article 23FF(b), ils sont actualisés le 1er janvier de chaque année et, en 2026, ils sont par exemple de 153 540 ₪ au lieu de 150 000 ₪, de 51,18 ₪ au lieu de 50 ₪ par personne et de 204 720 ₪ au lieu de 200 000 ₪ (Yalkout HaPirsoumim n° 15000, 7 octobre 2026).

Comment une société est-elle poursuivie par une action collective pour une fuite de données ?

La loi sur la protection de la vie privée ne contient pas de disposition propre sur les actions collectives, et la deuxième annexe de la loi sur les actions collectives, 5766-2006 (חוק תובענות ייצוגיות, התשס״ו-2006), ne comporte pas de point consacré à l’atteinte à la vie privée. La porte d’entrée habituelle est donc le point 1 de la deuxième annexe : une action contre un professionnel au sens de la loi sur la protection du consommateur, relative à une affaire entre lui et un client, qu’ils aient conclu une transaction ou non. L’autorisation de la demande est subordonnée aux quatre conditions de l’article 8(a) : des questions substantielles communes à tous les membres du groupe, avec une possibilité raisonnable qu’elles soient tranchées en sa faveur ; l’efficacité et l’équité de la procédure collective ; une représentation et une gestion appropriées ; et une conduite de bonne foi. Si l’action est tranchée en faveur du groupe, l’article 20 fixe le mode de réparation. Selon l’article 20(c), lorsqu’une indemnisation individuelle n’est pas réalisable, le tribunal peut ordonner une réparation en faveur du groupe ou du public, versée au fonds prévu à l’article 27A.

Quelles bases de données doivent être enregistrées après l’amendement n° 13 ?

L’article 8A(a)(1) de la loi, tel que modifié par l’amendement n° 13, a limité l’obligation d’enregistrement à deux cas. D’une part, une base de données dont la finalité principale est la collecte d’informations personnelles en vue de leur transmission à autrui à titre professionnel ou contre rémunération (y compris les services de prospection directe), et qui contient des informations personnelles sur plus de 10 000 personnes. D’autre part, une base de données dont le responsable est un organisme public au sens de l’alinéa (1) de la définition de l’article 23, sauf si la base de données ne contient que des informations sur les salariés de cet organisme. La plupart des bases de données clients des entreprises ne relèvent plus de l’obligation d’enregistrement. Selon la disposition transitoire de l’article 76(a) de la loi modificative, une base de données enregistrée à la date d’entrée en vigueur reste enregistrée même si elle n’est plus soumise à enregistrement, sauf si son responsable a informé le directeur de l’Autorité que l’obligation d’enregistrement ne s’applique pas à elle.

Qu’est-ce qui, en pratique, vaut une sanction à une organisation lors d’une enquête administrative de l’Autorité de protection de la vie privée ?

Les documents et les procédures, et pas seulement l’incident lui-même. Selon l’avis de l’Autorité du 16 septembre 2026, vérifié le 17 octobre 2026, une sanction de 64 000 ₪ a été imposée à la municipalité de Beit Shemesh pour violation de l’article 2(a)(7) du règlement sur la protection de la vie privée (sécurité des données) : un fournisseur externe qui avait un accès permanent à la base de données n’était pas mentionné comme détenteur dans le document de définition de la base de données. Elle a aussi été imposée pour violation de l’article 15(a)(3), car la procédure de sécurité des données n’encadrait pas les relations avec les intervenants externes ayant un accès. L’argument d’un « décalage administratif de bonne foi », lié à l’entrée en vigueur de l’amendement n° 13 environ une semaine avant l’incident, a été rejeté, car les organismes avaient disposé d’une année de préparation.