Violation de données RGPD : faut-il notifier la CNIL ?

Un ordinateur portable volé, un email envoyé au mauvais destinataire, une base clients exfiltrée : voilà trois violations de données très différentes • et trois réponses potentiellement différentes à la même question : faut-il notifier la CNIL ?

Le réflexe « 72 heures » est désormais bien connu des entreprises. Mais entre la sur-notification (déclarer tout et n'importe quoi) et le silence fautif, la bonne réponse suppose une analyse de risque rigoureuse. Voici le cadre, tel qu'il résulte des articles 33 et 34 du RGPD et de la doctrine publiée par la CNIL.

Qu'est-ce qu'une violation de données personnelles ?

La violation de données est définie largement : c'est toute atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles.

Trois familles sont classiquement distinguées :

• •Violation de confidentialité : des données ont été consultées ou divulguées sans autorisation (piratage, envoi erroné, fuite).
• •Violation d'intégrité : des données ont été altérées.
• •Violation de disponibilité : des données ont été perdues ou rendues inaccessibles (rançongiciel, destruction, panne sans sauvegarde).

Un rançongiciel qui chiffre vos serveurs constitue donc une violation de données, même sans preuve d'exfiltration : la disponibilité des données est atteinte.

Notifier ou non : le critère du risque

L'article 33 du RGPD pose la règle : le responsable de traitement notifie la violation à la CNIL à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes.

L'analyse porte notamment sur :

• •la nature des données (des données de santé, bancaires ou concernant des mineurs pèsent lourd) ;
• •le volume de personnes et de données concernées ;
• •la facilité d'identification des personnes ;
• •les conséquences possibles : usurpation d'identité, fraude, discrimination, atteinte à la réputation ;
• •les mesures déjà en place (chiffrement robuste, par exemple, qui peut neutraliser le risque).

En cas de doute raisonnable, la prudence recommande de notifier : une notification de précaution se justifie plus facilement qu'un silence.

Le délai de 72 heures, en pratique

La notification intervient dans les 72 heures après la prise de connaissance de la violation. Trois situations concrètes :

1. Vous savez l'essentiel dans les 72 heures : notifiez de façon complète via le téléservice de la CNIL.
2. L'analyse est en cours : notifiez une première fois avec les éléments disponibles, puis complétez. Le RGPD prévoit expressément la notification en plusieurs temps.
3. Le délai est dépassé : notifiez quand même, en expliquant les raisons du retard. Un retard motivé et documenté se défend ; une absence totale de notification, beaucoup plus difficilement.

Informer les personnes concernées : le second étage

Lorsque la violation est susceptible d'engendrer un risque élevé, l'article 34 impose d'informer les personnes concernées dans les meilleurs délais, en termes clairs : nature de la violation, conséquences probables, mesures prises, conseils de protection (changer un mot de passe, surveiller ses comptes…).

Cette communication est un exercice délicat • juridique et réputationnel à la fois. Elle mérite d'être préparée avec votre DPO et votre avocat, en cohérence avec la notification CNIL.

Le registre des violations : obligatoire dans tous les cas

Notification ou pas, toute violation doit être documentée dans un registre interne : faits, effets, mesures correctives. Ce registre est le premier document que la CNIL demandera en cas de contrôle. Il démontre votre conformité… ou son absence.

Ce que vous risquez en cas de manquement

Le défaut de notification ou de documentation expose à des sanctions administratives pouvant atteindre, pour les manquements aux articles 33 et 34, 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. La CNIL a déjà sanctionné des organismes pour notification tardive ou incomplète. S'y ajoutent le risque contentieux (actions des personnes concernées) et le coût réputationnel.

Pour un premier repère sur votre situation, utilisez notre diagnostic violation de données RGPD • puis faites valider l'analyse par un professionnel.

Glossaire express

• •Responsable de traitement : l'organisme qui détermine les finalités et moyens du traitement des données.
• •Sous-traitant : le prestataire qui traite des données pour le compte du responsable.
• •Risque élevé : niveau de risque déclenchant l'obligation d'informer les personnes concernées.

Pour aller plus loin : Cyberattaque en entreprise : les premières actions et le dossier complet RGPD, hacking, vol de données.

Sources officielles : CNIL (violations de données personnelles, téléservice de notification), CEPD/EDPB (lignes directrices sur la notification), Legifrance (RGPD, articles 33 et 34).

Les contenus et outils proposés sur LeDroitEnClair.fr ont une vocation informative. Ils ne remplacent pas une consultation personnalisée auprès d'un avocat, d'un DPO ou d'un professionnel qualifié en cybersécurité.

Il est important de noter que les mineurs bénéficient d'une protection renforcée des données : en cas de violation touchant des enfants, la CNIL accorde une priorité accrue au traitement de la demande, et les parents disposent d'un droit à l'effacement quasi systématique.