ConformiteFacile

Blog

Violation de donnees personnelles : ce qu'il faut faire dans les 72 heures

Publie le 14/09/2026 · Temps de lecture : 10 min

Violation de donnees personnelles : ce qu'il faut faire dans les 72 heures

Un ordinateur portable vole dans une voiture, un email de facturation envoye au mauvais destinataire, un site marchand pirate pendant la nuit : ce sont, dans les faits, les trois scenarios les plus frequents de « violation de donnees personnelles » rencontres par les TPE et PME. Le RGPD ne distingue pas selon la taille de l'entreprise : des la connaissance de l'incident, un compteur de 72 heures se declenche pour decider s'il faut notifier la CNIL, et eventuellement prevenir directement les personnes concernees. Ce guide detaille, etape par etape, ce que dit precisement le texte et ce qu'il faut faire concretement.

Sommaire

Qu'est-ce qu'une violation de donnees au sens du RGPD ?

L'article 4.12 du RGPD definit la violation de donnees personnelles comme « une violation de la securite entrainant, de maniere accidentelle ou illicite, la destruction, la perte, l'alteration, la divulgation non autorisee de donnees a caractere personnel transmises, conservees ou traitees d'une autre maniere, ou l'acces non autorise a de telles donnees ». Cette definition est volontairement large : elle couvre aussi bien un piratage informatique qu' une simple erreur humaine.

Concretement, trois familles de violations sont generalement distinguees. La violation de confidentialite, quand des donnees sont divulguees ou accedees sans autorisation (piratage, email mal adresse, fichier expose publiquement sur un serveur mal configure). La violation de disponibilite, quand des donnees deviennent inaccessibles ou sont detruites (ransomware, panne materielle sans sauvegarde, suppression accidentelle). Et la violation d'integrite, quand des donnees sont modifiees de maniere non autorisee. Un meme incident peut relever de plusieurs categories a la fois : un ransomware, par exemple, rend les donnees indisponibles et constitue souvent aussi un acces non autorise.

Le delai de 72 heures : quand commence-t-il exactement ?

L'article 33 du RGPD impose au responsable de traitement de notifier la violation a l'autorite de controle competente (la CNIL en France) « dans les meilleurs delais et, si possible, 72 heures au plus tard apres en avoir pris connaissance ». Le point de depart n'est donc pas la date de l'incident lui-meme, mais le moment ou l'entreprise en a connaissance, c'est-a-dire lorsqu' elle dispose d'un degre de certitude raisonnable qu'un incident de securite s'est produit et a compromis des donnees personnelles.

Cette nuance compte : un site peut avoir ete compromis un vendredi soir, mais si l'administrateur ne le decouvre que le lundi matin en consultant les journaux d'acces, le compteur de 72 heures demarre le lundi, pas le vendredi. En pratique, cela implique de savoir dater precisement, dans le dossier de notification, le moment exact de la decouverte, et de pouvoir le justifier (horodatage d'un email d'alerte, ticket de support, journal de connexion).

Si l'entreprise ne dispose pas encore de toutes les informations au bout de 72 heures, la CNIL accepte une notification « par phases » : un premier signalement avec les elements disponibles, complete ensuite au fur et a mesure de l'enquete interne. Ne rien notifier en attendant d'avoir un dossier complet est la principale erreur constatee : c'est le depassement du delai qui est sanctionnable, pas le caractere provisoire d'une premiere declaration.

Comment notifier la CNIL, concretement

La CNIL met a disposition un teleservice dedie sur son site (cnil.fr, rubrique « notifier une violation de donnees »), accessible sans compte prealable pour les urgences. Le formulaire demande une description structuree de l'incident : nature de la violation (confidentialite, disponibilite, integrite), categories et volume approximatif de donnees et de personnes concernees, consequences probables pour les personnes, et mesures deja prises ou envisagees pour y remedier et en attenuer les effets eventuels.

La notification CNIL peut etre completee par phases si l'enquete est encore en cours

Il est recommande de designer, avant meme qu'un incident ne survienne, une personne responsable en interne (le dirigeant lui-meme dans une petite structure) qui saura reunir ces informations rapidement : qui a acces aux journaux techniques, qui contacter chez l'hebergeur ou le prestataire informatique, quel gabarit d'email envoyer aux personnes concernees si necessaire. Improviser cette organisation le jour de l'incident consomme une bonne partie des 72 heures disponibles.

Quand informer directement les personnes concernees

L'article 34 du RGPD ajoute une seconde obligation, distincte de la notification a la CNIL : lorsque la violation est susceptible d'engendrer un risque « eleve » pour les droits et libertes des personnes concernees, celles-ci doivent etre informees directement, dans les meilleurs delais, dans un langage clair et simple. C'est typiquement le cas d'un vol de mots de passe en clair, de coordonnees bancaires, ou de donnees de sante.

Cette obligation ne s'applique pas si le responsable de traitement a mis en place des mesures qui rendent les donnees incomprehensibles pour toute personne non autorisee (par exemple un mot de passe correctement hache, ou une base de donnees entierement chiffree dont la cle n'a pas ete compromise), ou si des mesures ont ete prises immediatement apres l'incident pour que le risque eleve ne soit plus susceptible de se materialiser (reinitialisation forcee de tous les mots de passe concernes, par exemple).

Les premieres actions a mener en interne

Des la decouverte d'un incident suspect, avant meme de savoir s'il faudra notifier, quelques reflexes limitent les degats et facilitent le futur dossier :

Documenter, meme quand on ne notifie pas

L'article 33.5 du RGPD impose de documenter toute violation de donnees, y compris celles qui ne sont finalement pas notifiees a la CNIL parce qu'elles ne presentent pas de risque. Cette documentation doit inclure les faits, les effets et les mesures correctives prises. Elle sert de preuve en cas de controle ulterieur : si la CNIL enquete sur un incident et constate qu'il n'a pas ete documente du tout, l' absence de notification devient beaucoup plus difficile a justifier, meme si la decision de ne pas notifier etait initialement fondee.

Un simple registre interne (date, description, personnes impliquees dans le traitement de l'incident, decision prise et sa justification) suffit pour une petite structure. Il peut etre tenu dans le meme esprit que le registre des traitements exige par l'article 30 du RGPD.

Ce que l'on risque en cas de non-notification

Le defaut de notification d'une violation de donnees a la CNIL, ou une notification tardive et non justifiee, constitue en soi un manquement au RGPD, independamment de la gravite de la violation initiale. L'article 83.4 du RGPD classe ce manquement parmi ceux pouvant donner lieu a une amende administrative allant jusqu'a 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus eleve etant retenu. A titre de comparaison, les manquements les plus graves du RGPD (comme l'absence de base legale pour un traitement) peuvent aller jusqu'a 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Pour une TPE ou une PME, ces plafonds theoriques ne signifient pas des amendes de cet ordre en pratique : la CNIL tient compte de la taille de l'entreprise, de sa bonne foi et des mesures correctives prises. Mais le risque reel, souvent sous- estime, est ailleurs : une violation non notifiee qui finit par etre decouverte (plainte d'un client, signalement externe) aggrave nettement la situation, car elle demontre un defaut de gestion en plus de l'incident initial.

Quatre exemples concrets, pas a pas

Email de facturation envoye au mauvais destinataire. Une seule personne concernee, donnees de contact et montant facture visibles. Risque generalement faible : documentation interne recommandee, notification CNIL rarement necessaire si le destinataire accidentel est identifiable et cooperatif (suppression confirmee de l'email).

Vol d'un ordinateur portable professionnel non chiffre. Contient une base clients avec coordonnees et historique d'achats. Risque eleve car les donnees sont directement accessibles : notification CNIL sous 72h et, selon le volume et la sensibilite des donnees, information des clients concernes.

Attaque par ransomware sur le serveur de l' entreprise. Donnees chiffrees par l'attaquant, rancon demandee. Meme sans preuve d'exfiltration, il s'agit d'une violation de disponibilite : notification CNIL quasi systematique, avec mention explicite de l' absence (ou de la presence) d'indices d'exfiltration dans le dossier.

Faille de securite sur un site e-commerce exposant des comptes clients. Mots de passe stockes en clair ou mal haches, decouverts accessibles depuis l'exterieur. Notification CNIL obligatoire et information directe des clients recommandee, avec reinitialisation forcee immediate de tous les mots de passe concernes pour limiter le risque avant meme la fin de l'enquete.

Preparez votre conformite avant l'incident, pas apres

ConformiteFacile centralise votre registre des traitements et vos preuves de conformite, pour que le jour ou un incident survient, vous n'ayez pas a tout reconstituer dans l'urgence.

Mettre mon site en conformite

Questions frequentes

Faut-il notifier la CNIL pour toute violation de donnees, meme mineure ?

Non. L'article 33 du RGPD prevoit une exception : la notification a la CNIL n'est pas obligatoire si la violation n'est "pas susceptible d'engendrer un risque" pour les droits et libertes des personnes concernees. Par exemple, un fichier chiffre vole sur un ordinateur professionnel, sans que la cle de dechiffrement soit compromise, presente un risque tres limite. En revanche, en cas de doute sur le niveau de risque, la position prudente recommandee par la CNIL est de notifier : l'absence de notification doit pouvoir se justifier et se documenter, exactement comme la notification elle-meme.

Le delai de 72 heures inclut-il les week-ends et jours feries ?

Oui. L'article 33 du RGPD parle d'heures, pas de jours ouvres : le compteur de 72 heures court en continu a partir du moment ou le responsable de traitement a connaissance de la violation, sans interruption le week-end ou un jour ferie. Si le delai ne peut pas etre tenu, la notification doit neanmoins etre transmise a la CNIL le plus vite possible, accompagnee des motifs du retard, plutot que d'attendre d'avoir toutes les informations.

Qui, dans une petite entreprise sans DPO, doit gerer cette notification ?

En l'absence de delegue a la protection des donnees (DPO), c'est le dirigeant de l'entreprise, en tant que responsable de traitement, qui porte cette obligation. Rien n'empeche de confier la redaction technique du dossier a un prestataire informatique ou a un avocat specialise, mais la responsabilite juridique de la notification (et de sa completude) reste celle du dirigeant, pas celle du sous-traitant qui a pu causer l'incident.

Un sous-traitant (hebergeur, prestataire SaaS) qui subit un piratage doit-il notifier lui-meme la CNIL ?

Non, pas directement. L'article 33.2 du RGPD impose au sous-traitant de notifier la violation "sans delai injustifie" au responsable de traitement (l'entreprise cliente), qui reste seul destinataire legal de l'obligation de notification a la CNIL. En pratique, le contrat entre l'entreprise et son prestataire (clause RGPD) doit fixer un delai precis, par exemple 24 heures, pour laisser suffisamment de marge avant l'echeance des 72 heures.

A lire aussi : comment tenir un registre des traitements RGPD et decouvrez nos tarifs pour mettre votre site en conformite.