Une violation de données RGPD doit être notifiée à la CNIL dans les 72 heures après que vous en avez pris connaissance, sauf si elle ne présente aucun risque pour les personnes concernées. Le délai court dès la découverte, pas à la fin de l’enquête : une notification partielle envoyée à temps vaut mieux qu’un dossier complet envoyé trop tard.
Chaque semaine apporte son lot de fuites annoncées par des éditeurs, des plateformes cloud ou des prestataires. Pour une PME, la question n’est donc pas de savoir si un incident touchera un jour des données personnelles, mais de savoir qui décide, en moins de trois jours, de notifier ou non, et sur quelle base.
Ce que le RGPD appelle une violation de données
L’article 33 du RGPD vise toute faille de sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles. La définition est plus large que le seul vol de fichiers :
- Atteinte à la confidentialité : une boîte mail compromise, un export clients envoyé au mauvais destinataire, un partage cloud resté public.
- Atteinte à la disponibilité : un ransomware qui chiffre le serveur de paie, même si aucune donnée n’a quitté l’entreprise.
- Atteinte à l’intégrité : des RIB fournisseurs modifiés dans l’ERP par un attaquant.
Un point souvent mal compris : une indisponibilité temporaire reste une violation. Le ransomware le plus « propre », sans exfiltration démontrée, doit donc passer par la même grille d’analyse.
Le délai de 72 heures démarre à la prise de connaissance
Le règlement fixe le point de départ au moment où l’entreprise « en a pris connaissance », c’est-à-dire lorsqu’elle a un degré raisonnable de certitude qu’un incident de sécurité a touché des données personnelles. Les lignes directrices du Comité européen de la protection des données admettent une courte phase d’investigation pour établir les faits, mais pas une attente indéfinie.
Trois situations reviennent souvent en PME :
- L’alerte arrive un vendredi soir : les 72 heures incluent le week-end. Le délai n’est pas exprimé en jours ouvrés.
- Le prestataire découvre l’incident : votre infogérant ou votre éditeur SaaS, sous-traitant au sens du RGPD, doit vous prévenir « dans les meilleurs délais ». C’est vous, responsable du traitement, qui notifiez la CNIL.
- Les faits restent flous : le texte prévoit explicitement une notification par étapes. Vous déclarez ce que vous savez, puis vous complétez.
Une notification hors délai reste possible, mais elle doit être accompagnée des motifs du retard. Ne rien envoyer en espérant que l’incident reste discret est la pire option : le manquement aux articles 33 et 34 relève des amendes prévues à l’article 83, distinctes de celles liées à l’incident lui-même.
Notifier ou non : la grille de décision en trois niveaux
Le RGPD ne demande pas de tout notifier. Il demande d’évaluer le risque pour les personnes, pas pour l’entreprise.
Aucun risque probable : documenter seulement
Exemple : un ordinateur portable volé dont le disque est chiffré et dont la clé n’a pas été compromise. Aucune notification n’est exigée, mais l’incident doit être consigné dans votre registre des violations, avec le raisonnement qui a conduit à ne pas notifier. C’est ce registre que la CNIL demandera en cas de contrôle.
Risque : notifier la CNIL
Exemple : une boîte mail commerciale compromise contenant des coordonnées et des échanges clients. La notification se fait en ligne via le téléservice de la CNIL. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements, les conséquences probables, les mesures prises et le contact de votre DPO ou référent.
Risque élevé : informer aussi les personnes
Exemple : une fuite de données de santé, de RIB, de numéros de sécurité sociale ou d’identifiants en clair. L’article 34 impose alors d’informer directement les personnes concernées, en termes clairs, avec les mesures qu’elles peuvent prendre (changer un mot de passe, surveiller leurs prélèvements, se méfier des appels frauduleux). Cette information n’est pas exigée si les données étaient chiffrées de façon robuste, si des mesures ultérieures ont supprimé le risque élevé, ou si elle demanderait des efforts disproportionnés, auquel cas une communication publique la remplace.
La page de la CNIL sur les violations de données détaille des exemples concrets pour chaque niveau. En cas de doute entre deux niveaux, retenez le plus élevé : une notification jugée inutile n’est pas sanctionnée, un silence l’est.
RGPD et NIS2 : deux notifications, deux destinataires
Si votre entreprise entre dans le périmètre NIS2, un même incident peut déclencher deux obligations parallèles : la notification RGPD à la CNIL, qui protège les personnes, et la notification NIS2 à l’ANSSI, qui protège la continuité du service. Les délais, les formulaires et les destinataires diffèrent. Nous avons détaillé le calendrier propre à NIS2 dans notre article sur les délais de notification d’incident NIS2.
En pratique, la même équipe doit piloter les deux : c’est elle qui détient les faits techniques. Séparer les dossiers entre le juridique et l’informatique est la cause la plus fréquente de délais dépassés.
Préparer la décision avant l’incident
Les 72 heures sont trop courtes pour découvrir, le jour même, qui est le DPO, où sont stockées les données clients et quel prestataire héberge la paie. Tout ce qui peut être décidé à froid doit l’être. Votre plan de réponse à incident en une page est le bon endroit pour inscrire ces réponses.
La détection compte autant que la procédure : le délai démarre quand vous savez, et une intrusion découverte trois semaines après les faits réduit d’autant votre capacité à limiter les dégâts pour les personnes concernées.
Que faire maintenant
- Désignez nommément la personne qui décide de notifier, et sa suppléante pour les week-ends et les congés.
- Créez un registre des violations, même vide, avec les colonnes date, faits, données touchées, évaluation du risque et décision.
- Vérifiez dans vos contrats d’infogérance et SaaS le délai sous lequel le prestataire doit vous signaler un incident.
- Cartographiez les traitements sensibles (paie, santé, RIB, pièces d’identité) et l’endroit où ils sont hébergés.
- Testez une fois par an le scénario d’une boîte mail compromise, jusqu’au brouillon de notification CNIL.
Si votre entreprise entre dans le périmètre NIS2, cette double obligation de notification fait partie du socle à préparer : voir notre guide de mise en conformité NIS2 pour PME et ETI.
Ce qu’il faut retenir
- Le délai de 72 heures court depuis la prise de connaissance, week-ends compris.
- Un ransomware sans exfiltration reste une violation de données à analyser.
- Toute violation se documente dans le registre, même lorsqu’elle n’est pas notifiée.
- Le risque élevé pour les personnes impose de les informer directement.
- RGPD et NIS2 peuvent exiger deux notifications distinctes pour un même incident.