Une violation n’est pas seulement un piratage. C’est toute atteinte à la sécurité entraînant la destruction, la perte, l’altération ou l’accès non autorisé à des données personnelles. La cause peut être malveillante ou parfaitement accidentelle, cela ne change rien à la qualification. Alors, violation de données 72h
Un ordinateur portable volé dans un train, un email envoyé au mauvais destinataire avec un fichier de bénéficiaires en pièce jointe, une base exposée par une API mal configurée : trois violations. Beaucoup d’organismes ne voient que la troisième et laissent passer les deux premières, qui sont pourtant les plus fréquentes.
En 2025, la CNIL a reçu 6 167 notifications, un record. Le rythme du premier trimestre 2026 dépasse déjà celui de l’année précédente. Le sujet a quitté le terrain de la théorie.
Quand démarre le délai de 72 heures ?
Voici le point que la plupart des organismes manquent. Le délai ne court pas depuis l’incident, mais depuis le moment où vous en avez connaissance avec un degré raisonnable de certitude. Une alerte vague, non confirmée, ne déclenche pas encore le chrono. Une confirmation technique, même partielle, le déclenche.
Ce point de départ inclut le week-end et les jours fériés. Les 72 heures sont calendaires, pas ouvrées. Une fuite détectée un vendredi soir expire un lundi soir, et personne ne viendra vous expliquer que le service était fermé.
Si vous dépassez le délai, la notification reste due. Vous devrez simplement motiver le retard. L’absence pure et simple de notification, elle, aggrave nettement le risque de sanction.
| Situation | Point de départ des 72 heures |
|---|---|
| Incident détecté en interne | Dès la connaissance avec une certitude raisonnable |
| Alerte reçue d’un sous-traitant | À la réception de l’information du sous-traitant |
| Doute sur la réalité de la fuite | Après une courte période de vérification |
Que se passe-t-il quand la fuite vient d’un sous-traitant ?
La charge se déplace d’un cran, souvent au mauvais moment. La responsabilité de notifier la CNIL reste au responsable de traitement. Le sous-traitant, lui, doit alerter le responsable sans délai injustifié. Autrement dit, votre délai démarre à la vitesse de réaction d’un tiers. Un prestataire lent vous met en retard alors que vous n’avez commis aucune erreur.
| Acteur | Obligation |
|---|---|
| Sous-traitant | Alerter le responsable de traitement sans délai injustifié |
| Responsable de traitement | Notifier la CNIL sous 72 heures |
| Responsable de traitement | Informer les personnes concernées en cas de risque élevé |
Cette dépendance se prépare en amont, dans le contrat. Un délai d’alerte chiffré, un canal d’alerte nommé, un interlocuteur identifié. Sans cela, vous découvrirez la fuite par un article de presse ou par un client mécontent.
Encore faut-il retrouver l’information le jour J. Reconstituer en urgence la chaîne des sous-traitants, savoir lequel héberge quelles données et ce que son contrat prévoit en matière d’alerte, c’est exactement le genre d’exercice qui consomme les premières heures, celles qui comptent le plus.
Faut-il informer les personnes concernées ?
La notification à la CNIL et l’information des personnes sont deux obligations distinctes. La seconde ne s’impose qu’en cas de risque élevé pour les droits et libertés.
Une fuite de données de santé, bancaires ou d’identifiants nationaux relève presque toujours du risque élevé. Il en va de même dès que les données permettent une usurpation d’identité ou une fraude, par exemple la combinaison nom, date de naissance et numéro de sécurité sociale. À l’inverse, des données chiffrées avec un algorithme robuste et une clé restée hors de portée de l’attaquant peuvent dispenser de cette information.
Les données de santé bénéficient d’un régime renforcé. Dans les faits, leur fuite pousse presque systématiquement vers l’information des personnes. Dans tous les cas, l’évaluation du risque doit être écrite et conservée : c’est elle que la CNIL demandera si elle contrôle votre décision de ne pas informer.
Comment réagir dans les 72 heures ?
Un plan clair évite la panique. Chaque heure compte, mais la précipitation fabrique des erreurs, et une notification bâclée se paie plus tard.
- Qualifier l’incident et délimiter les données et les personnes touchées.
- Contenir la fuite et conserver les preuves techniques.
- Évaluer le risque pour les personnes concernées.
- Notifier la CNIL, même avec des informations partielles à compléter ensuite.
- Consigner l’incident dans le registre des violations, qu’il soit notifié ou non.
Ce registre est obligatoire pour toute violation, y compris celles que vous choisissez de ne pas notifier. C’est un document de contrôle, et son absence est sanctionnable en elle-même. Les manquements à la sécurité figurent d’ailleurs parmi les premiers motifs du panorama des sanctions de la CNIL.
Qualifier l’incident sans improviser : ce que fait DPO SUITE
Le vrai problème d’une violation, ce n’est pas de connaître la règle. C’est de l’appliquer en quelques heures, sous pression, avec des informations incomplètes et une direction qui demande des réponses.
DPO SUITE prend l’incident en charge du signalement à la notification. Vous ouvrez une fiche d’incident, l’outil vous fait décrire ce qui s’est passé, les catégories de données touchées, le volume de personnes concernées et les mesures de sécurité en place au moment des faits. À partir de ces éléments, il qualifie la violation, propose un niveau de risque pour les personnes et vous dit s’il faut notifier la CNIL, informer les personnes, ou seulement documenter.
Trois choses changent concrètement.
Le point de départ des 72 heures est horodaté dans l’outil, avec la date de connaissance et non la date de l’incident. Vous savez à tout moment combien de temps il reste, et vous gardez la trace de ce que vous saviez et à quel moment. C’est cette trace qui justifie un éventuel retard.
La chaîne des sous-traitants est déjà là. Les contrats, les flux de données et les engagements d’alerte sont centralisés, donc vous retrouvez en quelques clics qui héberge la donnée concernée, qui devait vous prévenir et sous quel délai. Vous ne reconstituez rien dans l’urgence.
La déclaration CNIL est préparée pour vous. DPO SUITE reprend les éléments déjà saisis, les met au format attendu par le formulaire de notification et signale ce qui manque encore. Le registre des violations se remplit au passage, pour les incidents notifiés comme pour ceux qui ne le sont pas. Les actions correctives et leur suivi restent attachés à la fiche.
Le DPO n’est plus seul face au chronomètre, et le responsable de traitement n’improvise pas une décision qu’il devra justifier deux ans plus tard.
Questions fréquentes
La notification est-elle obligatoire pour toute violation ?
Non. Vous devez notifier la CNIL sauf si la violation ne présente pas de risque pour les droits et libertés des personnes. En revanche, chaque violation doit figurer dans votre registre interne, qu’elle soit notifiée ou non. Cette documentation est contrôlée et son absence est sanctionnable.
Que risque-t-on en cas de notification tardive ?
Le retard n’annule pas l’obligation. Vous devez notifier et motiver le délai. Une notification tardive, et plus encore une absence de notification, aggrave le risque de sanction, surtout si la sécurité était insuffisante en amont. La CNIL consacre en 2026 la moitié de ses contrôles à la sécurité des données.
Mon sous-traitant doit-il notifier la CNIL à ma place ?
Non. Le sous-traitant vous alerte sans délai injustifié, mais la notification à la CNIL reste votre responsabilité de responsable de traitement. Vérifiez que le contrat impose un délai d’alerte précis. Sans cela, la lenteur du prestataire peut vous placer hors délai malgré votre diligence.
Dois-je toujours informer les personnes concernées ?
Non, seulement en cas de risque élevé pour leurs droits et libertés. Une fuite de données de santé ou bancaires déclenche presque toujours cette information. Des données chiffrées et inexploitables par un tiers peuvent en dispenser. Dans les deux cas, l’évaluation du risque doit être documentée.
Les 72 heures incluent-elles le week-end ?
Oui. Le délai est calendaire, pas ouvré. Il court sans interruption, y compris la nuit, le week-end et les jours fériés. C’est pourquoi une procédure d’astreinte et des modèles prêts à l’emploi font gagner un temps décisif au moment de l’incident.
À partir de quand court exactement le délai ?
À partir du moment où vous avez connaissance de la violation avec un degré raisonnable de certitude, et non à partir de l’incident lui-même. Une courte période de vérification est admise en cas de doute réel sur la réalité de la fuite, à condition de pouvoir la justifier.
