Violation de données en cours ? Un DPO expérimenté vous rappelle dans l’heure : 01 82 83 64 01. Les étapes des 72 prochaines heures sont ci-dessous.
L’essentiel en 30 secondes. Une violation de données personnelles — perte de confidentialité, d’intégrité ou de disponibilité — déclenche trois obligations graduées : documenter systématiquement l’incident dans le registre des violations (article 33.5 RGPD) ; notifier la CNIL dans un délai maximal de 72 heures s’il existe un risque pour les personnes ; informer les personnes concernées au plus tôt si ce risque est élevé. Le délai court dès que vous avez une certitude raisonnable qu’un incident touche des données personnelles, et une notification incomplète ne vous excuse pas d’attendre : le téléservice de la CNIL prévoit la notification en deux temps, initiale puis complémentaire. Voici la procédure complète, étape par étape.
Qu’est-ce qu’une violation de données ? (c’est plus large que le piratage)
L’article 4.12 du RGPD vise toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés à des données personnelles. Trois types d’atteinte, souvent combinés : la confidentialité (un tiers accède aux données — piratage, mais aussi mail envoyé au mauvais destinataire, dossier accessible sans habilitation), l’intégrité (les données sont altérées) et la disponibilité (les données sont perdues ou inaccessibles — rançongiciel qui chiffre vos serveurs, destruction accidentelle sans sauvegarde).
Le caractère intentionnel est indifférent : la clé USB perdue, l’erreur d’envoi, le stagiaire qui supprime une base sont des violations au même titre qu’une cyberattaque. C’est la première erreur que nous corrigeons en mission : des incidents « bénins » jamais documentés, qui deviennent indéfendables le jour d’un contrôle.
Les trois niveaux de réaction : l’arbre de décision
| Niveau de risque pour les personnes | Registre interne | Notification CNIL (72 h) | Information des personnes |
|---|---|---|---|
| Aucun risque probable | Obligatoire | Non (justification au registre) | Non |
| Risque | Obligatoire | Obligatoire | Non |
| Risque élevé | Obligatoire | Obligatoire | Obligatoire, au plus tôt |
Le risque s’apprécie au cas par cas : nature de l’atteinte, sensibilité et volume des données, facilité d’identification des personnes, caractéristiques des personnes concernées (mineurs, patients, salariés…) et conséquences possibles (usurpation d’identité, discrimination, perte financière, atteinte à la réputation). En cas de doute sur le niveau, notre pratique est constante : notifiez. Une notification par excès de prudence ne vous sera jamais reprochée ; l’inverse, si.
Le délai de 72 heures : quand démarre le chronomètre ?
Le délai court à partir du moment où vous avez une certitude raisonnable qu’un incident de sécurité a affecté des données personnelles — pas nécessairement dès l’alerte. Une suspicion d’intrusion peut justifier de courtes investigations préalables, à condition de les mener sans délai ; à l’inverse, la perte d’un ordinateur portable est connue à l’instant où elle est constatée. Attention au week-end : 72 heures, c’est 3 jours calendaires, pas 3 jours ouvrés — une violation détectée le vendredi se notifie au plus tard le lundi.
Vous n’avez pas encore toutes les informations ? C’est prévu : faites une notification initiale avec ce que vous savez, puis une notification complémentaire quand l’investigation avance. Et si les 72 heures sont dépassées, notifiez quand même — le téléservice vous demandera simplement les motifs du retard, et un retard motivé se défend infiniment mieux qu’un silence découvert plus tard.
La notification pas à pas
1. Qualifiez et composez la cellule. Dès l’alerte : DPO, DSI/RSSI, direction. Établissez les faits — quoi, quand, comment, quelles données, combien de personnes. Figez les preuves (journaux, horodatages) avant toute remédiation destructrice.
2. Documentez au registre immédiatement. Quel que soit le niveau de risque, l’incident entre au registre des violations (modèle ci-dessous). Si vous concluez à l’absence de risque, la justification s’écrit noir sur blanc — c’est elle que la CNIL contrôlera.
3. Évaluez le risque. Utilisez la grille de l’arbre de décision ci-dessus. Associez le DPO à l’évaluation et conservez-en la trace.
4. Notifiez via le téléservice CNIL. La notification se fait en ligne, sur le téléservice dédié de la CNIL, qui vous guide champ par champ. Contenu attendu (article 33) : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, coordonnées du DPO, mesures prises ou envisagées. Le CEPD a d’ailleurs adopté en juin 2026 un modèle commun européen de notification, qui harmonisera à terme les formulaires des autorités. Pour un traitement transfrontalier, l’autorité chef de file — pas nécessairement la CNIL — est votre interlocuteur unique.
5. Informez les personnes si le risque est élevé. En termes clairs et simples : nature de la violation, conséquences probables, point de contact, mesures prises, et recommandations concrètes (changer de mot de passe, surveiller ses comptes…). Trois dérogations : données chiffrées de manière robuste avec clé non compromise ; mesures prises écartant la matérialisation du risque ; efforts disproportionnés — remplacés alors par une communication publique.
6. Remédiez, complétez, capitalisez. Déployez les mesures correctrices, envoyez la notification complémentaire, puis tirez le retour d’expérience : cause racine, mesures de sécurité, mise à jour des procédures. La CNIL accuse réception et examine la notification sous 24 heures ouvrées ; sans retour de sa part sous 2 mois, le dossier est réputé sans observation.
Si vous êtes sous-traitant : vous n’avez pas à notifier la CNIL, mais à alerter votre client (le responsable de traitement) dans les meilleurs délais — c’est lui qui décide et notifie, même s’il peut vous déléguer l’exécution. Le silence d’un sous-traitant envers son client est l’un des manquements contractuels les plus contentieux que nous rencontrons.
Le registre des violations : le modèle
Le registre de l’article 33.5 documente toutes les violations, notifiées ou non. Pour chaque incident, consignez :
| Rubrique | Contenu |
|---|---|
| Référence et dates | N° interne, date de détection, date des faits |
| Description des faits | Ce qui s’est passé, cause (accidentelle/malveillante), systèmes concernés |
| Nature de l’atteinte | Confidentialité / intégrité / disponibilité |
| Données et personnes | Catégories de données, catégories et nombre de personnes et d’enregistrements |
| Conséquences probables | Effets pour les personnes concernées |
| Évaluation du risque | Aucun / risque / risque élevé, avec motivation |
| Notification CNIL | Oui (date, n° de dossier) ou non (justification) |
| Information des personnes | Oui (date, modalité) ou non (justification ou dérogation) |
| Mesures | Mesures de remédiation immédiates et correctrices de fond |
| Clôture | Date, retour d’expérience |
Le modèle de registre prêt à l’emploi — gratuit
Inscrivez-vous à la newsletter DPO 101 et recevez par e-mail le registre des violations au format Excel (menus déroulants, exemple rempli, conforme à l’article 33.5). En bonus chaque mois : nos analyses et décryptages RGPD et IA.
Notre newsletter est fondée sur votre consentement à la recevoir. Désinscrivez-vous à tout moment en un clic. En savoir plus
Ce qui se joue vraiment : la preuve
La notification n’est pas une fin en soi : c’est un exercice de démonstration. Un organisme qui produit un registre tenu, une évaluation de risque motivée et une chronologie propre transforme un incident en dossier maîtrisé — y compris si un contrôle suit, ce qui arrive : une violation médiatisée ou mal gérée est l’un des déclencheurs classiques d’un contrôle CNIL. Pour l’analyse de fond des obligations, voyez notre guide complet de gestion des violations de données. Et c’est précisément ce que nous outillons chez DPO 101 : la procédure, le registre et les notifications, gérés avec votre DPO externalisé et documentés dans Comply101.
FAQ — Notification CNIL et violation de données
Le délai de 72 h court-il les week-ends et jours fériés ?
Oui. Le délai de l’article 33 est de 72 heures calendaires après la prise de connaissance de la violation, week-ends et jours fériés compris. Une violation détectée un vendredi soir doit donc être notifiée au plus tard le lundi soir, au besoin par une notification initiale incomplète.
Faut-il notifier toutes les violations à la CNIL ?
Non. La notification n’est obligatoire que si la violation entraîne un risque pour les droits et libertés des personnes. En revanche, toute violation — même sans risque — doit être documentée dans le registre des violations, avec la justification de l’absence de notification.
Que risque-t-on en cas de défaut de notification ?
Le défaut de notification ou de documentation est sanctionnable jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83.4 RGPD) — indépendamment des sanctions liées au manquement de sécurité d’origine (article 32), qui peuvent s’y ajouter.
Un sous-traitant doit-il notifier la CNIL ?
Non, sauf délégation expresse. Le sous-traitant doit alerter le responsable de traitement dans les meilleurs délais après avoir pris connaissance de la violation (article 33.2) ; c’est le responsable qui évalue le risque et notifie la CNIL.
Article rédigé par Assaf Bensoussan, DPO externe et fondateur de DPO 101, cabinet de conseil en protection des données (500+ structures accompagnées). Mis à jour le 3 novembre 2026.
Sources : RGPD, articles 4.12, 33, 34 et 83 ; CNIL, « Violations de données personnelles : les règles à suivre » ; CEPD, lignes directrices 9/2022 sur la notification des violations ; CEPD, adoption d’un modèle commun de notification, juin 2026.
