RGPD en pratique · Épisode #1
Art. 33 et 34 du RGPD · CNIL · Lignes directrices du CEPD
Ces dernières semaines, les courriels d’alerte se multiplient dans nos boîtes de réception. Début novembre 2026, Engie a ainsi confirmé qu’une partie des données de ses clients en France (noms, adresses, courriels, numéros de téléphone et références de contrat) avait fait l’objet d’un accès non autorisé chez un prestataire. Le fournisseur d’énergie indique avoir notifié la CNIL et informé une partie de ses clients par courriel.
Derrière chacun de ces messages se trouve une obligation précise du règlement général sur la protection des données (RGPD). Tout organisme victime d’une violation de données personnelles, quelle que soit sa taille, doit la documenter (art. 33.5 du RGPD) et, selon le niveau de risque, la notifier à la CNIL dans un délai de 72 heures (art. 33.1 du RGPD), voire en informer les personnes concernées (art. 34.1 du RGPD).
L’enjeu n’est pas théorique. Entre mai 2018 et mai 2023, la CNIL a reçu 17 483 notifications de violations. Seule la moitié d’entre elles respectait le délai de 72 heures.
Face à une violation, l’organisme doit d’abord qualifier l’incident (1.), puis, le cas échéant, le notifier à la CNIL (2.) et en informer les personnes concernées (3.). Dans tous les cas, il doit le documenter (4.). À défaut, il s’expose à des sanctions (5.).
1. Qualifier l’incident
Qu’est-ce qu’une violation de données ? Le RGPD la définit comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données (art. 4.12 du RGPD).
Tout incident de sécurité n’est pas pour autant une violation de données : encore faut-il que des données personnelles soient touchées (lignes directrices du CEPD, § 15).
La notion est large. La violation peut être malveillante ou accidentelle, et porter atteinte à trois propriétés des données :
leur confidentialité, lorsque des données sont consultées ou divulguées sans autorisation (piratage, courriel envoyé au mauvais destinataire) ;
leur intégrité, lorsque des données sont modifiées sans autorisation ;
leur disponibilité, lorsque des données sont perdues ou rendues inaccessibles, par exemple par un rançongiciel ou une suppression accidentelle sans sauvegarde.
La CNIL cite notamment la suppression accidentelle de dossiers médicaux non sauvegardés, la perte d’une clé USB non chiffrée contenant une base clients, ou la modification malveillante de notes d’élèves.
Le CEPD précise qu’une attaque par rançongiciel constitue une violation même lorsqu’une sauvegarde permet de restaurer les données : l’intrusion impose de vérifier si elles ont été consultées ou copiées (lignes directrices du CEPD, § 23). Une indisponibilité temporaire doit, elle aussi, être inscrite au registre (art. 33.5 du RGPD).
Évaluer le niveau de risque. Une fois l’incident qualifié, l’organisme doit évaluer, au cas par cas, le risque qu’il fait peser sur les droits et libertés des personnes. La CNIL retient plusieurs critères : le type de violation, la nature et le volume des données, la facilité d’identification des personnes, la gravité des conséquences possibles, la vulnérabilité des personnes (par exemple des mineurs) et leur nombre.
Le CEPD souligne que des données anodines prises isolément deviennent plus sensibles une fois combinées : un nom, une adresse, un numéro de téléphone et des références de contrat suffisent à rendre crédible une tentative d’hameçonnage (lignes directrices du CEPD, § 108 et 109). En cas de doute, il recommande de notifier (§ 119).
De cette évaluation dépendent les obligations de l’organisme :
pas de risque : inscription au registre interne des violations (art. 33.5 du RGPD) ;
risque : inscription au registre et notification à la CNIL dans les 72 heures (art. 33.1 du RGPD) ;
risque élevé : inscription au registre, notification à la CNIL dans les 72 heures et information des personnes concernées dans les meilleurs délais (art. 34.1 du RGPD).
Certaines violations ne présentent en principe aucun risque, selon la CNIL : données déjà publiques, données supprimées puis immédiatement restaurées, ou données chiffrées avec une clé sûre et non compromise, dont une copie de sauvegarde existe.
2. Notifier la CNIL dans les 72 heures
Le principe. En cas de violation présentant un risque pour les droits et libertés des personnes, le responsable de traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (art. 33.1 du RGPD). Lorsque la notification intervient après ce délai, elle doit être accompagnée des motifs du retard (art. 33.1 du RGPD).
Le point de départ du délai. Selon la CNIL, le délai court à partir du moment où l’organisme a une certitude raisonnable qu’un incident de sécurité a affecté des données personnelles. Le temps consacré aux premières investigations n’est pas décompté, à condition que celles-ci soient menées rapidement. Constituent par exemple une prise de connaissance la découverte de la perte d’une clé USB, la réception d’une preuve envoyée par un tiers ou la vérification de la revendication d’un cybercriminel affirmant avoir dérobé des données. À l’inverse, l’organisme qui tarde à réagir alors que la violation est manifeste peut être regardé comme ne l’ayant pas notifiée (lignes directrices du CEPD, § 40).
Notifier sans attendre de tout savoir. Il n’est pas nécessaire de connaître toute l’ampleur de la violation pour notifier : les informations peuvent être communiquées de manière échelonnée, sans autre retard indu (art. 33.4 du RGPD). La CNIL distingue ainsi une notification initiale, à effectuer si possible dans les 72 heures, et une notification complémentaire, une fois les informations supplémentaires disponibles. Dans son bilan de cinq années de RGPD, elle relève d’ailleurs que l’attente de conclusions définitives des experts est l’une des principales causes de notification tardive.
Si l’enquête révèle finalement qu’aucune violation n’a eu lieu, l’organisme peut en informer la CNIL et demander que sa notification soit modifiée en ce sens. Notifier un incident qui ne constituait pas une violation n’expose à aucune sanction (lignes directrices du CEPD, § 60).
Le contenu de la notification. La notification doit au moins :
décrire la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d’enregistrements concernés (art. 33.3.a du RGPD) ;
communiquer le nom et les coordonnées du délégué à la protection des données (DPO) ou d’un autre point de contact (art. 33.3.b du RGPD) ;
décrire les conséquences probables de la violation (art. 33.3.c du RGPD) ;
décrire les mesures prises ou envisagées pour remédier à la violation, y compris, le cas échéant, pour en atténuer les éventuelles conséquences négatives (art. 33.3.d du RGPD).
Comment notifier. La notification s’effectue en ligne, via le service de notification des violations de données personnelles de la CNIL. La CNIL met à disposition un formulaire préparatoire, qui reprend les étapes de la notification et permet de rassembler les informations à l’avance. Ce service est réservé aux responsables de traitement : les particuliers qui souhaitent se plaindre d’une violation doivent passer par le service de plainte en ligne.
À réception, la CNIL examine la notification. Elle peut clôturer le dossier, notamment lorsque la violation ne présente pas de risque ou que les personnes ont été correctement informées. Elle peut aussi revenir vers l’organisme avec des conseils ou des questions, voire lui ordonner d’informer les personnes concernées (art. 58.2.e du RGPD).
Lorsque la violation survient chez un prestataire. Le sous-traitant doit notifier au responsable de traitement toute violation dans les meilleurs délais après en avoir pris connaissance (art. 33.2 du RGPD). Il n’a pas à évaluer le risque au préalable : cette évaluation revient au responsable de traitement, qui est en principe réputé avoir pris connaissance de la violation dès l’alerte de son prestataire. C’est donc à partir de cette alerte que court son propre délai de 72 heures (lignes directrices du CEPD, § 44). Lorsque le même incident touche plusieurs clients, le prestataire doit tous les prévenir (§ 47). Le responsable de traitement peut confier la notification à son prestataire, mais il en reste responsable.
Dans une fiche publiée en mai 2026, la CNIL précise que l’indisponibilité d’un service causée par une cyberattaque chez un prestataire constitue déjà, pour ses clients, une violation de disponibilité à notifier. La confirmation ultérieure d’une fuite de données vient alors compléter la notification initiale.
Les responsables conjoints. Lorsque plusieurs organismes déterminent ensemble les finalités et les moyens du traitement, leur accord doit préciser celui qui se charge des notifications (art. 26.1 du RGPD ; lignes directrices du CEPD, § 42).
Les traitements transfrontaliers. Lorsque le traitement est transfrontalier, la notification est adressée à l’autorité de contrôle chef de file (art. 56.1 du RGPD), qui n’est pas nécessairement la CNIL, même si des personnes résidant en France sont concernées.
3. Informer les personnes concernées
Le principe. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le responsable de traitement doit également les en informer, dans les meilleurs délais (art. 34.1 du RGPD). En cas de doute, la CNIL indique pouvoir être consultée sur l’opportunité de cette information. Si elle estime le risque élevé, elle peut d’ailleurs exiger que les personnes soient informées (art. 34.4 du RGPD).
Le contenu de l’information. La communication décrit, en des termes clairs et simples, la nature de la violation. Elle contient au moins les coordonnées du DPO ou d’un autre point de contact, la description des conséquences probables de la violation et celle des mesures prises ou envisagées pour y remédier (art. 34.2 et 33.3.b, c et d du RGPD).
La CNIL recommande d’y ajouter des conseils pratiques permettant aux personnes de se protéger : changer leurs mots de passe, vérifier les données de leurs comptes, conserver leurs propres sauvegardes. Lorsque des coordonnées ont été exposées, il est également utile de les mettre en garde contre les tentatives d’hameçonnage qui pourraient s’en servir.
Le canal d’information. L’information doit prendre la forme d’un message dédié, et non d’une lettre d’information ou d’un message habituel. Un communiqué de presse ou un article de blog ne suffit pas : il faut privilégier un contact direct (courriel, SMS, courrier, bannière visible sur le site), voire combiner plusieurs canaux. L’organisme doit aussi se méfier d’un canal compromis par la violation, que le pirate pourrait utiliser pour se faire passer pour lui (lignes directrices du CEPD, § 89 à 92).
Le calendrier. En cas de risque immédiat, par exemple d’usurpation d’identité, les personnes peuvent être informées avant même la CNIL (lignes directrices du CEPD, § 59). À l’inverse, l’information peut être différée à la demande des autorités répressives, le temps de ne pas entraver leur enquête (considérant 88 du RGPD).
Les exceptions. L’information individuelle n’est pas requise dans trois cas :
les données étaient rendues incompréhensibles pour toute personne non autorisée, notamment par un chiffrement dont la clé n’a pas été compromise (art. 34.3.a du RGPD) ;
des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se matérialiser, par exemple la réinitialisation de mots de passe dérobés avant toute utilisation (art. 34.3.b du RGPD) ;
l’information exigerait des efforts disproportionnés. Elle est alors remplacée par une communication publique ou une mesure similaire permettant une information aussi efficace, comme un avis publié sur le site de l’organisme (art. 34.3.c du RGPD).
4. Documenter chaque violation
Le registre des violations. Le responsable de traitement doit documenter toute violation de données, y compris celles qu’il n’a pas notifiées. Cette documentation indique les faits concernant la violation, ses effets et les mesures prises pour y remédier, et doit permettre à la CNIL de vérifier le respect de ses obligations (art. 33.5 du RGPD).
Selon la CNIL, le registre précise notamment :
la nature de la violation ;
les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
les conséquences probables ;
les mesures prises ou envisagées ;
le cas échéant, les raisons pour lesquelles la violation n’a pas été notifiée à la CNIL ou aux personnes.
La CNIL indique que le récapitulatif de la notification effectuée en ligne peut servir de documentation interne.
Le CEPD recommande d’y consigner aussi le raisonnement ayant conduit à chaque décision, en particulier celle de ne pas notifier (lignes directrices du CEPD, § 125). Le registre peut être intégré au registre des activités de traitement (art. 30 du RGPD), à condition que les violations y soient clairement identifiables.
Anticiper. La documentation se prépare avant l’incident. Une procédure interne de gestion des violations, qui désigne les personnes à alerter, l’équipe chargée de l’évaluation et le circuit de décision, permet de gagner un temps précieux sur le délai de 72 heures. Les contrats conclus avec les prestataires doivent également prévoir leur assistance au responsable de traitement pour respecter ses obligations en matière de sécurité et de violations de données (art. 28.3.f du RGPD), ainsi que leur obligation d’alerte (art. 33.2 du RGPD).
5. Les risques en cas de manquement
Des sanctions administratives. Le manquement aux obligations de sécurité (art. 32 du RGPD), de notification (art. 33 du RGPD) et d’information des personnes (art. 34 du RGPD) est passible d’une amende administrative pouvant atteindre 10 millions d’euros ou, pour une entreprise, 2 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (art. 83.4.a du RGPD). La CNIL indique se montrer plus sévère lorsque la négligence ou la volonté de dissimuler sont manifestes.
La CNIL peut aussi ordonner au responsable de traitement de communiquer la violation aux personnes concernées (art. 58.2.e du RGPD). Son contrôle peut enfin s’étendre, au-delà de la violation elle-même, à la sécurité générale du traitement.
La violation révèle souvent un défaut de sécurité. En pratique, une violation conduit fréquemment la CNIL à examiner les mesures de sécurité en place avant l’incident (art. 32 du RGPD). Dans son bilan de cinq années de RGPD, elle relève que plus de la moitié des violations notifiées résultent d’un piratage, au premier rang desquels les rançongiciels puis l’hameçonnage. Elle rappelle à cette occasion quelques mesures essentielles : intégrer la sécurité dès la conception des projets, appliquer régulièrement les mises à jour de sécurité et former les équipes aux risques cyber.
En cas de cyberattaque. La CNIL conseille également de déposer plainte auprès de la police ou de la gendarmerie et de conserver les éléments techniques utiles à l’enquête. Les victimes peuvent être accompagnées par le dispositif public 17Cyber.
La checklist en cas de violation
Une procédure interne de gestion des violations existe, avec les personnes à alerter et le circuit de décision.
Les contrats avec les prestataires prévoient leur alerte rapide et leur assistance en cas de violation (art. 28.3.f et 33.2 du RGPD).
Dès la prise de connaissance ou l’alerte du prestataire, l’heure de début du délai de 72 heures est consignée (art. 33.1 du RGPD).
L’incident est qualifié : confidentialité, intégrité ou disponibilité (art. 4.12 du RGPD).
Le niveau de risque pour les personnes est évalué et motivé.
En cas de risque, la CNIL est notifiée dans les 72 heures, même avec des informations partielles, puis la notification est complétée (art. 33.1 et 33.4 du RGPD).
En cas de risque élevé, les personnes sont informées par un message dédié, en des termes clairs, avec des conseils pour se protéger (art. 34.1 et 34.2 du RGPD).
La violation est inscrite au registre, y compris lorsqu’elle n’est pas notifiée (art. 33.5 du RGPD).
Les mesures correctives sont mises en œuvre et documentées (art. 32 du RGPD).
Sources
Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) : art. 4.12 ; art. 26.1 ; art. 28.3.f ; art. 30 ; art. 32 ; art. 33.1 à 33.5 ; art. 34.1 à 34.4 ; art. 56.1 ; art. 58.2.e ; art. 83.4.a ; considérant 88
CNIL, « Notifier une violation de données personnelles », service en ligne
CNIL, « Violations de données personnelles : les règles à suivre »
CNIL, « Quand faut-il notifier une violation de données à la CNIL ? »
CNIL, « Violations de données personnelles : bilan de 5 années de RGPD », 27 mars 2024
CNIL, « Cyberattaque : le sous-traitant au centre de la crise », 27 mai 2026
Pour aller plus loin et sécuriser vos pratiques face aux exigences du RGPD, à travers notre expertise nous vous accompagnons dans la gestion de vos violations de données, de leur qualification à leur notification, ainsi que dans la prévention des risques liés aux données personnelles.