La fiche 8 du guide pratique de la CNIL pour les SPST intègre la gestion des violations de données à la sécurité du service. Une violation se notifie à la CNIL dans les 72 heures après sa découverte, sauf si elle ne présente pas de risque (article 33 du RGPD), et les personnes sont informées si le risque est élevé (article 34).
Deux faits de l’été font évoluer la pratique. Le Comité européen de la protection des données a soumis à consultation un modèle commun de notification de violation, consultation close le 5 août 2026. Et après le piratage du système d’information des impôts annoncé le 14 août, la CNIL a ouvert des vérifications sur les mesures de sécurité, pratique qui vaut désormais pour tout incident d’ampleur.
Ce qui change
Le modèle commun du CEPD vise à harmoniser le contenu des notifications dans l’Union. Sa version définitive n’est pas encore publiée. Les services peuvent toutefois préparer dès maintenant les informations que tout modèle demandera, puisqu’elles découlent de l’article 33.3 : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements, conséquences probables, mesures prises ou envisagées, coordonnées du délégué à la protection des données.
La pratique de la CNIL change aussi. Une violation notifiée d’ampleur déclenche des vérifications sur les mesures de sécurité en place avant l’incident. La notification ouvre donc un examen du niveau de sécurité. La sanction du 21 juillet 2026 contre un établissement de santé, issue d’une exfiltration, en donne l’illustration.
Les chiffres de fond confirment la tendance : 6 167 violations notifiées à la CNIL en 2025, en hausse de 9,5 pour cent, dont une sur deux liée à un piratage. L’observatoire de l’Agence du Numérique en Santé recense 764 incidents déclarés dans le secteur sanitaire et médico-social en 2025, dont 53 pour cent d’origine malveillante.
Ce que cela implique pour un SPST
- Tenir à jour, hors crise, les éléments d’une notification : cartographie des traitements, volumes de personnes par traitement, sous-traitants, coordonnées du DPO. Le jour d’un incident, ces informations doivent être disponibles en quelques minutes.
- Prévoir dans la procédure le recensement de toutes les personnes touchées, y compris les personnes secondaires citées dans les dossiers.
- Conserver la documentation de toutes les violations, même non notifiées, comme l’exige l’article 33.5.
- Préparer la suite : en cas de vérification de la CNIL, le service devra montrer son PGSSI, ses analyses d’impact, ses revues d’habilitations et de journaux.
- Prévoir une alerte interne unique, connue de tout le personnel, qui déclenche la qualification et les notifications.
Un exercice de gestion d’incident, à partir d’un scénario réaliste comme un portail adhérents compromis, permet de vérifier le circuit avant un cas réel et de mesurer le temps nécessaire pour réunir les éléments.
Comment le traiter dans DPO SUITE
- Utilisez le module incidents de sécurité pour toute violation, même mineure : la qualification de la violation y est guidée et le délai de notification de 72 heures calculé à partir de la découverte.
- Reliez entre eux les incidents liés, par exemple une compromission de compte suivie d’une fuite, grâce aux liens entre incidents.
- Mettez à jour la procédure « Gestion des violations de données » pour y intégrer les personnes secondaires et la préparation d’une vérification de la CNIL ; faites-la approuver et générez son plan de tâches.
- Vérifiez que le registre des traitements indique, pour chaque fiche, les catégories et volumes de personnes, et que le registre des sous-traitants est complet.
- Planifiez un exercice de gestion d’incident dans le module réunions et consignez ses enseignements sous forme d’actions correctives.
- Reprenez le bilan des incidents de l’année dans le rapport annuel du DPO.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- CEPD, modèle commun de notification de violation (consultation close le 5 août 2026)
- CNIL, rapport annuel 2025
- Agence du Numérique en Santé, observatoire des incidents, rapport 2025
- Règlement (UE) 2016/679 (RGPD), articles 33 et 34
- Guide CNIL SPST, fiche 8
