En cas de violation de données personnelles, vous devez la consigner dans votre registre des violations, la notifier à la CNIL dans les 72 heures après en avoir pris connaissance sauf si elle n’engendre aucun risque pour les personnes, et informer directement les personnes concernées si le risque est élevé. Une PME se prépare avant l’incident : qui décide, qui qualifie, qui notifie, avec quelles pièces. Ce guide donne le plan de réaction et les contrôles à mettre en place en amont.
L’essentiel
- Une violation est une atteinte à la confidentialité, à l’intégrité ou à la disponibilité des données, par accident ou par malveillance (articles 4.12 et 33 du RGPD).
- Toute violation se documente ; seule celle qui présente un risque pour les personnes se notifie à la CNIL, dans les 72 heures après en avoir pris connaissance, si possible.
- Si le risque est élevé, les personnes concernées sont informées directement, en termes clairs (article 34).
- Le sous-traitant prévient le responsable de traitement dans les meilleurs délais : prévoyez-le dans le contrat.
Ce que dit le cadre juridique
| Source | Ce qu’elle impose |
|---|---|
| Article 4.12 | Définition : violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données ou l’accès non autorisé à celles-ci. |
| Article 33.1 | Notification à l’autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si la violation n’engendre pas de risque pour les droits et libertés des personnes. |
| Article 33.3 | Contenu : nature de la violation et catégories de données et de personnes, nombre approximatif ; coordonnées du DPO ; conséquences probables ; mesures prises ou proposées. |
| Article 33.5 | Documentation de toute violation : faits, effets, mesures prises, afin de permettre à l’autorité de vérifier la conformité. |
| Article 34 | Communication aux personnes concernées, dans les meilleurs délais, lorsque la violation engendre un risque élevé. |
| Article 33.2 | Le sous-traitant notifie au responsable de traitement dans les meilleurs délais après en avoir pris connaissance. |
Les fiches détaillées sur l’article 33 et sur l’article 34 reprennent le texte et les cas particuliers.
Comment réagir en cas de violation ?
1. Contenir et constater
Isolez les systèmes concernés, coupez les accès compromis et conservez les traces (journaux, messages, captures). Notez l’heure à laquelle l’entreprise a pris connaissance de l’incident : c’est le point de départ du délai de 72 heures.
2. Qualifier
Déterminez l’atteinte (confidentialité, intégrité, disponibilité), les données et les personnes concernées, le volume, et les conséquences possibles pour les personnes. Cette qualification décide de la suite : documentation seule, notification à la CNIL, information des personnes.
3. Notifier la CNIL
La notification se fait par le téléservice de la CNIL. Si vous manquez d’éléments à l’échéance, vous pouvez notifier en plusieurs temps : un premier message avec les faits connus, complété ensuite. Un retard doit être justifié.
4. Informer les personnes
Si le risque est élevé, écrivez aux personnes concernées : nature de la violation, conséquences probables, mesures prises, conseils pratiques (changer un mot de passe, surveiller un compte), contact du DPO. Le message est direct, clair et sans jargon.
5. Corriger et documenter
Corrigez la cause, renforcez les mesures et inscrivez la violation au registre dédié, même si elle n’a pas été notifiée. Tirez ensuite un retour d’expérience avec la direction, l’informatique et les métiers.
Comment se préparer avant l’incident ?
- Définir les rôles : un décideur, un responsable technique, le DPO, la communication, et leurs suppléants, avec leurs coordonnées hors messagerie de l’entreprise.
- Détecter : journalisation, alertes sur les comptes à privilèges et les connexions anormales ; voir la gestion des logs.
- Réduire l’impact : chiffrement, authentification multifacteur, droits d’accès limités, sauvegardes testées.
- Encadrer les prestataires : clause de notification des violations dans les contrats de sous-traitance.
- S’entraîner : simuler un incident avec la direction, l’informatique, les RH et la communication pour vérifier que le plan tient.
- Articuler avec la continuité d’activité : le PCA et le PRA couvrent la remise en service ; la méthode ISO 27035 structure la gestion d’incidents.
Si votre entité relève de la directive NIS 2, des obligations de notification complémentaires s’ajoutent selon la transposition française : voir notre page sur la directive NIS 2 et la mission NIS 2.
Ce que la CNIL a sanctionné
| Décision | Montant | Ce qu’il faut retenir |
|---|---|---|
| Free Mobile et Free, délibérations du 8 janvier 2026 (publiées le 14 janvier 2026) | 27 millions d’euros (Free Mobile) et 15 millions (Free) | Après l’intrusion d’octobre 2024, qui a touché 24 millions de contrats d’abonnés, la CNIL retient une sécurité insuffisante (authentification des connexions VPN, détection des comportements anormaux), un défaut d’information des personnes et, pour Free Mobile, un défaut de limitation de la conservation. |
| Hôpital Privé de la Loire, délibération du 21 juillet 2026 (annoncée le 3 septembre 2026) | 500 000 euros | Intrusion de l’été 2025 dans le dossier patient : 524 867 patients concernés. La CNIL retient les articles 32 et 34 : accès externes sans VPN ni authentification multifacteur, absence de détection en temps réel, information directe insuffisante des tiers de confiance. |
| Dedalus Biologie, avril 2022 | 1,5 million d’euros | Fuite de données médicales de près de 500 000 personnes, due à des défauts de sécurité ; la CNIL retient les articles 29 et 32. |
| Infogreffe, 2022 | 250 000 euros | Mots de passe limités à huit caractères et stockés en clair, durées de conservation non maîtrisées : manquements aux articles 5 et 32. |
Dans ces décisions, la sanction porte surtout sur la sécurité mise en place avant l’incident et sur l’information des personnes. Je n’ai pas retenu de décision rendue sur le seul fondement de l’article 33 : la préparation à l’amont est ce que la CNIL examine d’abord.
Les questions que je pose en audit
- Avez-vous une procédure écrite de gestion des violations, connue des équipes ?
- Qui, dans l’entreprise, est autorisé à déclarer qu’une violation « existe » et à déclencher le délai de 72 heures ?
- Un registre des violations existe-t-il, et y figure-t-il aussi les incidents non notifiés ?
- Vos sous-traitants s’engagent-ils par contrat à vous prévenir, et dans quel délai ?
- Une alerte sur les connexions anormales ou les exports massifs est-elle active ?
- Avez-vous testé votre plan lors d’un exercice, et quels écarts avez-vous corrigés ?
- Un modèle de message aux personnes concernées est-il prêt, validé par le DPO et la direction ?
Prêt à l’emploi : le registre des violations
Créez un tableau avec ces colonnes et remplissez une ligne par incident, notifié ou non.
| Colonne | Contenu |
|---|---|
| Date et heure de prise de connaissance | Point de départ du délai de 72 heures |
| Description des faits | Ce qui s’est passé, comment, sur quel système |
| Nature de l’atteinte | Confidentialité, intégrité, disponibilité |
| Données et personnes concernées | Catégories et nombre approximatif |
| Conséquences probables | Pour les personnes (fraude, usurpation, atteinte à la réputation) |
| Niveau de risque retenu et justification | Aucun, risque, risque élevé |
| Décision de notification | CNIL : oui / non, date ; personnes : oui / non, date |
| Mesures prises et prévues | Correctives et préventives, avec responsable et échéance |
| Retour d’expérience | Causes, enseignements, modifications de la procédure |
Et en Suisse ?
L’article 24 de la nLPD impose d’annoncer au PFPDT, dans les meilleurs délais, une violation qui entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. Le texte ne fixe pas de délai de 72 heures. Les personnes concernées sont informées lorsque leur protection l’exige ou si le PFPDT le demande. Consultez notre fiche sur l’annonce des violations sous la nLPD et le guide pratique LPD : comment déclarer une fuite de données.
Ce que je constate en mission. Le point qui coince le plus souvent en cas d’incident n’est pas la technique mais la décision : personne ne sait qui peut dire « c’est une violation ». Les équipes perdent des heures à chercher un décideur. Un plan d’une page, avec trois noms, leurs suppléants et un modèle de notification prérempli, fait la différence.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
À partir de quand court le délai de 72 heures ?
À partir du moment où l’entreprise a une connaissance suffisante de l’incident pour constater qu’il s’agit d’une violation. Documentez l’heure et les éléments qui ont permis de le constater.
Faut-il notifier une violation sans risque pour les personnes ?
Non, mais elle doit être inscrite au registre des violations avec la justification de l’analyse de risque.
Que faire si le sous-traitant est à l’origine de l’incident ?
Le sous-traitant vous prévient, et vous restez responsable de la qualification et de la notification à la CNIL. Le contrat doit fixer les modalités de cette alerte.
Un ransomware est-il une violation ?
Oui, au moins pour l’atteinte à la disponibilité ou à l’intégrité des données, et souvent pour la confidentialité si les données ont été exfiltrées. L’analyse se fait au cas par cas.
Préparer votre plan de réaction
Nous construisons avec vous la procédure de gestion des violations, le registre et les modèles de message, dans le cadre de la mission de DPO externalisé ou à la suite d’un audit RGPD.
Sources
- Règlement (UE) 2016/679
- CNIL – Hôpital Privé de la Loire, sanction de 500 000 euros
- Le Monde du Droit – Free et Free Mobile, sanction de 42 millions d’euros
- L’ADN – Dedalus Biologie, sanction de 1,5 million d’euros
- Siècle Digital – Infogreffe, amende de 250 000 euros
- Fedlex – Loi fédérale sur la protection des données (nLPD)
