Que faire en cas de violation de données personnelles ?

Qu'est-ce qu'une violation de données ?

L'article 4 du RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données. La notion est large : elle ne se limite pas au piratage. Un rançongiciel qui chiffre le serveur, un mail contenant des bulletins de paie envoyé à la mauvaise personne, la perte d'une clé USB non chiffrée, un salarié qui consulte des dossiers sans raison ou la destruction accidentelle d'une base sans sauvegarde sont des violations.

Les premières heures : contenir et analyser

Dès qu'un incident est détecté, la priorité est de limiter ses effets : isoler les postes infectés, couper un accès compromis, changer les mots de passe, demander au destinataire d'un envoi erroné de supprimer le message, contacter le prestataire informatique. Il faut ensuite rassembler les faits : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises. Le dispositif national cybermalveillance.gouv.fr accompagne les victimes d'actes de cybermalveillance, et il est recommandé de déposer plainte en cas d'attaque.

Notifier la CNIL sous 72 heures

L'article 33 impose au responsable du traitement de notifier la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Le délai court à partir du moment où l'organisme a une certitude raisonnable qu'un incident de sécurité a compromis des données personnelles. La notification se fait en ligne sur le site de la CNIL ; si toutes les informations ne sont pas disponibles, une notification initiale peut être complétée ensuite, et un retard doit être justifié. Le sous-traitant, de son côté, doit alerter son client dans les meilleurs délais.

Que contient la notification ?

Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact, les conséquences probables et les mesures prises ou envisagées pour remédier à la violation et en atténuer les effets. La CNIL peut ensuite demander des précisions, recommander des mesures ou, dans les cas graves, ouvrir un contrôle.

Informer les personnes concernées

Lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes, par exemple la divulgation de mots de passe, de données bancaires, de données de santé ou de documents d'identité, le responsable doit la leur communiquer sans délai (article 34), en termes clairs, en indiquant les conséquences probables, les mesures prises et les précautions qu'elles peuvent elles-mêmes prendre : changer de mot de passe, surveiller leurs comptes, se méfier des tentatives d'hameçonnage. Cette communication n'est pas nécessaire si les données étaient chiffrées de façon robuste, si des mesures ultérieures ont fait disparaître le risque élevé, ou si elle exigerait des efforts disproportionnés, auquel cas une communication publique est faite.

Le registre des violations

Toute violation, même mineure et même non notifiée, doit être documentée en interne (article 33, paragraphe 5) : faits, effets, mesures prises. Ce registre permet à la CNIL de vérifier le respect de l'obligation et à l'organisme d'identifier les incidents récurrents. Il est distinct du registre des traitements et doit être conservé de façon sécurisée.

Une évolution en discussion

Le projet européen de simplification de 2025 propose de relever le seuil de notification aux seules violations présentant un risque élevé, d'allonger le délai et de créer un point d'entrée unique pour les incidents relevant de plusieurs textes. Le Conseil de l'Union a retenu l'allègement de la notification dans sa position du 21 octobre 2026, mais aucun texte n'est adopté à la date de vérification : la règle des 72 heures pour toute violation présentant un risque reste applicable. La CNIL a d'ailleurs indiqué avoir reçu en 2025 un nombre record de notifications de violations.

Prévenir plutôt que guérir

La meilleure façon de gérer une violation est de s'y être préparé : une fiche réflexe indiquant qui prévenir et comment, des sauvegardes déconnectées et testées, le chiffrement des postes nomades, la double authentification et une sensibilisation des équipes au hameçonnage réduisent fortement la probabilité et la gravité des incidents. Les mesures recommandées sont rassemblées dans le guide de la sécurité des données.

Les trois types de violation

Le RGPD définit la violation de données comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à de telles données. Les lignes directrices européennes distinguent trois catégories. La violation de confidentialité correspond à une divulgation ou un accès non autorisé : piratage d'une base, courriel envoyé au mauvais destinataire, dossier consulté par un salarié non habilité. La violation d'intégrité correspond à une modification non autorisée : altération de données par un logiciel malveillant ou par une erreur de manipulation. La violation de disponibilité correspond à une perte d'accès ou une destruction : rançongiciel qui chiffre les fichiers, panne sans sauvegarde, perte d'un ordinateur contenant la seule copie des données. Une même attaque peut combiner plusieurs catégories, comme un rançongiciel qui chiffre les données et les exfiltre.

Des exemples pour savoir quand notifier

Les lignes directrices 9/2022 du CEPD proposent de nombreux exemples. Le vol d'un ordinateur portable dont le disque est chiffré avec un algorithme robuste, alors que la clé n'est pas compromise et qu'une sauvegarde existe, ne présente généralement pas de risque et n'a pas à être notifié, mais doit être inscrit au registre interne. Un rançongiciel qui chiffre les données d'un cabinet médical sans sauvegarde disponible présente un risque élevé : notification à la CNIL et information des patients. L'envoi par erreur d'un courriel à une liste de destinataires visibles en copie, révélant les adresses de clients d'un service sensible, peut justifier une notification et une information. La publication accidentelle d'un fichier de salariés sur un site internet, même retiré rapidement, appelle une notification si le fichier a pu être consulté ou indexé.

Évaluer le risque pour les personnes

La décision de notifier dépend du risque pour les droits et libertés des personnes, apprécié en fonction de plusieurs facteurs : le type de violation, la nature et la sensibilité des données, la facilité d'identification des personnes, la gravité des conséquences possibles, comme une usurpation d'identité, une fraude financière, une discrimination ou une atteinte à la réputation, les caractéristiques des personnes, notamment leur vulnérabilité, le nombre de personnes concernées et les caractéristiques du responsable, par exemple un établissement de santé. La CNIL et l'ENISA ont publié des méthodes d'évaluation de la gravité qui aident à objectiver cette appréciation. En cas de doute, la notification reste la voie la plus prudente.

La procédure interne de gestion des violations

Une violation se gère mieux lorsqu'elle a été anticipée. Une procédure écrite définit qui alerter en cas d'incident, comment le qualifier, qui décide de la notification, comment rédiger la notification et l'information des personnes, et comment documenter l'ensemble. Elle désigne une cellule de crise restreinte, avec le dirigeant, le délégué ou le référent, le responsable informatique et, si nécessaire, le service juridique et la communication. Elle liste les contacts utiles : prestataire informatique, assureur cyber, avocat, plateforme cybermalveillance.gouv.fr, forces de l'ordre pour le dépôt de plainte. Une fiche réflexe d'une page, affichée et connue de tous, rappelle aux salariés de signaler immédiatement tout incident suspect, sans chercher à le résoudre seuls.

Porter plainte et prévenir son assurance

En cas d'acte malveillant, comme une intrusion ou un rançongiciel, il est recommandé de déposer plainte auprès de la police ou de la gendarmerie, ou en ligne pour certaines infractions. Le dépôt de plainte est d'ailleurs une condition d'indemnisation par l'assureur depuis la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur, qui subordonne le remboursement des pertes liées à une cyberattaque à une plainte déposée dans les 72 heures suivant la connaissance de l'atteinte. Les autorités déconseillent fortement de payer une rançon, qui ne garantit ni la récupération des données ni leur suppression par les attaquants, et finance des organisations criminelles.

Les sanctions liées aux violations

Les violations de données sont à l'origine de nombreuses sanctions de la CNIL. Celle-ci ne sanctionne pas la violation en elle-même, puisqu'aucun système n'est invulnérable, mais les manquements qui l'ont rendue possible ou qui ont aggravé ses conséquences : mots de passe faibles ou stockés en clair, absence de chiffrement, défaut de mise à jour, absence de journalisation, notification tardive ou absente, information insuffisante des personnes. En janvier 2026, la CNIL a ainsi sanctionné Free Mobile et Free à hauteur de 27 et 15 millions d'euros à la suite d'une fuite massive de données d'abonnés, en retenant notamment des insuffisances dans les mesures de sécurité. Ces décisions rappellent que la qualité de la réponse à l'incident compte autant que la prévention.

Le retour d'expérience

Une fois la crise passée, le retour d'expérience permet de tirer les leçons de l'incident. Il analyse la cause racine, le délai de détection, l'efficacité de la réponse et les mesures à mettre en œuvre pour éviter qu'il ne se reproduise. Il donne lieu à un plan d'action, suivi par la direction, et à une mise à jour de la procédure de gestion des violations et de l'analyse des risques. Partager ce retour d'expérience avec les équipes, sans chercher de bouc émissaire, renforce la culture de sécurité et encourage les signalements rapides lors des incidents futurs.

Le contenu de la notification en détail

La notification à la CNIL se fait en ligne, par un téléservice dédié. Elle décrit la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements, le nom et les coordonnées du délégué ou d'un autre point de contact, les conséquences probables de la violation et les mesures prises ou envisagées pour y remédier et en atténuer les effets. Lorsque toutes les informations ne sont pas disponibles dans les 72 heures, ce qui est fréquent pour une attaque complexe, l'organisme peut procéder à une notification initiale, puis la compléter au fur et à mesure de l'enquête. Si la notification intervient au-delà de 72 heures, elle doit être accompagnée des motifs du retard. La CNIL peut ensuite demander des précisions, recommander des mesures complémentaires ou, dans les cas graves, ouvrir un contrôle.

Rédiger l'information des personnes

Lorsque la violation présente un risque élevé, l'article 34 impose d'informer les personnes concernées dans les meilleurs délais, en des termes clairs et simples. Le message décrit la nature de la violation, indique le point de contact, expose les conséquences probables et les mesures prises, et surtout donne des conseils concrets pour se protéger : changer son mot de passe, se méfier des messages frauduleux qui pourraient exploiter les données volées, surveiller ses comptes bancaires, faire opposition à un moyen de paiement. L'information doit être individuelle, par courriel, courrier ou message, sauf si cela exige des efforts disproportionnés, auquel cas une communication publique est possible. Un message évasif ou rassurant à l'excès, qui minimise l'incident, peut être relevé comme une information insuffisante.

Les violations chez un sous-traitant

Lorsque la violation survient chez un prestataire, celui-ci doit en informer le responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Le délai de 72 heures du responsable court à partir du moment où il a lui-même connaissance de la violation, c'est-à-dire lorsqu'il est raisonnablement certain qu'un incident de sécurité a compromis des données personnelles. Le contrat de sous-traitance doit donc fixer un délai d'alerte court et préciser les informations à transmettre. Lorsqu'un prestataire sert de nombreux clients, comme un éditeur de logiciel en ligne, une seule attaque peut concerner des centaines de responsables, qui doivent chacun évaluer le risque et notifier pour leurs propres données.

Le registre interne, même sans notification

L'article 33, paragraphe 5, impose de documenter toute violation, qu'elle soit notifiée ou non : les faits, leurs effets et les mesures prises. Ce registre permet à la CNIL de vérifier le respect de l'obligation de notification et à l'organisme d'identifier des incidents répétitifs révélant une faiblesse. Il mentionne aussi le raisonnement qui a conduit à ne pas notifier une violation jugée sans risque, ce qui protège l'organisme en cas de contestation ultérieure. Un registre vide pendant plusieurs années, dans une structure de taille moyenne, est d'ailleurs un signal d'alerte : il traduit plus souvent une absence de détection qu'une sécurité parfaite.

Les délais à retenir

La gestion d'une violation obéit à plusieurs délais. Le sous-traitant informe le responsable dans les meilleurs délais, souvent fixés contractuellement à 24 ou 48 heures. Le responsable notifie la CNIL dans les 72 heures après en avoir pris connaissance, si la violation présente un risque. Il informe les personnes dans les meilleurs délais en cas de risque élevé. Pour les opérateurs de communications électroniques, un règlement européen de 2013 impose une notification dans les 24 heures. Pour les entités soumises à la directive NIS 2, un signalement d'alerte précoce à l'autorité de cybersécurité est exigé dans les 24 heures pour les incidents importants, suivi d'une notification sous 72 heures, en parallèle des obligations du RGPD. Une même attaque peut ainsi déclencher plusieurs notifications à des autorités différentes.

S'entraîner avant la crise

Les organisations les mieux préparées organisent des exercices de crise, au cours desquels une violation fictive est simulée : rançongiciel, fuite d'un fichier sur internet, courriel envoyé au mauvais destinataire. L'exercice permet de vérifier que chacun connaît son rôle, que les contacts sont à jour, que la décision de notifier peut être prise rapidement et que les modèles de notification et d'information sont prêts. Le guide d'organisation d'un exercice de gestion de crise cyber publié par l'ANSSI propose une méthode accessible, adaptable à une petite structure en quelques heures.