Il y a un moment très particulier dans la vie d’un incident de sécurité : celui où l’on comprend que des données personnelles ont été touchées. Jusque-là, on gérait une panne, une intrusion, un poste compromis. À partir de cet instant précis, un second compteur démarre, distinct du traitement technique de l’incident : celui du RGPD, qui laisse au maximum 72 heures pour notifier la CNIL. Beaucoup d’organisations découvrent l’existence de ce compteur au pire moment, quand il tourne déjà.
La notification de violation de données n’est pas une formalité administrative que l’on traite après avoir éteint l’incendie. C’est une obligation légale au calendrier serré, imbriquée dans la gestion de crise, et dont le non-respect s’ajoute au préjudice initial. Cet article propose une lecture opérationnelle du sujet : qui doit notifier, à partir de quand courent les 72 heures, ce que contient réellement une notification, et comment préparer l’organisation pour ne pas improviser le jour venu.
Notifier une violation à la CNIL en 72h : la règle en une phrase
Un organisme qui prend connaissance d’une violation de données personnelles présentant un risque pour les droits et libertés des personnes concernées doit la notifier à la CNIL dans un délai maximal de 72 heures, et informer en plus les personnes concernées lorsque ce risque est élevé. Cette obligation figure aux articles 33 et 34 du RGPD [1][6], et elle s’applique à tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu’ils traitent des données personnelles.
Le point le plus souvent mal compris tient au déclencheur. Le délai ne part pas de la survenue de l’incident, ni de sa résolution technique : il part de la prise de connaissance de la violation. Un attaquant peut avoir exfiltré une base de données trois semaines avant que l’organisation ne s’en aperçoive ; les 72 heures ne commencent qu’au moment où celle-ci acquiert un degré raisonnable de certitude qu’une violation s’est produite. En contrepartie, on ne peut pas retarder artificiellement ce point de départ : dès qu’on dispose d’éléments suffisants, on est réputé en avoir connaissance.
Ce que le RGPD appelle une violation de données
La définition est plus large que l’image spontanée du piratage. L’article 4.12 du RGPD [1] définit une violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel, ou l’accès non autorisé à de telles données.
Cette définition recouvre trois familles d’atteintes, qu’il est utile de garder en tête pour qualifier vite :
- La violation de confidentialité : des données sont divulguées ou consultées sans autorisation. C’est le cas classique de l’exfiltration, mais aussi de l’envoi d’un fichier au mauvais destinataire ou d’un partage cloud mal configuré.
- La violation d’intégrité : des données sont altérées de manière non autorisée, par exemple lors d’une attaque qui modifie des enregistrements ou d’une corruption malveillante.
- La violation de disponibilité : des données deviennent inaccessibles, temporairement ou définitivement. Un ransomware qui chiffre les serveurs entre dans cette catégorie, tout comme la perte irréversible d’une sauvegarde.
Cette dernière famille surprend souvent : une indisponibilité peut constituer une violation notifiable, même sans vol de données. Un rançongiciel qui paralyse un système de dossiers patients, sans qu’aucune donnée ne soit exfiltrée, reste une violation de disponibilité aux conséquences potentiellement graves. C’est l’une des raisons pour lesquelles la gestion d’un incident de type ransomware doit intégrer d’emblée le volet notification (voir /cybersecurite/ransomware-2026-vecteurs-attaque/).
Toutes les violations ne se notifient pas, mais toutes se documentent
Le RGPD ne demande pas de notifier chaque incident. Le critère est le risque pour les droits et libertés des personnes, et il commande trois régimes distincts [1].
Si la violation ne présente pas de risque pour les personnes concernées, l’organisme n’a pas à la notifier, ni à la CNIL, ni aux personnes. Il doit néanmoins la consigner dans son registre interne des violations.
Si la violation présente un risque, l’organisme doit la documenter au registre et la notifier à la CNIL dans le délai maximal de 72 heures.
Si la violation présente un risque élevé, l’organisme doit la documenter, la notifier à la CNIL, et en plus communiquer la violation aux personnes concernées dans les meilleurs délais, afin qu’elles puissent prendre des mesures de protection.
Toute la difficulté opérationnelle tient à cette évaluation du risque, qui doit être menée rapidement et sur des bases défendables. Les critères pertinents incluent la nature des données (des données de santé ou bancaires pèsent plus lourd que des adresses professionnelles), le volume, la facilité d’identification des personnes, la gravité des conséquences possibles (usurpation d’identité, fraude, atteinte à la réputation), le caractère particulier des personnes touchées (mineurs, personnes vulnérables). Une donnée chiffrée avec des mesures appropriées, dont les clés n’ont pas été compromises, réduit fortement le risque, ce qui rejoint la logique de protection des données elles-mêmes portée par les dispositifs de prévention des fuites (voir /cybersecurite/dlp-prevention-fuites-donnees-entreprise/).
Qui notifie : responsable de traitement et sous-traitant
La répartition des rôles est une source récurrente de confusion, alors qu’elle est nette. C’est le responsable de traitement qui notifie la CNIL. Le sous-traitant n’a pas à notifier l’autorité directement : son obligation est d’alerter le responsable de traitement dans les meilleurs délais dès qu’il a connaissance d’une violation, pour que celui-ci puisse respecter son propre délai [1].
Cette chaîne a des conséquences pratiques fortes. Un hébergeur, un éditeur SaaS ou un prestataire d’infogérance qui subit une compromission ne déclenche pas lui-même la notification de ses clients : il doit les prévenir vite, car chacun d’eux, en tant que responsable de traitement, ne dispose que de 72 heures à compter de sa propre prise de connaissance, laquelle intervient souvent précisément via cette alerte. Le délai d’alerte du sous-traitant doit donc être contractualisé de manière exigeante. Un contrat qui laisse au prestataire un délai flou, ou trop long, transfère mécaniquement le risque de dépassement vers le client.
Pour les architectures modernes où une même donnée transite par plusieurs prestataires, cette cascade d’alertes doit être cartographiée à l’avance. Savoir qui prévient qui, et par quel canal, fait partie des éléments à figer avant l’incident, au même titre que la gestion des identités et des accès qui conditionne la capacité à investiguer (voir /cybersecurite/iam-pam-gestion-identites-2026/).
Ce que contient une notification à la CNIL
La notification s’effectue via un téléservice dédié sur le site de la CNIL [2]. Le RGPD précise le contenu minimal attendu, qui vise à permettre à l’autorité d’apprécier la situation et à l’organisme de démontrer qu’il maîtrise son incident :
- La nature de la violation : type d’atteinte (confidentialité, intégrité, disponibilité), circonstances, origine si connue.
- Les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d’enregistrements de données touchés.
- Les coordonnées du délégué à la protection des données (DPO) ou d’un autre point de contact.
- Les conséquences probables de la violation pour les personnes concernées.
- Les mesures prises ou envisagées pour remédier à la violation et, le cas échéant, en atténuer les effets.
Le mot « approximatif » est important : il n’est pas nécessaire de connaître le décompte exact des personnes touchées pour notifier. Attendre le chiffre définitif est une erreur fréquente qui fait dépasser le délai. Le RGPD admet d’ailleurs explicitement la notification par étapes : on notifie dans les 72 heures avec les éléments connus, en indiquant qu’il s’agit d’une notification initiale, puis on complète au fur et à mesure de l’investigation. Mieux vaut une première notification à temps, complétée ensuite, qu’une notification tardive parce qu’on attendait de tout savoir.
Lorsque la notification intervient au-delà de 72 heures, elle doit être accompagnée des motifs du retard. Un dépassement n’est donc pas automatiquement fautif, mais il doit être justifié, et la CNIL apprécie alors la diligence de l’organisme : moyens de détection, existence d’une procédure, complexité réelle de l’incident.
Le registre des violations : la preuve que l’on oublie
Au-delà de la notification, le RGPD impose de documenter en interne toute violation, y compris celles qui ne sont pas notifiées, dans un registre des violations [1]. Ce registre consigne les faits, les effets et les mesures prises. Il peut être contrôlé par la CNIL pour vérifier le respect des obligations.
Ce document est stratégique et sous-estimé. En contrôle, l’absence de registre, ou un registre vide alors que l’organisation a manifestement connu des incidents, constitue un signal négatif fort. À l’inverse, un registre tenu, montrant que des violations mineures ont été correctement évaluées et écartées de la notification pour absence de risque, démontre la maturité de la procédure. La CNIL recommande d’ailleurs de s’appuyer sur le canevas du formulaire de notification pour structurer cette documentation interne, ce qui en fait un outil unique de gestion de la conformité [1].
Concrètement, chaque entrée du registre gagne à horodater la chronologie complète : moment de survenue estimé, moment de détection, moment de prise de connaissance qualifiée, décision de notifier ou non et son motif, actions correctives. Cette traçabilité est précisément ce qui permet, en cas de contrôle ou de contentieux, de démontrer la bonne foi et la diligence.
Informer les personnes concernées : l’obligation de l’article 34
Notifier la CNIL et informer les personnes touchées sont deux obligations distinctes, qui n’obéissent pas au même seuil. La notification à l’autorité se déclenche dès qu’il existe un risque ; la communication aux personnes, elle, n’est requise que lorsque la violation présente un risque élevé pour leurs droits et libertés [1]. Cette communication doit intervenir dans les meilleurs délais et être rédigée en des termes clairs et simples, décrivant la nature de la violation, les conséquences probables et les mesures que la personne peut prendre pour se protéger.
L’objectif de cette information n’est pas punitif : il est protecteur. Une personne dont l’adresse et le mot de passe ont fuité peut changer ce mot de passe et surveiller ses comptes ; une personne dont les coordonnées bancaires ont été exposées peut faire opposition. Priver les intéressés de cette information, c’est les empêcher de se défendre, ce que le RGPD veut précisément éviter.
Le règlement prévoit toutefois des exceptions à l’obligation d’informer les personnes, même en cas de risque élevé [1]. La communication individuelle n’est pas exigée lorsque les données concernées étaient protégées par des mesures techniques appropriées, en particulier un chiffrement qui les rend incompréhensibles pour tout tiers non autorisé, et que les clés n’ont pas été compromises. Elle ne l’est pas non plus lorsque l’organisme a pris, après la violation, des mesures qui garantissent que le risque élevé ne se matérialisera plus, ou lorsque l’information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique ou une mesure équivalente peut la remplacer.
Ces exceptions illustrent une logique de fond du dispositif : la sécurité des données en amont réduit les obligations en aval. Chiffrer un fichier sensible n’est pas seulement une bonne pratique technique, c’est aussi ce qui peut dispenser, le jour d’une fuite, d’avoir à alerter des milliers de clients. Le raisonnement rejoint celui de la conformité NIS2, qui impose une gestion des risques couvrant la protection de l’information et le signalement des incidents (voir /cybersecurite/nis2-entreprise-guide-2026/). Un même incident peut d’ailleurs relever à la fois de la notification RGPD à la CNIL et d’obligations de signalement sectorielles ou NIS2 vers d’autres autorités, avec des délais et des destinataires différents qu’il faut avoir cartographiés à l’avance pour ne pas en oublier un dans l’urgence.
L’articulation avec la gestion de crise cyber
La notification RGPD ne vit pas dans un couloir séparé : elle s’imbrique dans la gestion de crise. Or les deux logiques peuvent entrer en tension. L’équipe technique veut parfois attendre de comprendre l’intégralité de l’attaque avant de communiquer ; le calendrier réglementaire, lui, impose d’agir sur des informations partielles. Cette tension se gère en amont, dans le dispositif de crise, pas dans l’urgence (voir /cybersecurite/gestion-crise-cyber-pca-pra-entreprise/).
Quelques principes d’organisation limitent le risque de dépassement :
- Un déclencheur clair : définir à l’avance ce qui constitue une « prise de connaissance » et qui a autorité pour la prononcer, afin que le compteur ne démarre pas dans le flou.
- Une cellule qui réunit les bons profils : sécurité, DPO ou juriste, direction, communication. La décision de notifier est autant juridique que technique.
- Un modèle de notification pré-rempli : disposer d’un canevas reprenant les rubriques du téléservice fait gagner des heures décisives.
- Une capacité de détection réelle : sans elle, la prise de connaissance intervient trop tard, et le délai devient intenable. La qualité de la journalisation et de la supervision conditionne directement la tenue des 72 heures.
Ce dernier point relie la conformité RGPD à l’hygiène de sécurité de fond. Le guide d’hygiène informatique de l’ANSSI rappelle l’importance de la journalisation et de la détection des incidents [8], sans lesquelles l’organisation ne peut ni réagir vite, ni prouver ce qu’elle a fait. La résilience face à un ransomware, notamment via des sauvegardes protégées, participe aussi de cette capacité à limiter le risque et donc, parfois, la gravité de la violation (voir /cybersecurite/sauvegarde-immuable-anti-ransomware-entreprise/).
Ce que l’on risque, et pourquoi le sujet monte
Le non-respect des obligations relatives aux violations de données peut faire l’objet de mesures correctrices et de sanctions au titre du RGPD [5]. Mais l’enjeu ne se réduit pas au montant théorique des amendes. La CNIL maintient une activité répressive soutenue : dans son rapport annuel 2023, elle indique avoir prononcé 42 sanctions, dont 36 amendes pour un total de 89 179 500 euros, ainsi que 168 mises en demeure, tout en traitant un nombre record de 16 433 plaintes [4]. Cette activité montre que la conformité n’est pas un sujet abstrait, et que les manquements aux obligations de sécurité et de notification sont examinés.
Le contexte de menace renforce la probabilité de devoir un jour appliquer cette procédure. Les rapports de l’ENISA sur le paysage des menaces confirment que la compromission de données et les attaques de type rançongiciel figurent parmi les menaces majeures pour les organisations européennes [7]. Autrement dit, la question pour un RSSI n’est pas de savoir s’il aura à qualifier une violation, mais quand, et s’il sera prêt à tenir le délai le jour venu.
La bonne nouvelle, c’est que la préparation est largement à portée. Rédiger une procédure de notification, désigner les rôles, préparer un modèle, tenir un registre et tester le tout lors d’un exercice de crise coûtent peu au regard du désordre qu’ils évitent. La notification en 72 heures cesse alors d’être une menace pour devenir un réflexe, intégré à la gestion d’incident comme une étape parmi d’autres. Pour situer cette obligation dans l’ensemble des exigences qui pèsent sur les organisations, la vue d’ensemble des enjeux de cybersécurité entreprise en donne le cadre (voir /cybersecurite-entreprise/), et le glossaire précise les notions de référence mobilisées ici (voir /glossaire/).