Quand un incident arrive, toute l’énergie part dans la réparation et presque rien n’est noté. Trois semaines plus tard, au moment de répondre à la CNIL, on reconstitue la chronologie à partir de courriels, de souvenirs et d’un fil de messagerie que la moitié de l’équipe a supprimé.
Le Comité européen de la protection des données vient de donner une raison très concrète de changer cette habitude.
Ce que disent les lignes directrices 04/2026
Le 17 septembre 2026, le CEPD a adopté des lignes directrices sur le pouvoir des autorités d’infliger des amendes, en lien avec leurs autres mesures correctrices. Elles sont en consultation publique jusqu’au 13 novembre 2026.
Le texte ne traite pas du montant des amendes, déjà couvert par les lignes directrices 04/2022. Il traite de la question qui vient avant : faut-il une amende, une réprimande, une injonction, ou rien ? Il propose une méthode en cinq étapes, illustrée par quatorze exemples, et remplace les anciennes lignes directrices du groupe de l’article 29.
Les mesures prises spontanément, avant que l’organisme ait connaissance d’une enquête, pèsent davantage en sa faveur. Et l’existence de mesures de sécurité sur le papier ne suffit pas à atténuer quoi que ce soit : l’autorité regarde ce qui a été fait, quand et avec quel effet.
Le journal de décision, concrètement
Un journal de décision est un document unique, ouvert dès le premier soupçon, où l’on inscrit au fil de l’eau chaque fait et chaque décision, avec l’heure. Il ne demande aucun outil particulier. Un tableau partagé suffit, à condition qu’on ne puisse pas réécrire le passé sans que cela se voie.
| Colonne | Exemple |
|---|---|
| Date et heure | 22/10, 9 h 40 |
| Fait constaté | L’hébergeur confirme une version PHP vulnérable sur l’extranet jusqu’au 21/10 à 18 h |
| Décision prise | Analyse des journaux depuis le 20/10 demandée à l’hébergeur |
| Par qui | Directrice, sur avis du DPO |
| Personnes informées | DSI, président |
| Résultat | Rapport attendu le 23/10, 12 h |
Tenu ainsi, le journal répond seul aux questions que posera la CNIL : quand avez-vous su, qu’avez-vous décidé, qui a été prévenu, qu’est-ce qui a changé depuis.
Ce que le journal permet aussi
Il sert d’abord à décider. Qualifier un incident en violation, puis évaluer le risque pour les personnes, demande de savoir précisément ce qui s’est passé. Le délai de 72 heures pour notifier la CNIL ne laisse pas le temps de chercher.
Les personnes qui ont géré la crise y trouvent une protection. Une décision prise à 2 heures du matin avec les informations disponibles à ce moment se défend bien mieux quand ces informations sont écrites.
Les écarts relevés deviennent ensuite des actions correctives, avec un responsable et une date, et l’organisme peut montrer que le problème ne se reproduira pas.
Le mettre en place avant d’en avoir besoin
Un journal se prépare à froid. Prévoyez le modèle, l’endroit où il sera ouvert, la personne qui le tient et son suppléant. Ajoutez-le à votre procédure de gestion des violations et testez-le lors d’un exercice.
Dans DPO SUITE, chaque incident ouvre son propre fil, avec horodatage, qualification, délais de notification calculés automatiquement et actions correctives liées. Pour un organisme qui n’a jamais formalisé ce suivi, nous fournissons un modèle de départ et des pistes ; vos équipes l’adaptent, puis nous relisons et validons la procédure avec vous, avant et après le premier exercice.
Sources : CNIL, retour sur la plénière du CEPD du 17 septembre 2026 ; IT Social, 2 octobre 2026.
