Le 1er octobre 2026, à l’ouverture du Cybermois, la CNIL et Cybermalveillance.gouv.fr ont publié un dépliant pour les particuliers touchés par une fuite de leurs données. Il liste les gestes à faire depuis le jour où la personne apprend l’incident jusqu’à un mois après. L’organisme à l’origine de la fuite a lui aussi intérêt à le lire, puisqu’il lui revient d’assurer la communication d’une violation de données aux personnes concernées quand l’article 34 du RGPD l’exige.
Ce que le dépliant demande aux victimes
Le dépliant de la CNIL et de Cybermalveillance.gouv.fr découpe la réaction en périodes. Tout de suite : relire le message reçu et le garder, changer le mot de passe compromis en commençant par la messagerie principale, puis sur les comptes qui partageaient ce mot de passe, activer la double authentification, se méfier des appels et courriels inhabituels. Pendant la première semaine : prévenir la banque si des données bancaires sont en cause, passer en revue les sessions ouvertes et les appareils connectés, contrôler les adresses et numéros de récupération, chercher une règle de transfert créée à son insu dans la messagerie, faire des captures d’écran de toute activité suspecte. Les semaines suivantes : surveiller ses comptes, refuser un mandat de prélèvement d’origine douteuse, guetter un courrier, une demande de crédit ou un abonnement inconnus, y compris sur les comptes Assurance maladie ou impôts.
Le document rappelle aussi qu’une fuite ne veut pas dire que les données ont déjà servi à une fraude. Le risque d’hameçonnage et d’usurpation, lui, augmente. La page de présentation du Cybermois 2026 replace ce dépliant parmi les autres ressources publiées par la CNIL pour les particuliers et les professionnels.
Ce que la communication d’une violation de données doit contenir
L’article 34 du RGPD s’applique quand la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le responsable du traitement doit alors les prévenir dans les meilleurs délais, en termes clairs et simples. Le message décrit la nature de la violation et reprend des éléments prévus pour la notification à la CNIL (article 33, paragraphe 3) : le nom et les coordonnées du DPO ou d’un autre point de contact, les conséquences probables, les mesures prises ou proposées pour remédier à la violation et en limiter les effets.
Le texte prévoit des exceptions. Les données ont été rendues incompréhensibles, par un chiffrement par exemple. Des mesures prises ensuite écartent le risque élevé. Ou l’information individuelle demanderait des efforts disproportionnés, auquel cas une communication publique d’efficacité comparable la remplace.
Écrire un message compatible avec les conseils donnés aux victimes
La personne qui reçoit votre courriel aura peut-être le dépliant sous les yeux. On lui recommande de se méfier des messages alarmants et des liens : votre propre notification doit pouvoir passer ce filtre. Je conseille aux organismes que j’accompagne de ne mettre aucun lien de connexion dans le message, de renvoyer vers une page publiée sur le site officiel et consultable sans identifiant, et d’indiquer un numéro de téléphone que la personne peut retrouver par ailleurs, sur le site ou sur un courrier antérieur.
Le message doit aussi permettre à chacun de savoir quelles consignes du dépliant le concernent. Une phrase comme « certaines de vos informations ont pu être exposées » ne lui sert à rien. Listez les catégories touchées : identité, coordonnées, IBAN, numéro de sécurité sociale, identifiants de connexion, données de santé. Une personne dont l’IBAN a fuité appellera sa banque. Une personne dont seule l’adresse électronique circule surveillera surtout les tentatives d’hameçonnage.
Sur les mots de passe, soyez précis. S’ils étaient stockés sous forme hachée et salée, dites-le, et indiquez quand même s’il faut les changer. Si votre service propose la double authentification, donnez le chemin pour l’activer. S’il ne la propose pas, le dépliant poussera vos usagers à la chercher : inscrivez-la au plan d’action.
Ce que l’organisme prépare, de J0 à J+30
- Qualifier le risque et documenter la décision : la violation entre dans le registre interne prévu à l’article 33, paragraphe 5, qu’elle soit notifiée ou non.
- Notifier la CNIL dans les 72 heures si la violation présente un risque, quitte à compléter la notification quand les informations arrivent.
- Rédiger le message aux personnes avec le DPO et le service communication, puis le faire relire par quelqu’un d’extérieur au dossier.
- Ouvrir un point de contact à la mesure du volume : boîte dédiée, ligne téléphonique, réponses types validées.
- Renvoyer vers le dépliant officiel plutôt que de réécrire des conseils génériques.
- Envoyer un second message si l’enquête révèle d’autres données touchées ou une exploitation constatée, par exemple une campagne d’hameçonnage qui usurpe le nom de l’organisme.
- Faire un point à un mois : demandes reçues, fraudes signalées, mesures techniques terminées, le tout consigné dans le dossier de la violation.
Dans les SPST et les établissements de santé, la présence du NIR ou de données de santé pèse lourd dans l’évaluation du risque. Le dépliant invite à surveiller ses comptes Assurance maladie : si votre fuite comporte un numéro de sécurité sociale, la personne doit le savoir pour exercer cette vigilance. Un service de santé au travail pensera aussi aux entreprises adhérentes, qui recevront des questions de leurs salariés et devront pouvoir y répondre de façon cohérente.
Quand l’organisme décide de ne pas informer
Ne pas prévenir les personnes reste une décision à motiver par écrit. Si vous invoquez le chiffrement, vous devez pouvoir montrer que la clé n’a pas été compromise. Si vous invoquez un effort disproportionné, la communication publique devient obligatoire. La CNIL peut de son côté, après examen de la notification, exiger du responsable du traitement qu’il informe les personnes (article 34, paragraphe 4). Avoir un projet de message prêt dès la notification évite de le rédiger dans l’urgence.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans la qualification d’une violation, la notification à la CNIL et la rédaction des messages aux personnes concernées. Le logiciel DPO SUITE tient le registre des violations, suit les délais de notification et conserve les preuves de chaque décision, ce qui évite de reconstituer le dossier sous pression.
