Notification Violation Données 72h RGPD

conformite

Définition

La notification d'une violation de données personnelles à l'autorité de contrôle dans les 72 heures est l'une des obligations les plus contraignantes et les plus surveillées du RGPD. Définie à l'article 33 du RGPD, cette obligation s'applique à tout responsable de traitement qui prend connaissance d'une violation de données personnelles susceptible de présenter un risque pour les droits et libertés des personnes physiques. Le délai de 72 heures commence à courir à partir du moment où le responsable du traitement « a connaissance » de la violation — non pas à partir du moment où la violation s'est produite (qui peut être antérieur de plusieurs jours ou semaines dans le cas d'attaques sophistiquées). Cette distinction est fondamentale : un incident détecté le vendredi soir doit être notifié à la CNIL au plus tard le lundi soir. La CNIL reconnaît que dans certains cas complexes, il est difficile d'obtenir toutes les informations dans les 72 heures ; dans ce cas, une notification initiale partielle est acceptable, suivie de mises à jour. La notification à la CNIL doit contenir (article 33 §3 RGPD) : la nature de la violation (confidentialité, intégrité, disponibilité), les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d'enregistrements de données touchés, les coordonnées du DPO ou d'un autre point de contact, les conséquences probables de la violation, et les mesures prises ou envisagées pour remédier à la violation et en atténuer les effets négatifs. La CNIL impose une notification via son portail en ligne (NotifViol), disponible 24h/24 et 7j/7. En cas d'indisponibilité du portail, d'autres modalités de contact sont possibles (email, téléphone d'urgence de la CNIL). Le portail permet de soumettre la notification initiale et de la compléter ultérieurement. En 2024, la CNIL a reçu plus de 5000 notifications de violations de données. Les violations les plus fréquentes : attaques ransomware (chiffrement des données), intrusions (accès non autorisé aux systèmes), et violations accidentelles (envoi d'email à mauvais destinataires, publication accidentelle de données). Le non-respect du délai de 72 heures est une infraction sanctionnable par la CNIL (jusqu'à 10 M€ ou 2% du CA mondial pour violation de l'article 33).

Délai et déclenchement de l'obligation de notification

L'article 33 RGPD impose la notification à la CNIL dans les 72h à partir du moment où le RT « a connaissance » de la violation. Avoir connaissance = validation interne qu'une violation est probablement survenue (pas certitude totale requise). Ce moment doit être documenté précisément, car il détermine le début du délai de 72h. Des procédures internes doivent définir : qui décide qu'on « a connaissance » (RSSI, DPO, COMEX ?), comment l'information est escaladée, et qui est responsable de la notification.

Une notification dans les 72h n'est pas requise si la violation n'est « pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques ». Ce jugement doit être documenté : évaluation de la sensibilité des données exposées, du nombre de personnes concernées, et des conséquences potentielles. La CNIL recommande de notifier dans le doute plutôt que de ne pas notifier.

Contenu de la notification et portail NotifViol

La notification via le portail CNIL NotifViol couvre : qualification de la violation (type : confidentialité/intégrité/disponibilité), catégories et volume approximatif de données et de personnes concernées, coordonnées du DPO ou point de contact, causes probables, conséquences probables, et mesures prises (confinement, remédiation) et planifiées (renforcement sécurité). La notification peut être soumise en deux temps : notification initiale partielle dans les 72h + complément dans les jours suivants.

La CNIL peut poser des questions complémentaires après la notification initiale et peut décider d'ouvrir un contrôle formel pour examiner les circonstances de la violation et la réponse de l'organisation. Une coopération proactive et transparente avec la CNIL est fortement recommandée pour éviter d'aggraver la situation.

Communication aux personnes et sanctions

Si la violation présente un risque élevé pour les personnes, l'article 34 RGPD impose une communication directe aux personnes concernées dans les meilleurs délais. Cette communication doit être rédigée en langage clair, non technique, et indiquer les mesures que les personnes peuvent prendre pour se protéger (changer leurs mots de passe, surveiller leurs comptes bancaires, etc.).

Le non-respect de l'obligation de notification (délai, absence de notification, notification insuffisante) est sanctionnable par la CNIL : amendes jusqu'à 10 M€ ou 2% du CA mondial annuel. Des sanctions ont déjà été prononcées par la CNIL pour notification tardive (ex. : Doctissimo 2022, SERGIC 2019). La CNIL tient compte des circonstances atténuantes (complexité de l'incident, coopération proactive) dans l'appréciation des sanctions.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis