La fiche 6 du guide CNIL pour les SPST rappelle les obligations d’information du service envers les personnes dont il traite les données. Elle couvre l’information au moment de la collecte, prévue par les articles 13 et 14 du RGPD, et renvoie pour les violations de données à l’article 34, qui impose d’informer les personnes lorsque la violation présente un risque élevé pour elles.
En octobre, la CNIL a publié deux documents destinés aux personnes victimes d’une violation. Ils donnent au service un contenu fiable à joindre à son propre courrier d’information.
Ce qui change
Le 1er octobre 2026, à l’occasion du Cybermois, la CNIL et Cybermalveillance.gouv.fr ont publié un dépliant intitulé « Violation de données personnelles : que faire en trois étapes clés ». Il s’adresse aux personnes dont les données ont été exposées et décrit les précautions à prendre dans les semaines qui suivent.
Le 2 octobre 2026, la CNIL a ajouté une fiche sur l’indemnisation des personnes au titre de l’article 82 du RGPD. Elle rappelle trois conditions : une violation du règlement, un préjudice réel, y compris moral et sans seuil de gravité, et un lien de causalité entre les deux. Elle précise que la CNIL instruit les plaintes mais n’accorde pas elle-même de dommages et intérêts : la réparation relève du juge.
L’article 34 exige que l’information des personnes décrive en des termes clairs la nature de la violation, ses conséquences probables et les mesures prises. Il ne dit rien des conseils pratiques à donner aux personnes. Les deux documents de la CNIL comblent ce manque.
Ce que cela implique pour un SPST
Une violation touchant un SPST concerne souvent des milliers de salariés d’entreprises adhérentes, parfois des données de santé. L’information de ces personnes est un exercice délicat : elle doit être exacte, compréhensible, et ne pas susciter d’inquiétude inutile.
- Le modèle de courrier ou de courriel d’information prévu dans la procédure de gestion des violations doit être prêt avant l’incident.
- Le dépliant de la CNIL et de Cybermalveillance.gouv.fr peut y être joint. Il décrit, étape par étape, les précautions à prendre : changer les mots de passe réutilisés, activer la double authentification, surveiller ses comptes.
- Un paragraphe sur l’indemnisation évite les malentendus : si une personne estime avoir subi un préjudice, la réparation relève du juge, et la CNIL instruit les plaintes sans indemniser.
- L’information doit préciser un point de contact au sein du service et les coordonnées du délégué à la protection des données.
- Les entreprises adhérentes recevront des questions de leurs salariés. Un message distinct à leur intention, indiquant ce qui a été envoyé aux personnes, limite les réponses contradictoires.
Une formulation possible pour le courrier : « Vous trouverez ci-joint le dépliant de la CNIL et de Cybermalveillance.gouv.fr, qui décrit les précautions à prendre dans les trente jours suivant la découverte d’une violation. Si vous estimez avoir subi un préjudice, la réparation relève du juge ; la CNIL instruit les plaintes mais n’accorde pas d’indemnisation. »
Comment le traiter dans DPO SUITE
Ouvrez le module des procédures et sélectionnez la procédure de gestion des violations de données. Ajoutez au plan de tâches une étape « Information des personnes » qui renvoie au modèle de courrier mis à jour et aux deux documents de la CNIL, puis soumettez la nouvelle version à approbation. Le modèle lui-même reste dans votre environnement ; rattachez-le comme preuve depuis le drive du client connecté.
Dans le module des incidents de sécurité et violations de données, vérifiez que la qualification de la violation prévoit l’appréciation du risque élevé qui déclenche l’article 34. Le calcul des délais de notification de 72 heures à la CNIL y est automatique ; ajoutez une tâche pour l’information des personnes dans le même dossier d’incident, afin que les deux échéances soient suivies ensemble.
Ouvrez enfin la fiche du traitement « Gestion des violations de données » dans le registre et mettez à jour les destinataires et les mesures d’information.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 13, 14, 34 et 82 du RGPD
- Dépliant CNIL et Cybermalveillance.gouv.fr du 1er octobre 2026
- Fiche CNIL du 2 octobre 2026 sur l’indemnisation, cnil.fr
- Guide CNIL SPST, fiche 6
