GUIDE RGPD · ÉDITION 2026
Violation de données.
72 heures pour agir.
Pas une recommandation. Une obligation légale.
Une violation de données personnelles au sens du RGPD ne se limite pas aux piratages spectaculaires. Un ordinateur perdu, un serveur mal configuré, une base de données accessible sans authentification — tout cela déclenche l'article 33. Ce guide explique quand notifier la CNIL, quoi lui dire exactement, et comment éviter que l'incident devienne aussi une sanction.
Ce que le RGPD appelle une violation de données
L'article 4(12) du RGPD définit la violation comme tout incident de sécurité entraînant — de façon accidentelle ou illicite — la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Trois catégories couvrent la quasi-totalité des cas rencontrés en entreprise.
Un tiers non autorisé a consulté ou copié des données personnelles — piratage, compromission de compte, perte de support physique.
Des données personnelles ont été modifiées, corrompues ou falsifiées sans autorisation de leur responsable de traitement.
Des données personnelles ont été supprimées ou perdues de façon permanente, sans possibilité de restauration.
Cas souvent ignoré : un prestataire subit une violation qui touche des données que vous lui avez confiées. Vous restez responsable de traitement — la notification à la CNIL vous incombe, pas à votre sous-traitant.
Dois-je notifier la CNIL ? La matrice de décision
Toutes les violations ne nécessitent pas une notification à la CNIL. L'obligation dépend du niveau de risque pour les personnes concernées. En cas de doute, la CNIL préconise de notifier — une notification non requise n'est pas sanctionnée, un retard sur une notification obligatoire l'est.
Exemple : chiffrement d'une base de données clients — si l'attaquant n'a pu déchiffrer aucune donnée, le risque est nul. Conserver une trace interne suffit.
Exemple : fuite d'adresses email uniquement, sans données sensibles associées. La notification CNIL est requise mais l'information individuelle des personnes ne l'est pas.
Exemple : données bancaires, de santé, mots de passe, ou volume massif de données clients. Double obligation : notification CNIL (art. 33) ET information des personnes (art. 34).
Ce que la CNIL attend dans votre notification
La notification se fait sur notifications.cnil.fr. Le délai de 72 heures court dès votre prise de connaissance — même si l'investigation n'est pas terminée. Une notification incomplète peut être complétée ultérieurement avec la mention « complément à venir ». Mieux vaut notifier tôt avec ce que vous savez que notifier tard avec des informations complètes.
La CNIL accepte les notifications partielles. Si vous ne connaissez pas le nombre exact de personnes concernées à H+48, notifiez quand même. Le non-respect du délai de 72h est une infraction distincte du fond de la violation et est systématiquement sanctionné.
Quand faut-il prévenir directement les personnes concernées ?
Au-delà de la CNIL, l'article 34 du RGPD impose d'informer directement les personnes dont les données ont été violées — mais uniquement si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. La communication doit intervenir dans les meilleurs délais, sans formulation vague ou technique.
- Données bancaires ou cartes de paiement exposées en clair
- Données de santé ou biométriques volées ou divulguées
- Mots de passe en clair ou facilement déchiffrables
- Données permettant une usurpation d'identité immédiate
- Personnes vulnérables concernées (mineurs, patients, personnes âgées)
- Données chiffrées avec une clé demeurée inaccessible à l'attaquant
- Adresses email uniquement, sans données sensibles associées
- Données rendues anonymes de façon irréversible après l'incident
- Mesures correctives mises en place immédiatement et efficacement
- Risque résiduel évalué faible par le DPO ou un expert juridique
La communication aux personnes doit être claire, en français, sans jargon technique. Elle doit décrire la nature de la violation, ses conséquences probables, et les mesures concrètes que la personne peut prendre pour se protéger. Des modèles prêts à adapter sont disponibles dans notre guide sur le vol de données.
L'échelle des sanctions CNIL — et comment les réduire
La CNIL dispose de deux niveaux de sanctions administratives. Dans les deux cas, les facteurs atténuants — notification rapide, coopération, mesures correctives immédiates — réduisent significativement le montant final. Aucune PME française n'a à ce jour reçu une sanction maximale pour un seul incident bien géré et déclaré.
Non-notification à la CNIL dans les 72h, registre des violations absent, absence de DPO quand obligatoire, mesures de sécurité insuffisantes sans incident grave.
Traitement illicite de données personnelles, absence de base légale, violation des droits des personnes (accès, rectification, effacement), transfert illégal hors Union européenne.
CyberUrgence met en relation avec des experts certifiés capables de préparer et transmettre la notification CNIL, de rédiger le rapport d'incident et d'accompagner la communication aux personnes concernées. Forfait violation de données : 800–2 000 €. Diagnostic de départ gratuit.
Diagnostic initial gratuit — un expert qualifie votre situation en quelques minutes et évalue la criticité. Vous ne payez que si vous décidez de poursuivre.
Diagnostic gratuit