L’article 33 du RGPD oblige le responsable du traitement à notifier à la CNIL toute violation de données personnelles dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente vraisemblablement aucun risque pour les personnes. Le sous-traitant qui constate une violation en informe le responsable dans les meilleurs délais. Qu’elle soit notifiée ou non, chaque violation est consignée dans un registre interne, avec ses faits, ses effets et les mesures prises.
L’essentiel
- Violation = destruction, perte, altération, divulgation ou accès non autorisés, accidentels ou illicites : un e-mail envoyé au mauvais destinataire en est une.
- 72 heures à compter de la prise de connaissance, notification possible par étapes si toutes les informations ne sont pas disponibles.
- Pas de notification si le risque est improbable, mais documentation obligatoire dans tous les cas (registre des violations).
- Contenu : nature de la violation, catégories et nombre de personnes et d’enregistrements, contact, conséquences probables, mesures prises ou proposées.
Ce que dit l’article 33
| Paragraphe | Ce que dit le texte |
|---|---|
| 33.1 – Notification à l’autorité | En cas de violation, le responsable la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Au-delà de 72 heures, la notification est accompagnée des motifs du retard. |
| 33.2 – Sous-traitant | Le sous-traitant notifie au responsable toute violation dans les meilleurs délais après en avoir pris connaissance. |
| 33.3 – Contenu | La notification décrit la nature de la violation (catégories et nombre approximatif de personnes et d’enregistrements), communique le nom et les coordonnées du DPO ou d’un contact, décrit les conséquences probables et les mesures prises ou proposées, y compris pour en atténuer les effets. |
| 33.4 – Par étapes | Si les informations ne peuvent être fournies en même temps, elles sont communiquées de manière échelonnée sans retard indu. |
| 33.5 – Registre | Le responsable documente toute violation (faits, effets, mesures), pour permettre à l’autorité de vérifier le respect de l’article. |
Ce que cela change pour une PME
Reconnaître une violation
Un portable volé, une clé USB perdue, un ransomware, une pièce jointe envoyée au mauvais client, un salarié qui consulte des dossiers qu’il n’a pas à voir, un prestataire piraté : ce sont des violations, même sans certitude que les données aient été lues. Le réflexe est de qualifier d’abord, pas d’attendre d’être sûr.
Compter à partir de la prise de connaissance
Le délai court quand l’entreprise a un degré de certitude raisonnable qu’une violation s’est produite, pas quand l’analyse technique est terminée. D’où l’intérêt d’une notification initiale sous 72 heures, complétée ensuite : la CNIL accepte la notification par étapes, pas le silence.
Évaluer le risque pour décider
Trois questions : quelles données (sensibles, bancaires, identifiants), combien de personnes, et quelles conséquences possibles (usurpation, fraude, discrimination, atteinte à la réputation). Un fichier chiffré perdu sans la clé ne présente généralement pas de risque ; une base clients avec mots de passe en clair, oui. Le raisonnement s’écrit dans le registre des violations, même quand la conclusion est de ne pas notifier.
Préparer la procédure avant l’incident
Qui prévenir en interne, qui qualifie, qui notifie sur le téléservice de la CNIL, qui informe les personnes, qui parle aux clients : une page, affichée et connue. Notre guide se préparer à une fuite de données en donne le modèle complet, et la page article 34 traite de l’information des personnes.
Exiger de ses sous-traitants un délai de remontée
Le contrat de l’article 28 fixe en général 24 à 48 heures pour que le prestataire prévienne le responsable ; sans cette clause, le responsable découvre la violation trop tard pour tenir ses 72 heures.
Ce que la CNIL a sanctionné sur ce fondement
| Décision ou pratique | Montant / nature | Ce qu’il faut retenir |
|---|---|---|
| Dedalus Biologie, 15 avril 2022 | 1,5 million d’euros (toutes causes) | Fuite de données de santé de près de 500 000 personnes, révélée par la presse : la CNIL retient des manquements à la sécurité et à l’encadrement de la sous-traitance, et rappelle les obligations de notification et d’information. |
| Notifications tardives ou absentes | Point de contrôle constant | Les décisions de la CNIL en procédure simplifiée relèvent régulièrement l’absence de notification d’une violation ou son retard non motivé, souvent découverts à l’occasion d’une plainte ou d’un article de presse. |
La CNIL reçoit plusieurs milliers de notifications par an ; notifier n’entraîne pas de sanction en soi, et une entreprise qui notifie, documente et corrige est traitée très différemment de celle qui cache l’incident.
Les questions que je pose en audit
- Si un collaborateur envoie un fichier au mauvais destinataire, à qui le dit-il, et que se passe-t-il ensuite ?
- Avez-vous une procédure écrite de gestion des violations, et qui la connaît ?
- Tenez-vous un registre des violations, même pour les incidents non notifiés ?
- Vos contrats de sous-traitance fixent-ils un délai de remontée des incidents ?
- Qui a les identifiants du téléservice de notification de la CNIL ?
- Vos sauvegardes permettent-elles de rétablir l’accès aux données après un ransomware, et en combien de temps ?
- Avez-vous déjà eu un incident, et comment a-t-il été documenté ?
Prêt à l’emploi : la fiche de qualification d’une violation
| Rubrique | Contenu |
|---|---|
| Date et heure de prise de connaissance | Point de départ des 72 heures |
| Description des faits | Ce qui s’est passé, comment, découvert par qui |
| Nature | Confidentialité (divulgation, accès), intégrité (altération), disponibilité (perte, destruction) |
| Données concernées | Catégories, caractère sensible, chiffrées ou non |
| Personnes concernées | Catégories et nombre approximatif |
| Conséquences probables | Usurpation, fraude, atteinte à la réputation, discrimination, perte de service |
| Niveau de risque | Nul / possible / élevé, avec justification |
| Décision | Notification CNIL oui/non ; information des personnes oui/non ; motifs |
| Mesures prises | Contenir, corriger, prévenir la répétition |
| Sous-traitant impliqué | Nom, date de sa notification au responsable |
| Suivi | Date de notification, référence CNIL, compléments envoyés |
Et en Suisse ?
La nLPD impose à son article 24 d’annoncer au PFPDT, « dans les meilleurs délais », toute violation qui entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes ; le seuil est donc plus élevé qu’en droit européen (risque élevé contre risque), et il n’y a pas de délai chiffré. Notre fiche déclarer une fuite de données au PFPDT détaille la procédure.
Ce que je constate en mission. La première violation qu’une PME me signale est presque toujours un e-mail parti au mauvais destinataire avec un fichier de clients ou de salariés. C’est une violation au sens du RGPD, elle se documente, et elle se notifie si le fichier contenait des données sensibles ou bancaires. Les entreprises qui ont la procédure sous la main traitent le cas en une heure ; les autres passent la journée à se demander si « ça compte », et ratent le délai.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Faut-il notifier si les données étaient chiffrées ?
En général non, si la clé n’a pas été compromise et que les données restent disponibles : le risque pour les personnes est improbable. La violation est tout de même consignée dans le registre avec ce raisonnement.
Que se passe-t-il après 72 heures ?
La notification reste obligatoire ; elle est accompagnée des motifs du retard. Un retard justifié et documenté est préférable à une absence de notification.
Le sous-traitant doit-il notifier la CNIL ?
Non, il notifie le responsable du traitement, qui notifie la CNIL. Le contrat peut prévoir que le sous-traitant prépare les éléments techniques de la notification.
Préparer votre procédure de violation
La procédure, le registre des violations et la fiche de qualification sont livrés lors de notre audit RGPD ; un DPO externalisé qualifie et notifie avec vous le jour de l’incident, avec une astreinte de 72 heures.
Sources
- Règlement (UE) 2016/679
- CNIL – Notifier une violation de données personnelles
- CNIL – Les sanctions prononcées
