Quand déclarer une violation RGPD à la CNIL ?
Un ordinateur portable volé dans un train, une boîte mail piratée, un fichier clients envoyé au mauvais destinataire : savoir quand déclarer une violation RGPD ne relève pas d’un simple formalisme administratif. Pour une entreprise, les premières heures conditionnent la protection des personnes concernées, la maîtrise du risque réglementaire et la capacité à démontrer qu’elle a réagi avec sérieux.
La bonne question n’est donc pas seulement : « y a-t-il eu un incident informatique ? » Il faut déterminer rapidement si cet incident constitue une violation de données à caractère personnel, quel risque il crée pour les personnes et quelles mesures immédiates doivent être prises. Une erreur d’appréciation peut coûter du temps, fragiliser la relation avec les clients et exposer l’entreprise à un contrôle de la CNIL.
Une violation RGPD ne se limite pas à un piratage
Une violation de données à caractère personnel correspond à une atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles.
Le piratage d’un serveur est le cas le plus visible, mais il est loin d’être le seul. L’envoi d’un tableau de paie au mauvais salarié, la perte d’une clé USB non chiffrée, l’accès injustifié d’un collaborateur aux dossiers clients ou encore l’indisponibilité prolongée de données provoquée par un rançongiciel peuvent entrer dans cette qualification.
Une donnée personnelle n’est pas forcément sensible au sens courant du terme. Un nom, une adresse e-mail professionnelle, un numéro de téléphone, un historique de commande ou une adresse IP peuvent suffire. La gravité de l’incident dépendra ensuite de la nature des données, du nombre de personnes touchées, des destinataires non autorisés et des conséquences concrètes possibles.
Quand déclarer une violation RGPD à la CNIL ?
Le responsable du traitement doit notifier la violation à la CNIL lorsqu’elle est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Cette notification doit intervenir, si possible, dans les 72 heures suivant le moment où l’entreprise a eu connaissance de la violation.
La notification n’est donc pas automatique. Si l’analyse montre que l’incident est peu susceptible de créer un risque pour les personnes, aucune déclaration à la CNIL n’est requise. L’entreprise doit toutefois documenter l’incident, son analyse et les mesures prises. Cette traçabilité est essentielle : en cas de contrôle, elle permet de démontrer que l’absence de notification repose sur une décision motivée et non sur une absence de réaction.
Prenons deux situations. Un e-mail contenant les coordonnées d’un client est adressé par erreur à un prestataire habituel, qui confirme immédiatement la suppression du message sans l’avoir exploité. Selon le contexte, le risque peut être limité. À l’inverse, la transmission d’un fichier contenant des données bancaires, des justificatifs d’identité ou des informations de santé à un tiers non identifié justifiera, dans la plupart des cas, une notification rapide.
Évaluer le risque de façon concrète
L’analyse ne doit pas se limiter au volume de données concernées. Une fuite touchant dix personnes peut être plus grave qu’une erreur portant sur plusieurs centaines d’adresses e-mail, notamment si elle expose des informations médicales, financières, sociales ou relatives à la vie privée.
Il convient d’examiner la facilité avec laquelle les personnes peuvent être identifiées, la sensibilité des données, la vulnérabilité particulière des personnes concernées, les risques de fraude, d’usurpation d’identité, de discrimination ou d’atteinte à la réputation. Il faut aussi tenir compte des mesures de protection déjà en place. Des données efficacement chiffrées, dont la clé n’a pas été compromise, ne présentent pas le même niveau de danger que des fichiers librement accessibles.
L’analyse doit être prudente sans devenir paralysante. Attendre de disposer de toutes les réponses avant de réagir est souvent une erreur. L’entreprise peut notifier la CNIL avec les informations disponibles, puis compléter son dossier au fur et à mesure de l’enquête interne.
Le délai de 72 heures commence dès la connaissance de l’incident
Le délai de 72 heures ne court pas nécessairement à compter de l’instant précis où l’incident technique a eu lieu. Il commence lorsque le responsable du traitement a connaissance d’une violation suffisamment caractérisée pour comprendre qu’il existe une atteinte aux données personnelles.
Cette distinction est importante lors d’une intrusion informatique. Une alerte de sécurité peut nécessiter quelques vérifications. En revanche, lorsque les premiers éléments confirment qu’un accès non autorisé a pu concerner des données personnelles, il faut déclencher sans délai la procédure interne d’évaluation et de notification.
Si la notification intervient après 72 heures, elle reste possible, mais le retard doit être justifié. Une explication vague, telle qu’un manque de disponibilité ou une organisation interne insuffisante, protège rarement l’entreprise. Il est préférable de pouvoir établir une chronologie précise : découverte de l’alerte, mesures de sécurisation, investigations, évaluation du risque, décision de notifier et transmission à la CNIL.
La notification doit permettre à l’autorité de comprendre la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les données touchées, les conséquences probables ainsi que les mesures correctrices engagées. Il faut également indiquer les coordonnées de la personne chargée du suivi du dossier, qu’il s’agisse du délégué à la protection des données ou d’un interlocuteur désigné.
Informer les personnes concernées en cas de risque élevé
La notification à la CNIL et l’information des personnes concernées sont deux obligations distinctes. Lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, l’entreprise doit aussi informer directement les personnes concernées dans les meilleurs délais.
Cette information doit être claire et utile. Elle doit expliquer, en termes accessibles, la nature de l’incident, les conséquences possibles, les mesures déjà prises et les précautions que les personnes peuvent adopter. En présence d’un risque de fraude, par exemple, il peut être pertinent de recommander une vigilance renforcée sur les tentatives d’hameçonnage ou les mouvements inhabituels sur un compte.
Cette communication directe peut ne pas être nécessaire lorsque les données étaient protégées par des mesures rendant leur lecture impossible, lorsque le risque élevé a été écarté par des mesures prises immédiatement, ou lorsque contacter individuellement chaque personne exigerait des efforts disproportionnés. Dans ce dernier cas, une communication publique adaptée peut être envisagée. Ces exceptions doivent être appréciées avec rigueur.
Le rôle du sous-traitant : alerter, sans attendre
Une entreprise n’est pas toujours directement à l’origine de l’incident. Un hébergeur, un prestataire informatique, un éditeur de logiciel, un cabinet comptable ou une agence marketing peut être concerné. Lorsqu’il agit en qualité de sous-traitant, il doit informer le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation.
En pratique, le contrat doit prévoir une procédure opérationnelle : interlocuteurs joignables, délai d’alerte, informations à transmettre, accès aux journaux techniques et coopération lors de l’enquête. Un prestataire qui informe son client trop tard peut compromettre le respect du délai de 72 heures. À l’inverse, le responsable du traitement ne peut pas se retrancher derrière son prestataire pour justifier son inaction.
Il est donc utile de vérifier, avant l’incident, que les contrats de sous-traitance traitent réellement ce sujet. Une clause générale sur la confidentialité ne remplace pas une procédure de gestion de crise précise.
Les premiers réflexes à adopter dans l’entreprise
Face à une suspicion de violation, la priorité est de contenir l’incident : réinitialiser les accès compromis, suspendre les partages concernés, isoler un poste infecté, préserver les preuves et éviter toute destruction de journaux utiles. Il faut ensuite identifier les données concernées et les personnes potentiellement touchées.
L’entreprise doit désigner un décideur et centraliser les informations. Trop souvent, les équipes informatique, commerciale et direction interviennent séparément, ce qui retarde l’analyse et produit des versions contradictoires. Un interlocuteur unique, appuyé si nécessaire par un conseil juridique, permet de cadrer les décisions et les messages externes.
La documentation doit être conservée même lorsqu’aucune notification n’est adressée à la CNIL. Elle doit retracer les faits, les effets possibles, l’évaluation du risque et les mesures correctrices. Ce registre des violations constitue aussi un outil de prévention : il révèle les failles récurrentes, les erreurs humaines et les clauses contractuelles à renforcer.
Préparer la réponse avant que l’incident ne survienne
Une procédure de gestion des violations RGPD n’a pas besoin d’être complexe pour être efficace. Elle doit surtout être connue des équipes et permettre de faire remonter une alerte immédiatement. Les collaborateurs doivent savoir à qui signaler la perte d’un matériel, l’envoi erroné d’un document ou une activité inhabituelle sur une messagerie.
La préparation réduit les hésitations au moment où chaque heure compte. Elle suppose aussi de tenir à jour la cartographie des traitements, les coordonnées des prestataires, les habilitations d’accès et les mesures de sécurité réellement appliquées. Un dispositif théorique, jamais testé, rassure peu lorsqu’un client appelle pour savoir si ses données ont été exposées.
Lorsqu’un doute subsiste sur la nécessité de notifier, mieux vaut faire analyser les faits rapidement. Une décision prise dans les premières heures, avec une chronologie fiable et une évaluation juridique claire, protège davantage l’activité qu’une réaction tardive dictée par l’urgence.