La notification à la CNIL est l’obligation, pour tout organisme victime d’une violation de données personnelles, de la signaler à la CNIL dans les 72 heures suivant sa découverte, conformément à l’article 33 du RGPD. Si la violation présente un risque élevé pour les personnes concernées, celles-ci doivent aussi être informées sans délai (article 34).
Notification CNIL : de quoi parle-t-on ?
Une violation de données personnelles est un incident de sécurité entraînant, de façon accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données. Elle peut toucher la confidentialité (données vues par un tiers), l’intégrité (données modifiées) ou la disponibilité (données rendues inaccessibles, par exemple après un rançongiciel).
Le Règlement général sur la protection des données (RGPD) impose au responsable de traitement de documenter chaque violation et, dès qu’elle présente un risque pour les personnes, de la notifier à la CNIL. C’est l’article 33 qui fixe cette obligation.
Le délai de 72 heures : ce qu’il faut retenir
Le délai court à partir du moment où l’organisme prend connaissance de la violation, pas de sa survenue. Les 72 heures incluent les week-ends et jours fériés. Si tous les éléments ne sont pas connus, la CNIL admet une notification en plusieurs temps : une déclaration initiale, puis des compléments. Passé ce délai, une notification tardive doit être justifiée.
Que doit contenir la notification ?
La déclaration précise au minimum la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou envisagées pour y remédier, ainsi que les coordonnées du délégué à la protection des données (DPO). Plus l’analyse est documentée, plus la réponse est crédible vis à vis du régulateur.
CNIL ou personnes concernées : deux obligations distinctes
L’article 33 vise la notification à la CNIL. L’article 34 vise l’information des personnes, déclenchée uniquement lorsque la violation entraîne un risque élevé pour leurs droits et libertés (usurpation d’identité, préjudice financier, données sensibles exposées). Confondre les deux, ou informer les personnes sans anticiper l’afflux de questions, transforme vite l’incident en crise de réputation.
Exemple concret : une PME victime d’un rançongiciel
Un vendredi soir, une PME découvre que son serveur de fichiers est chiffré et que des données clients ont été exfiltrées. La violation touche à la fois la disponibilité et la confidentialité. L’entreprise active sa cellule de crise, qualifie l’incident samedi, notifie la CNIL dimanche (soit dans les 72h) et, le risque étant élevé, informe ses clients en début de semaine avec un message clair sur les mesures prises. La rapidité et la transparence limitent l’impact réputationnel.
Comment s’y préparer
La notification CNIL ne s’improvise pas en pleine crise. Elle se prépare : un registre des violations tenu à jour, une procédure d’alerte connue des équipes, un modèle de déclaration pré rempli et une articulation claire avec le plan de réponse à incident cyber et le plan de continuité d’activité. Une cellule de crise entraînée fait la différence entre une déclaration maîtrisée et une improvisation sous pression.
Questions fréquentes
Quel est le délai pour notifier une violation à la CNIL ?
Faut-il toujours informer les personnes concernées ?
Que risque une entreprise qui ne notifie pas ?
Une simple tentative d'intrusion doit-elle être notifiée ?
Nous sommes à votre écoute pour préciser votre besoin.
Nos experts et consultants indépendants sont en mesure de vous accompagner de A à Z dans l’évaluation de vos risques pour anticiper les crises.