Guide pratique — RGPD et violation de données
Site piraté, ransomware, e-mail envoyé au mauvais destinataire, base clients accessible en ligne : une violation de données déclenche des obligations précises — notification à la CNIL sous 72 heures, information des personnes si le risque est élevé, documentation obligatoire. La conduite à tenir, étape par étape.
Une violation de données (article 4.12 du RGPD) est toute destruction, perte, altération, divulgation ou accès non autorisé à des données personnelles, accidentelle ou illicite : piratage du site, ransomware, clé USB perdue, e-mail au mauvais destinataire. Si la violation présente un risque pour les droits et libertés des personnes, vous devez la notifier à la CNIL sous 72 heures (article 33), en ligne, avec la nature de la violation, les personnes et données concernées, les conséquences probables et les mesures prises. Si le risque est élevé, vous devez en plus informer les personnes concernées sans délai, en langage clair (article 34). Toute violation — même non notifiée — doit être documentée dans un registre interne (article 33.5). Ne pas notifier expose à une amende jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires (article 83.4).
Le RGPD donne une définition large à l'article 4.12 (règlement européen 2016/679) : une violation de données personnelles est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données.
Trois points à retenir dans cette définition. D'abord, elle couvre aussi bien les actes malveillants (piratage, rançongiciel) que les accidents (erreur humaine, panne) : un e-mail envoyé au mauvais destinataire est une violation au même titre qu'une cyberattaque. Ensuite, elle ne se limite pas à la fuite : la destruction ou la simple indisponibilité des données (un ransomware qui chiffre votre base clients sans l'exfiltrer) en est une aussi. Enfin, il suffit qu'une seule personne soit concernée : pas de seuil minimal.
Concrètement, pour une TPE, les violations les plus fréquentes sont :
Quand une violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, le responsable de traitement doit la notifier à la CNIL au plus tard 72 heures après en avoir pris connaissance (article 33.1). Le délai court week-ends et jours fériés compris : découvrir une fuite un vendredi soir ne repousse pas l'échéance.
Si toutes les informations ne sont pas disponibles dans les 72 heures — c'est fréquent, l'analyse technique prend du temps —, le RGPD autorise une notification en plusieurs phases : vous signalez d'abord l'essentiel, puis vous complétez au fur et à mesure. En revanche, si la notification intervient après 72 heures, elle doit être accompagnée des motifs du retard.
La notification se fait en ligne, via le téléservice de la CNIL (cnil.fr, rubrique « Notifier une violation de données personnelles »). Le contenu exigé est fixé par l'article 33.3 :
Seule exception : si la violation n'est pas susceptible d'engendrer de risque pour les droits et libertés, la notification n'est pas obligatoire. C'est le cas typique d'une clé USB perdue dont les données étaient chiffrées, ou de données déjà anonymisées. En cas de doute, la CNIL recommande de notifier — un excès de prudence n'est jamais sanctionné.
Le seuil est plus élevé que pour la notification à la CNIL : les personnes concernées doivent être informées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34.1). Des données bancaires ou de santé dérobées, des identifiants et mots de passe exposés en clair, des données permettant une usurpation d'identité : on est dans le risque élevé. Un simple prénom sans autre donnée, en général, non.
Quand l'obligation s'applique, l'information doit intervenir dans les meilleurs délais — l'article 34 ne fixe pas de délai chiffré, mais exige la diligence — et en langage clair et simple : pas de jargon juridique. La communication décrit la nature de la violation, les conséquences probables, les mesures prises, et donne un point de contact. En pratique pour une TPE : un e-mail dédié aux personnes concernées, qui explique ce qui s'est passé, ce que vous avez fait, et ce qu'elles peuvent faire (changer leur mot de passe, surveiller leurs comptes).
Trois exceptions dispensent d'informer les personnes (article 34.3) : les données étaient rendues inintelligibles (chiffrement efficace) ; les mesures prises après coup ont fait disparaître le risque élevé ; ou l'information individuelle exigerait des efforts disproportionnés — auquel cas une communication publique (communiqué, annonce sur le site) produisant un effet équivalent suffit.
Références : règlement (UE) 2016/679, articles 4.12, 33 et 34 ; site de la CNIL (cnil.fr), fiches « Violations de données personnelles » et téléservice de notification.
C'est l'obligation la plus souvent oubliée : l'article 33.5 impose de documenter toute violation de données, qu'elle ait été notifiée ou non. Ce registre interne des violations doit consigner les faits, les effets de la violation et les mesures correctives prises — et permettre à la CNIL de vérifier le respect des obligations.
Pour une TPE, un simple document tenu à jour suffit : date de découverte, nature de la violation, données et personnes concernées, analyse du risque (et donc la justification si vous avez décidé de ne pas notifier), actions menées. Ce registre est votre preuve de bonne foi : en cas de contrôle, pouvoir montrer qu'une violation a été détectée, évaluée et traitée change tout — y compris quand la conclusion légitime était « pas de risque, pas de notification ».
Le jour où vous découvrez la violation, l'ordre des opérations compte autant que la vitesse :
Deux précautions complémentaires : si la violation touche des données traitées par un sous-traitant (hébergeur, agence web, prestataire de newsletter), c'est lui qui doit vous alerter — mais la notification à la CNIL reste votre responsabilité. Et conservez les preuves techniques (logs, captures) : elles serviront pour la notification et, le cas échéant, pour un dépôt de plainte.
Le défaut de notification à la CNIL, le défaut d'information des personnes et l'absence de documentation relèvent de l'article 83.4 du RGPD : amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (le montant le plus élevé). C'est le niveau « intermédiaire » des sanctions RGPD — en dessous des 20 millions / 4 % des articles 83.5 et 83.6, mais amplement dissuasif pour une petite structure. Et la CNIL découvre rarement une violation par hasard : c'est le plus souvent une plainte d'un client ou un signalement qui déclenche le contrôle, auquel cas le défaut de notification s'ajoute aux griefs.
Point important : subir une violation n'est pas une faute en soi. Aucun système n'est infaillible, et le RGPD ne sanctionne pas le fait d'être piraté — il sanctionne la mauvaise gestion de la violation (ne rien faire, ne pas notifier, ne pas documenter) et l'absence de mesures de sécurité appropriées en amont (article 32, même plafond de 10 millions / 2 %).
C'est là que la prévention prend tout son sens : chez les TPE, la grande majorité des violations viennent de sites non maintenus — WordPress ou plugins obsolètes, extensions abandonnées, mots de passe faibles. Mettre à jour son CMS, ses plugins et ses mots de passe est le rempart n° 1. Le scan gratuit MonKitLégal vérifie les bases de votre présence en ligne (ce que votre site expose et collecte, traceurs, formulaires) en 2 minutes ; le kit à 9 € génère ensuite la documentation de conformité qui fait aussi la preuve de votre sérieux en cas de contrôle : politique de confidentialité, registre des traitements, mentions légales, bandeau cookies.
Selon l'article 4.12 du RGPD, c'est une violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données. La définition couvre donc bien plus que le piratage : un site WordPress compromis, un ransomware qui chiffre ou exfiltre la base clients, une clé USB perdue, un e-mail envoyé au mauvais destinataire, ou une base de données laissée accessible publiquement sont tous des violations de données. Il suffit qu'une seule personne soit concernée pour que le régime s'applique.
Non. L'article 33 du RGPD n'impose la notification que si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes. Une clé USB perdue mais entièrement chiffrée, ou des données déjà rendues anonymes, n'engendrent en principe pas de risque : pas de notification. En revanche, un fichier clients en clair qui fuit, des identifiants dérobés ou des données de santé exposées présentent un risque : la notification à la CNIL est obligatoire, dans les 72 heures après en avoir pris connaissance. En cas de doute, la CNIL recommande de notifier — et quoi qu'il arrive, la violation doit être documentée dans le registre interne.
En ligne, via le téléservice de notification des violations de données personnelles sur le site de la CNIL (cnil.fr). La notification se fait au plus tard 72 heures après avoir pris connaissance de la violation — week-ends et jours fériés compris. Si toutes les informations ne sont pas encore disponibles dans ce délai, le RGPD autorise une notification en plusieurs phases : on signale d'abord l'essentiel, puis on complète. Le contenu exigé (article 33.3) : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, et les mesures prises ou envisagées pour y remédier.
Oui, si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34 du RGPD) : par exemple des données bancaires, de santé ou des identifiants dérobés en clair. L'information doit alors se faire dans les meilleurs délais, en langage clair et simple, en décrivant la violation, ses conséquences probables et les mesures prises — avec un point de contact pour les questions. Trois exceptions : les données étaient protégées (chiffrement rendant les données inintelligibles), les mesures prises ont fait disparaître le risque élevé, ou l'information exigerait des efforts disproportionnés — auquel cas une communication publique équivalente suffit. Si le risque n'est pas élevé, l'information des personnes n'est pas obligatoire.
L'absence de notification à la CNIL ou d'information des personnes relève de l'article 83.4 du RGPD : une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (le montant le plus élevé). Au-delà de l'amende, la violation non documentée est un manquement en soi : l'article 33.5 impose de documenter toute violation, même non notifiée, pour pouvoir démontrer sa conformité à la CNIL. En pratique, l'autorité découvre souvent la violation à la suite d'une plainte d'un client ou d'un signalement — et le défaut de notification devient alors un grief supplémentaire, facile à établir.
Le scan gratuit liste ce que votre site collecte et expose. Le kit à 9 € génère ensuite politique de confidentialité, registre des traitements, mentions légales, CGU/CGV et bandeau cookies — la documentation qui prouve votre conformité en cas de contrôle.
Analyser mon site gratuitement