Violation de données : faut-il notifier sous 72 h ?

Un fichier envoyé au mauvais client, une boîte mail piratée ou un ordinateur volé n’entraîne pas automatiquement la même démarche. Cette page répond à la question précise du RGPD : quand documenter, notifier la CNIL et informer les personnes après une violation de données personnelles. Elle complète les premiers gestes techniques d’une cyberattaque, sans les remplacer, et ne prétend pas qualifier à distance chaque cas particulier.

1. Vérifiez qu’il s’agit bien de données personnelles

Une violation de données personnelles est une violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles transmises, conservées ou traitées. Elle peut toucher la confidentialité, l’intégrité ou la disponibilité. Le vol n’est donc pas nécessaire : une suppression accidentelle sans copie disponible peut aussi entrer dans la définition.

Commencez par identifier les données. Un nom, une adresse, un numéro client, une voix, une adresse IP, des données de localisation ou un identifiant peuvent concerner une personne identifiable. Un incident portant uniquement sur un secret commercial sans personne identifiable relève de la sécurité, mais pas de cette procédure RGPD. Il peut néanmoins exiger d’autres démarches contractuelles ou pénales.

Distinguez l’incident de sécurité de la violation. Un courriel suspect bloqué avant ouverture est un incident, mais aucune donnée personnelle n’a nécessairement été compromise. À l’inverse, une liste clients publiée par erreur constitue une violation même sans attaque. La qualification repose sur les faits, pas sur la présence d’un logiciel malveillant.

Notez le moment où l’organisation acquiert un degré raisonnable de certitude qu’un incident a conduit à la compromission de données personnelles. Ce moment aide à déterminer la prise de connaissance et le délai. N’attendez pas de connaître chaque personne ou chaque fichier pour commencer l’évaluation ; complétez les informations au fil de l’enquête.

2. Contenez l’incident tout en préservant les faits

Révoquez un lien mal envoyé, fermez une session, bloquez un compte, retirez une page publique ou isolez un appareil selon l’incident. Ces mesures limitent l’exposition mais ne doivent pas effacer aveuglément les traces utiles. Notez l’heure, l’auteur de l’action, le périmètre et le résultat. Pour une attaque active, suivez les premiers réflexes après une cyberattaque.

Conservez les journaux, messages, alertes, versions, captures et déclarations nécessaires dans un dossier à accès restreint. N’y recopiez pas plus de données personnelles que nécessaire. Demandez au fournisseur de préserver ses journaux avant leur rotation. Une chronologie factuelle permet de distinguer une tentative d’un accès réussi et d’estimer la durée.

Réunissez rapidement le décideur, le référent informatique, la personne en charge des données et le prestataire concerné. Une TPE sans délégué à la protection des données peut tout de même nommer un responsable de coordination. Prévoyez un conseil juridique ou spécialisé pour les cas complexes, sensibles ou transfrontaliers.

Ne retardez pas la sécurité dans l’attente d’une notification. Contenir, analyser et préparer la décision avancent en parallèle. N’envoyez pas non plus une communication alarmiste avant de connaître les protections et actions utiles : l’information aux personnes doit être claire, concrète et orientée vers la réduction du risque.

3. Documentez chaque violation, même sans notification

L’article 33 du RGPD impose au responsable du traitement de documenter toute violation de données personnelles, avec les faits, les effets et les mesures correctives prises. Cette trace doit permettre à l’autorité de vérifier le respect des obligations. L’absence de notification ne signifie donc pas l’absence de dossier.

Créez une fiche avec référence, dates de détection et de prise de connaissance, systèmes, traitements, catégories de données, personnes concernées, volume estimé, origine, confidentialité-intégrité-disponibilité, protections existantes, destinataires possibles, durée, conséquences, mesures et décision. Ajoutez les incertitudes et la date de prochaine mise à jour.

Consignez l’évaluation du risque et la justification : pourquoi le risque est-il improbable, possible ou élevé ? Qui a décidé et à quelle heure ? Quelles informations manquaient ? Une conclusion « pas grave » sans critères est difficile à défendre. À l’inverse, le registre ne doit pas prétendre à une précision impossible ; utilisez des fourchettes et indiquez les hypothèses.

Reliez l’incident à l’activité correspondante dans le registre RGPD et à la procédure de protection des données clients. Cette liaison permet de corriger durée, droits ou fournisseur après l’incident. Le dossier de violation reste toutefois distinct du registre des activités de traitement.

4. Évaluez les conséquences pour les personnes, pas seulement pour l’entreprise

Le seuil de notification se fonde sur le risque pour les droits et libertés des personnes : discrimination, fraude, usurpation d’identité, perte financière, atteinte à la réputation, secret, confidentialité, accès à un compte, perte de contrôle ou autre désavantage. Une interruption commerciale peut être grave pour l’entreprise sans créer le même risque RGPD ; les deux analyses doivent coexister.

Examinez la nature et la sensibilité des données, leur volume, la facilité d’identifier les personnes, le nombre et la vulnérabilité des personnes, l’auteur ou le destinataire, la durée et les mesures de protection. Des mots de passe lisibles, données bancaires, pièces d’identité, données de santé ou informations sur des mineurs appellent une attention renforcée.

Le chiffrement robuste avec clé non compromise peut rendre les données inintelligibles et réduire fortement le risque. Mais un écran déjà ouvert, une clé présente sur l’appareil ou une mauvaise configuration change l’analyse. La pseudonymisation n’est pas l’anonymisation : si la réidentification reste possible avec des informations accessibles, le risque demeure.

Considérez les combinaisons. Une adresse e-mail seule peut paraître limitée ; associée à un contrat, une dette, une pathologie ou un mot de passe, elle devient plus dommageable. Évaluez aussi la vraisemblance d’un usage : destinataire fiable ayant confirmé la suppression, publication indexée, attaquant motivé ou fichier téléchargé.

5. Notifiez la CNIL si le risque n’est pas improbable

Le responsable du traitement notifie l’autorité de contrôle compétente à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés. En France, la CNIL propose un téléservice dédié. La notification intervient dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance. Au-delà, elle doit être accompagnée des motifs du retard.

Les 72 heures ne constituent ni une période d’attente ni un délai pour résoudre entièrement l’incident. Elles cadrent la notification. Si toutes les informations ne sont pas disponibles, le RGPD permet de les communiquer de manière échelonnée sans retard indu. Envoyez une première notification suffisamment étayée, indiquez les inconnues et complétez selon le calendrier prévu.

La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements, le contact utile, les conséquences probables et les mesures prises ou proposées. Préparez ces champs dans votre modèle de fiche pour ne pas perdre du temps à reconstruire le dossier.

Déterminez l’autorité compétente avec conseil si le traitement ou l’établissement implique plusieurs pays. Le téléservice CNIL convient aux notifications relevant de la CNIL ; il ne remplace pas les notifications sectorielles, contractuelles ou aux autres autorités. Conservez l’accusé, le contenu transmis et chaque complément.

6. Informez les personnes lorsque le risque est élevé

Lorsque la violation est susceptible d’engendrer un risque élevé, le responsable communique la violation aux personnes concernées dans les meilleurs délais. Le message utilise des termes clairs et simples. Il présente au moins la nature de la violation, le contact, les conséquences probables et les mesures prises, puis indique ce que la personne peut faire.

Adaptez les conseils : changer un mot de passe sur le vrai site, surveiller les opérations, contacter la banque, se méfier d’un message ciblé ou faire opposition à un document. N’invitez pas tout le monde à changer tous ses mots de passe si aucun identifiant n’est concerné. Évitez les détails techniques inutiles et les formulations qui minimisent sans preuve.

L’article 34 prévoit des cas où une communication individuelle n’est pas exigée, notamment si des mesures antérieures rendent les données incompréhensibles, si des mesures ultérieures écartent le risque élevé, ou si l’effort serait disproportionné ; dans ce dernier cas, une communication publique ou mesure similaire doit informer avec une efficacité comparable. Analysez et documentez toute exception au lieu de l’appliquer automatiquement.

Choisissez un canal fiable. Un compte compromis ne doit pas être le seul canal utilisé. Préparez l’accueil des questions, un texte cohérent et un suivi. L’information ne sert pas seulement la conformité : elle permet à la personne de se protéger avant que la donnée ne soit exploitée.

7. Coordonnez le sous-traitant sans transférer la décision

Un sous-traitant qui découvre une violation concernant les données traitées pour votre compte doit vous en informer dans les meilleurs délais après en avoir pris connaissance. Le contrat doit préciser le canal, les contacts, les informations attendues, la préservation des preuves et l’assistance. « Nous vous préviendrons » sans délai opérationnel ni contenu est insuffisant pour gérer une échéance de 72 heures.

Demandez les faits utiles : début et fin, environnements, données, personnes, journaux, protections, accès constatés, mesures, sous-traitants ultérieurs et prochaines mises à jour. Distinguez les éléments vérifiés des hypothèses. Organisez des points datés plutôt que d’attendre un rapport final qui pourrait arriver après l’échéance.

Le responsable du traitement reste chargé d’évaluer et, si nécessaire, de notifier pour son traitement. Le prestataire peut préparer des éléments, mais ne décide pas à sa place, sauf rôles différents pour ses propres traitements. Un même incident peut toucher plusieurs clients ; chacun doit analyser son périmètre et ses personnes.

Après l’urgence, vérifiez le contrat, les mesures et les dépendances. Une capacité d’export, des contacts joignables et un inventaire des fournisseurs accélèrent la réponse. Le futur guide d’audit d’un outil SaaS complète ce point ; la présente page reste centrée sur la décision de notification.

8. Raisonnez sur les faits de chaque scénario

E-mail au mauvais destinataire : révoquez le lien, contactez le destinataire, demandez la suppression et confirmez s’il a ouvert ou transféré. Analysez contenu, relation de confiance et protection. La procédure de partage sécurisé réduit la durée d’exposition grâce aux droits nominatifs et à la révocation.

Téléphone perdu : vérifiez verrouillage, chiffrement, session, données locales et possibilité d’effacement. Révoquez les accès. Un appareil chiffré, verrouillé et géré ne présente pas le même risque qu’un appareil ouvert. Appuyez-vous sur la fiche téléphone professionnel perdu ou volé.

Boîte mail compromise : révoquez sessions et règles, examinez messages, transferts, pièces jointes et contacts. Le périmètre ne se limite pas aux e-mails envoyés par l’attaquant ; il peut inclure les archives lisibles et les services réinitialisables. Documentez la période d’accès avec les journaux disponibles.

Données indisponibles : une attaque ou erreur détruisant la seule copie peut constituer une violation de disponibilité. Testez la restauration selon le plan de sauvegarde. Évaluez les conséquences pour les personnes, par exemple l’impossibilité de fournir un service nécessaire, pas seulement le coût interne.

9. Préparez une procédure avant d’en avoir besoin

1. Créer un canal d’alerte et une liste de contacts accessibles hors messagerie.
2. Préparer la fiche de qualification, le registre des violations et les champs CNIL.
3. Définir qui contient, qui évalue et qui valide la notification.
4. Recenser les traitements, fournisseurs, journaux et sauvegardes.
5. Préparer des modèles de message adaptables, sans fausse promesse.
6. Simuler un mauvais destinataire et une boîte mail compromise.
7. Revoir après chaque incident les causes, mesures et délais.

La procédure tient compte des horaires, absences et week-ends : 72 heures sont des heures, pas trois jours ouvrés. Conservez l’accès au téléservice et les coordonnées utiles sans partager un compte nominatif. Faites relire les cas sensibles par un professionnel compétent et gardez les décisions datées.

Sources officielles et primaires : Règlement (UE) 2016/679 — articles 33 et 34 ; CNIL — téléservice de notification d’une violation ; CNIL — règles à suivre en cas de violation ; Comité européen de la protection des données — lignes directrices 9/2022. Consultées le 3 août 2026. Cette méthode générale ne remplace pas l’analyse juridique d’un incident concret.

En résumé

Toute violation de données personnelles est documentée. La CNIL est notifiée si un risque pour les droits et libertés est susceptible d’exister, idéalement sous 72 heures après la prise de connaissance ; les personnes sont informées si le risque est élevé. La TPE gagne du temps en préparant sa fiche, ses contacts, ses fournisseurs et son registre avant l’incident, tout en menant la sécurité et l’analyse en parallèle.