TUTO DPO – Notifier une violation de données personnelles

Une violation de données se découvre rarement un mardi à 10 heures. Elle tombe un vendredi soir, quand le prestataire informatique appelle pour signaler des connexions bizarres, ou un lundi matin, quand une assistante réalise que le tableau envoyé la veille contenait les coordonnées de 300 personnes et partait vers une mauvaise adresse. À ce moment, personne n’a envie de découvrir le formulaire de la CNIL.

Ce tutoriel reprend le téléservice écran par écran, avec toutes les cases proposées, et ajoute ce que le formulaire ne vous demande pas mais que la CNIL vérifiera si elle revient vers vous. Je m’appuie sur les captures du formulaire en ligne, sur la trame préparatoire publiée par la CNIL, sur ses pages consacrées aux violations et sur les décisions de sanction de 2026.

Avant d’ouvrir le téléservice : faut-il notifier ?

Le RGPD définit la violation de données à l’article 4.12 : un incident de sécurité, accidentel ou malveillant, qui entraîne la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou un accès non autorisé à ces données. La CNIL résume la définition en trois atteintes possibles : à la confidentialité, à l’intégrité ou à la disponibilité des données.

Un serveur en panne pendant deux jours peut donc constituer une violation, même si aucun pirate n’est passé par là. Un courriel envoyé au mauvais destinataire aussi. Et une clé USB oubliée dans un train, évidemment.

L’obligation dépend ensuite du niveau de risque pour les personnes, et la CNIL le présente sous forme de tableau :

Pour situer le risque, la CNIL demande de regarder le type d’atteinte, la nature et le volume des données, la facilité à identifier les personnes, les conséquences possibles pour elles, leur profil (enfants, personnes vulnérables), leur nombre et l’activité de l’organisme. Elle cite quelques situations sans risque : des données déjà publiques divulguées, des données supprimées puis restaurées aussitôt depuis une sauvegarde, ou des données chiffrées selon l’état de l’art dont la clé n’a pas fuité et dont une copie reste disponible.

En cas d’hésitation, la consigne de la CNIL tient en une ligne : notifiez, elle vous dira si les personnes doivent être informées. Une notification prudente ne vous expose à rien, alors qu’une omission peut finir dans une décision de sanction.

Quand démarrent les 72 heures ?

Le délai court à partir du moment où vous avez une certitude raisonnable qu’un incident a eu lieu et qu’il touche des données personnelles. La CNIL donne des exemples concrets : vous réalisez que la clé USB est perdue ; un tiers vous prouve qu’il a reçu un courriel contenant les informations d’une autre personne ; un cybercriminel vous contacte et vous vérifiez qu’il a bien récupéré des données. Le temps d’investigation nécessaire pour atteindre cette certitude ne compte pas, à condition de le mener sans traîner.

Si vos données sont traitées par un sous-traitant, il doit vous alerter dans les meilleurs délais. Le RGPD ne lui donne pas 72 heures, et votre propre délai part de son alerte. Vérifiez donc vos contrats : une clause qui prévoit une information « sous cinq jours ouvrés » vous met en défaut avant même d’avoir commencé. Vous pouvez aussi confier au sous-traitant le soin de notifier en votre nom, mais la décision de notifier, l’évaluation du risque et le registre restent à votre charge.

Préparer la notification avec la trame de la CNIL

La CNIL met en ligne, sur la page du téléservice, un document préparatoire au format .odt, intitulé « Violation de données personnelles, document d’aide à la préparation d’une notification ». Il reprend les questions du formulaire, avec quelques écarts mineurs signalés par la CNIL elle-même. Ce document ne s’envoie pas : hors panne de son site, la CNIL refuse toute notification qui n’arrive pas par le téléservice.

Mon conseil : gardez cette trame dans votre procédure de gestion des violations, déjà ouverte et partiellement remplie (SIREN, coordonnées, responsable légal, contact du DPO, principaux sous-traitants, mesures de sécurité habituelles). Le jour venu, la cellule de crise remplit les blancs pendant que l’équipe technique investigue, puis une seule personne recopie dans le téléservice.

Étape 1 : le type de notification

Le premier écran vous demande de préciser si vous effectuez une notification complète, une notification initiale qui sera complétée ultérieurement, ou si vous complétez ou amendez une notification déjà réalisée. Une seule case à cocher, chacune accompagnée d’une bulle d’information :

• Notification complète, quand vous disposez de toutes les informations ;
• Notification initiale, qui sera complétée plus tard ;
• Notification complémentaire / modifiée, pour compléter ou corriger une notification déjà déposée. La trame de la CNIL demande alors le numéro, la date et l’heure de la notification initiale.

Dans la grande majorité des incidents que je vois passer, la notification initiale s’impose. À la 48e heure, personne ne connaît le nombre exact de personnes touchées par un rançongiciel. L’article 33.4 du RGPD autorise justement à transmettre les informations par étapes. La CNIL attend une notification initiale rapide, puis une notification complémentaire dès que les éléments sont réunis, si possible dans les 72 heures suivantes.

Si vous dépassez les 72 heures, le téléservice vous demandera les motifs du retard. Notez-les au fil de l’eau dans votre chronologie, la CNIL appréciera le retard à la lumière de ces explications.

Étape 2 : les organismes concernés par la violation

Cet écran comporte plusieurs blocs. Les champs en gras y sont obligatoires, et la plupart le sont.

Identification de l’organisme

Saisissez le numéro SIREN puis cliquez sur « Vérifier ». Le téléservice préremplit alors les coordonnées à partir de la base publique. Vérifiez la dénomination et l’adresse proposées : après une fusion ou un déménagement, cette base n’est pas toujours à jour.

Coordonnées de l’organisme responsable de traitement

• Dénomination, adresse postale, code postal, ville et pays (obligatoires).
• Numéro de TVA intracommunautaire (obligatoire), avec une case « Absence de numéro de TVA intracommunautaire » pour les associations, collectivités ou organismes qui n’en ont pas.
• Une case « Pays non membre de l’Union européenne », pour un responsable de traitement établi hors de l’Union.
• Secteur d’activité de l’organisme et effectif, à choisir dans des listes déroulantes (facultatifs). Remplissez-les quand même : ils aident la CNIL à situer votre activité et ne prennent que quelques secondes.

Coordonnées du responsable légal

Civilité, nom, prénom et adresse électronique saisie deux fois. Le responsable légal est le représentant de l’organisme : directeur général, président de l’association, maire, directeur du service. Ce bloc rappelle que la notification engage l’organisme et sa direction, pas seulement le DPO ou le service informatique. Prévenez la personne avant d’inscrire son nom.

Personne à contacter afin d’obtenir plus d’informations

Civilité, nom, prénom, téléphone et adresse électronique (saisie deux fois) sont obligatoires ; la fonction est facultative. Une case « Adresse identique à celle de l’organisme » est cochée par défaut. Décochez-la si votre DPO est externe ou travaille sur un autre site.

Ce contact répond à l’article 33.3 b du RGPD, qui exige les coordonnées du DPO ou d’un autre point de contact. Indiquez une personne joignable dans les jours qui suivent, avec une adresse électronique réellement consultée : la CNIL envoie son accusé de réception et ses éventuelles questions par courriel. Si votre DPO est externe, mettez-vous d’accord avant l’incident sur qui reçoit les messages de la CNIL et qui y répond.

Autres organismes impliqués

Le formulaire vous demande si d’autres sociétés ou organisations sont impliquées dans le service touché par la violation, par exemple un sous-traitant ou un responsable conjoint. Si vous cochez la case, un champ « Nom et qualité de l’organisme tiers » devient obligatoire.

Indiquez pour chacun son nom et son rôle exact : « éditeur du logiciel métier, sous-traitant hébergeant les données », « prestataire d’infogérance ayant subi l’intrusion », « responsable conjoint du traitement ». Cette rubrique compte beaucoup quand l’incident vient d’un prestataire, car elle permet à la CNIL de rapprocher les notifications de plusieurs clients touchés par la même faille.

Le téléservice est réservé aux responsables de traitement, ou au sous-traitant qu’ils ont mandaté. Une entreprise qui découvre une fuite chez son éditeur de logiciel notifie pour ses propres traitements, en tant que responsable, et cite l’éditeur dans ce bloc.

Étape 3 : à propos de la violation

L’écran le plus long du formulaire. Les champs en gras y sont obligatoires.

Les dates

• Deux cases à cocher : « La violation s’est étendue sur une période déterminée » et « La violation est toujours en cours ». Cochez la seconde sans hésiter si l’attaquant n’est pas encore éjecté : la CNIL préfère le savoir.
• Date approximative de la violation (obligatoire). Si vous ignorez le jour exact, prenez la meilleure estimation issue des journaux et expliquez-la dans le champ suivant.
• Date et heure de prise de connaissance de la violation (obligatoire). Cette heure fixe le départ des 72 heures. Elle doit correspondre à votre chronologie interne.
• Commentaires sur les dates, pour signaler vos incertitudes.
• Dans quelles circonstances avez-vous découvert la violation ? (obligatoire). Alerte de l’antivirus, appel d’un salarié, signalement d’un tiers, demande de rançon, article de presse : soyez factuel.

La nature de l’atteinte

Les cases sont cumulables : perte de la confidentialité, perte de l’intégrité, perte de la disponibilité. Un rançongiciel avec exfiltration coche souvent les trois. Les données ont été copiées (confidentialité), chiffrées par l’attaquant (disponibilité), et parfois modifiées (intégrité). Ne cochez pas seulement la case la plus visible.

Le descriptif détaillé

La CNIL demande de décrire l’incident, son origine, son déroulé, ses conséquences et tout ce qui aide à comprendre la violation. Ce champ est lu en premier par l’agent qui instruit votre dossier. Un bon descriptif tient en une dizaine de lignes : quel système, quelle porte d’entrée supposée, quelles actions de l’attaquant ou quelle erreur, ce qui est établi et ce qui reste à vérifier. Évitez le jargon du rapport d’investigation et n’y mettez aucune donnée personnelle inutile (pas de nom de salarié fautif, par exemple).

Les origines de l’incident

Plusieurs cases peuvent être cochées :

• Équipement perdu ou volé
• Papier perdu, volé ou laissé accessible dans un endroit non sécurisé
• Courrier perdu ou ouvert avant d’être retourné à l’envoyeur
• Piratage, logiciel malveillant (par exemple rançongiciel) et/ou hameçonnage
• Mise au rebut de documents papier contenant des données personnelles sans destruction physique
• Mise au rebut d’appareils numériques contenant des données personnelles sans effacement sécurisé
• Publication non volontaire d’informations
• Données de la mauvaise personne affichées sur le portail du client
• Données personnelles envoyées à un mauvais destinataire
• Informations personnelles divulguées de façon verbale
• Autre

La liste montre bien que le papier et l’oral comptent autant que l’informatique. Un dossier oublié sur un photocopieur partagé ou une conversation tenue dans une salle d’attente peuvent relever de ce formulaire.

Les causes

Acte interne malveillant, acte interne accidentel, acte externe malveillant, acte externe accidentel, inconnu, autre. Au stade de la notification initiale, « Inconnu » est une réponse honnête et acceptable. Vous corrigerez dans la notification complémentaire.

Les données concernées

Le formulaire distingue les données courantes et les données sensibles. Côté données courantes :

• État civil (nom, sexe, date de naissance, âge…)
• NIR (numéro d’inscription au répertoire, dit numéro de sécurité sociale)
• Coordonnées (adresse postale ou électronique, téléphones)
• Données d’identification ou d’accès (identifiant, mot de passe, numéro client…)
• Données financières ou économiques (revenus, carte bancaire, coordonnées bancaires)
• Documents officiels (passeports, pièces d’identité…)
• Données de localisation
• Données relatives à des infractions, condamnations, mesures de sûreté
• Les données concernées ne sont pas connues pour le moment
• La violation concerne d’autres données

Côté données sensibles : origine raciale ou ethnique, opinions politiques, opinions philosophiques ou religieuses, appartenance syndicale, orientation sexuelle, données de santé, données biométriques, données génétiques.

Le formulaire demande ensuite le nombre approximatif d’enregistrements concernés (obligatoire). Un enregistrement n’est pas une personne : un même salarié peut figurer dans 40 bulletins de paie. Donnez une fourchette si vous n’avez mieux, et précisez dans le descriptif la façon dont vous l’avez estimée.

Les catégories de personnes

Employés, utilisateurs, adhérents, étudiants ou élèves, personnel militaire, clients (actuels ou potentiels), patients, mineurs, personnes vulnérables, pas déterminé pour le moment, autres. Puis le nombre approximatif de personnes concernées (obligatoire).

Ne vous arrêtez pas aux personnes « principales » du fichier. La CNIL a sanctionné en 2026 un hôpital qui avait informé ses patients mais oublié les 202 246 tiers de confiance dont les coordonnées figuraient dans le même dossier patient informatisé. Pensez aux proches, aux contacts d’urgence, aux ayants droit, aux interlocuteurs chez vos clients.

Les mesures de sécurité préalables

Le champ invite à décrire les protections en place avant l’incident : chiffrement des données avec un algorithme reconnu, sauvegardes quotidiennes et mensuelles, disques des ordinateurs portables chiffrés, etc. La CNIL analyse toutes les notifications sous deux angles, le niveau de risque et les mesures prises avant comme après la violation. Ce champ prépare donc directement son appréciation de votre sécurité.

Restez exact. Écrire « authentification multifacteur sur tous les accès » alors qu’elle manquait sur les accès des prestataires se retourne contre vous au premier contrôle. Dans la sanction de l’Hôpital privé de la Loire, la CNIL a relevé l’absence de VPN et d’authentification à deux facteurs pour les accès externes, un compte unique permettant de voir toute la base, et l’absence de détection des activités anormales.

Étape 4 : les conséquences et les actions entreprises

Les conséquences sur les données

En cas de perte de confidentialité, le formulaire propose : les données ont été diffusées plus que nécessaire et ont échappé à la maîtrise des personnes concernées ; les données peuvent être corrélées avec d’autres informations relatives aux personnes ; les données peuvent être exploitées à d’autres fins que celles prévues ou de manière non loyale ; autre.

Si vous avez aussi coché une perte d’intégrité ou de disponibilité à l’étape précédente, menez le même raisonnement sur ces atteintes : des données modifiées peuvent conduire à une mauvaise décision, des données indisponibles peuvent empêcher une prise en charge ou un paiement.

Les préjudices potentiels pour les personnes

• Perte de contrôle sur leurs données personnelles
• Limitation de leurs droits
• Discrimination
• Vol d’identité
• Fraude
• Levée non autorisée de pseudonymisation
• Pertes financières
• Atteinte à la réputation
• Perte de la confidentialité de données protégées par un secret professionnel
• Autre (merci de préciser)

Raisonnez avec la tête d’un fraudeur. Un NIR associé à une adresse et à une copie de pièce d’identité suffit pour ouvrir des comptes ou monter une usurpation. Des données couvertes par le secret médical ou par le secret professionnel d’un avocat, d’un expert-comptable ou d’un travailleur social justifient de cocher la case dédiée.

L’estimation du niveau de gravité

Le formulaire propose une échelle allant de négligeable à maximal, en passant par limité et important. Le formulaire ne les définit pas, mais l’échelle reprend celle de la méthode d’analyse d’impact de la CNIL, que je résume ainsi :

• négligeable : les personnes ne seront pas touchées, ou subiront quelques désagréments vite surmontés ;
• limité : des désagréments réels, que les personnes surmonteront malgré quelques difficultés ;
• important : des conséquences sérieuses, surmontables au prix de difficultés réelles ;
• maximal : des conséquences graves, voire irrémédiables, dont les personnes pourraient ne pas se remettre.

Votre choix doit rester cohérent avec la suite. Cocher « important » ou « maximal » puis répondre que les personnes ne seront pas informées appelle une justification solide, que la CNIL vous demandera.

La communication aux personnes concernées

Les réponses possibles : oui, les personnes ont été informées ; non, mais elles le seront ; non, elles ne le seront pas ; non déterminé pour le moment.

En cas de risque élevé, l’article 34 impose d’informer les personnes dans les meilleurs délais. Le message doit exposer en termes clairs la nature de la violation, ses conséquences probables, les coordonnées du DPO ou d’un autre contact et les mesures prises. La CNIL demande d’y ajouter des recommandations utiles pour les personnes : changer un mot de passe, surveiller ses comptes, se méfier des appels se réclamant de l’organisme.

Le RGPD dispense d’informer dans des situations précises, qui s’interprètent strictement :

• les données sont incompréhensibles pour qui n’est pas autorisé, par exemple grâce à un chiffrement à l’état de l’art dont la clé n’a pas été compromise ;
• des mesures prises après l’incident empêchent le risque élevé de se réaliser, comme des mots de passe dérobés, jamais utilisés, puis réinitialisés ;
• l’information individuelle exigerait des efforts disproportionnés, faute de moyen de contacter les personnes ; une communication publique devient alors obligatoire.

La CNIL peut vous ordonner d’informer les personnes si elle ne partage pas votre analyse.

Les mesures appliquées après la violation

Ce grand champ libre sert à montrer que la situation est sous contrôle. Décrivez dans l’ordre chronologique ce qui a été fait : isolement des postes, réinitialisation des mots de passe, révocation des accès du prestataire, restauration depuis une sauvegarde saine, demande de suppression auprès du destinataire d’un courriel erroné, plainte déposée, recours à un prestataire de réponse aux incidents. Ajoutez ce qui est prévu, avec une échéance : déploiement de l’authentification multifacteur, revue des habilitations, sensibilisation du service concerné.

Les notifications transfrontières et les autres autorités

Le formulaire attend un oui ou un non sur ces questions :

• la notification concerne-t-elle un traitement transfrontalier visant des personnes de différents États membres ?
• la violation a-t-elle été ou va-t-elle être notifiée à une autre autorité européenne de protection des données ?
• à une autorité non européenne ?
• à une autre autorité, au titre d’une autre obligation légale (NIS, eIDAS, etc.) ?

Pour un traitement transfrontalier, la notification revient à l’autorité chef de file, qui n’est pas forcément la CNIL. Si vous répondez oui, le téléservice vous fait indiquer les autres États concernés et la CNIL se charge d’informer ses homologues.

La dernière question rappelle que la CNIL n’est pas seule. Selon votre secteur, d’autres signalements suivent leur propre calendrier : l’ANSSI pour les entités soumises à NIS 2, les autorités financières pour les entités relevant de DORA, l’agence régionale de santé et le CERT Santé pour les incidents graves de sécurité dans les établissements de santé, la CNIL dans un délai de 24 heures pour les opérateurs de communications électroniques. Un dépôt de plainte auprès de la police ou de la gendarmerie reste recommandé en cas d’acte malveillant.

Étape 5 : le récapitulatif

Relisez tout avant de valider, en particulier la cohérence entre les nombres (personnes, enregistrements), la gravité choisie et la réponse sur l’information des personnes. Téléchargez ensuite le document récapitulatif : la CNIL précise qu’il permet de répondre à l’obligation de documentation interne. Rangez-le dans votre registre des violations avec l’accusé de réception reçu par courriel.

Après l’envoi : ce que fait la CNIL

Toutes les notifications sont analysées. La CNIL indique les étudier dans les 24 heures ouvrées, sous l’angle du risque pour les personnes et des mesures prises avant et après l’incident. Si nécessaire, elle revient vers vous dans les 72 heures par courriel avec des conseils, des remarques ou des questions, et peut proposer une analyse de risque différente de la vôtre, par exemple pour exiger l’information des personnes. Elle vous laisse alors un délai pour répondre.

Sans retour de sa part sous deux mois, vous pouvez considérer qu’elle n’a pas de remarque. Le dossier peut toutefois se rouvrir à tout moment si un élément nouveau apparaît, qu’il vienne de vous, d’une plainte ou de la CNIL elle-même. Une notification peut aussi déclencher un contrôle, et l’examen porte alors sur la sécurité générale du traitement, bien au-delà de l’incident.

Ce que le formulaire ne vous demande pas

Le téléservice ne couvre qu’une partie des obligations. Le reste se vérifie en contrôle.

Le registre des violations d’abord (article 33.5). Toutes les violations y figurent, même sans risque et sans notification. La CNIL recommande d’y consigner la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements, les conséquences probables, les mesures prises et, le cas échéant, la raison pour laquelle vous n’avez ni notifié ni informé. Reprendre la structure du formulaire de notification pour tenir ce registre vous évite deux outils.

Les preuves ensuite. Conservez la chronologie horodatée, les journaux techniques, les captures d’écran, les échanges avec le sous-traitant et le prestataire de réponse aux incidents, les messages envoyés aux personnes et la liste des destinataires. Ces pièces démontrent la date de prise de connaissance et le sérieux de votre réaction.

La procédure, enfin. La CNIL recommande une procédure globale couvrant la détection, le confinement, l’analyse du risque et la décision de notifier. Elle doit nommer qui décide (le responsable de traitement), qui conseille (le DPO), qui notifie et qui communique, avec des suppléants pour les week-ends. Un exercice annuel sur table suffit souvent à révéler qu’un numéro d’astreinte ne répond plus.

Ce qui va changer

Des chantiers européens en cours vont modifier ce formulaire, sans effet pour l’instant.

Le CEPD a adopté le 10 juin 2026 un modèle commun de notification des violations, destiné à harmoniser les formulaires des autorités européennes, avec des options prédéfinies et des aides au remplissage. Le modèle a été soumis à consultation publique jusqu’au 5 août 2026. Le CEPD doit encore fixer le calendrier de sa mise en œuvre par chaque autorité. Le téléservice de la CNIL évoluera donc, probablement dans sa présentation plus que dans le fond, puisque le contenu reste dicté par l’article 33.

L’omnibus numérique proposé par la Commission européenne le 19 novembre 2025 prévoit de réserver la notification à l’autorité aux seules violations à risque élevé, de porter le délai à 96 heures et de créer un point d’entrée unique pour les signalements d’incidents (RGPD, NIS 2, DORA). Le Conseil de l’Union a arrêté son mandat le 21 octobre 2026 en conservant ces allègements, mais le Parlement européen n’a pas encore fixé sa position et les trilogues restent à venir. Jusqu’à l’adoption et à l’entrée en application du texte, la règle reste celle d’aujourd’hui : 72 heures, dès qu’il existe un risque.

Attention aux articles qui présentent les 96 heures comme acquises. Un organisme qui appliquerait ce délai aujourd’hui serait en retard au regard du RGPD en vigueur.

Sources

• RGPD, articles 4.12, 33 et 34
• CNIL, « Notifier une violation de données personnelles », page du téléservice et document d’aide à la préparation d’une notification (cnil.fr)
• CNIL, « Violations de données personnelles : les règles à suivre » (cnil.fr)
• CNIL, « Règlement européen : quand faut-il notifier une violation de données à la CNIL ? » (cnil.fr, rubrique Besoin d’aide)
• CNIL, sanction de 500 000 euros à l’encontre de l’Hôpital privé de la Loire, délibération SAN-2026-009 du 21 juillet 2026, publiée le 3 septembre 2026
• CNIL, « Le CEPD rencontre le commissaire européen McGrath et adopte un modèle commun de notification des violations de données », 10 juin 2026
• CEPD, lignes directrices 01/2021 sur les exemples de notification de violation de données (en anglais)
• CNIL, guide de la sécurité des données personnelles, mise à jour 2026
• Commission européenne, proposition de règlement omnibus numérique du 19 novembre 2025, et mandat du Conseil de l’Union européenne du 21 octobre 2026

Questions fréquentes