Une violation de données personnelles s’est produite dans votre organisme ? Vous disposez de 72 heures pour notifier la CNIL. Ce délai court et contraignant exige une préparation rigoureuse. Découvrez tout ce qu’il faut savoir pour réagir efficacement en 2025.
Qu’est-ce qu’une violation de données au sens du RGPD ?
L’article 4 du RGPD définit la violation de données comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou l’accès non autorisé à de telles données ». Cela couvre un spectre très large : cyberattaque, envoi d’email au mauvais destinataire, vol d’un ordinateur portable, perte d’une clé USB, erreur de configuration d’un serveur.
L’obligation de notification à la CNIL
L’article 33 du RGPD impose au responsable de traitement de notifier toute violation de données à l’autorité de contrôle (la CNIL en France) dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance. Ce délai démarre au moment où vous avez une certitude raisonnable qu’une violation a eu lieu, pas au moment de sa découverte technique par un système automatique.
Toutes les violations doivent-elles être notifiées ?
Non. La notification à la CNIL n’est obligatoire que si la violation est « susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ». En pratique, la grande majorité des violations doit être notifiée. Seules les violations sans risque avéré peuvent être exemptées, par exemple si les données concernées étaient intégralement chiffrées et que la clé n’a pas été compromise.
Comment notifier la CNIL ?
La notification se fait en ligne sur le teleservice dédié de la CNIL. Vous devez fournir : la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d’enregistrements touchées, les conséquences probables de la violation, les mesures prises ou envisagées pour remédier à la violation. Si vous ne disposez pas de toutes les informations dans les 72 heures, une notification initiale peut être complétée ultérieurement.
Le délai de 72 heures en pratique
Ce délai est extrêmement court. Voici un calendrier type : Heure 0 à 4 : détection et confirmation de l’incident, mobilisation de la cellule de crise. Heure 4 à 24 : investigation technique, évaluation de l’ampleur, identification des données concernées. Heure 24 à 48 : rédaction de la notification, mesures correctives. Heure 48 à 72 : validation par le DPO, soumission à la CNIL. Si le délai est dépassé, vous devez justifier le retard dans la notification.
Notification aux personnes concernées
Au-delà de la CNIL, l’article 34 du RGPD impose d’informer directement les personnes concernées lorsque la violation est susceptible d’engendrer un « risque élevé » pour leurs droits et libertés. Cette communication doit décrire la nature de la violation, les conséquences possibles et les mesures prises. Elle doit être faite dans un langage clair et simple.
Sanctions en cas de non-notification
Le défaut de notification à la CNIL dans les 72 heures exposé à des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. En 2024, la CNIL a prononcé plusieurs sanctions pour défaut de notification ou notification tardive. La non-notification est souvent considérée comme une circonstance aggravante lors de l’examen de la sanction globale.
Se préparer avant la crise
La meilleure façon de respecter le délai de 72 heures est de se préparer en amont : rédigez une procédure de gestion des violations, désignez les membres de la cellule de crise, préparez des modèles de notification, formez vos équipes à détecter et signaler les incidents. Un organisme préparé peut réagir en quelques heures plutôt qu’en quelques jours.
Conclusion
Le délai de 72 heures pour notifier une violation de données à la CNIL est un défi opérationnel majeur. En 2025, la préparation est votre meilleur atout : procédure documentée, cellule de crise identifiée et outils adaptés vous permettront de réagir rapidement et de limiter les conséquences pour votre organisme et pour les personnes concernées.
