Notification de violation de données (CNIL)
Obligation de signaler à la CNIL, dans les 72 heures, une violation de données personnelles présentant un risque pour les personnes.
Définition complète
Une violation de données personnelles est un incident de sécurité, accidentel ou malveillant, qui entraîne la perte de disponibilité, d'intégrité ou de confidentialité de données personnelles : rançongiciel qui chiffre un fichier clients, email envoyé au mauvais destinataire, ordinateur portable volé, base de données exposée.
L'article 33 du RGPD impose au responsable du traitement de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Si toutes les informations ne sont pas disponibles, une notification initiale est faite dans les 72 heures puis complétée. Un dépassement du délai doit être justifié. Un sous-traitant doit informer son client dans les meilleurs délais.
Lorsque le risque est élevé, l'article 34 impose aussi d'informer les personnes concernées. Enfin, toute violation, même non notifiée, doit être consignée dans un registre interne (nature, conséquences, mesures prises). La notification se fait via le téléservice de la CNIL.
Sources : CNIL, Notifier une violation de données personnelles ; EUR-Lex, Règlement (UE) 2016/679 (RGPD)
Exemple concret
Une clinique vétérinaire de 12 salariés découvre un mardi à 9 h que son logiciel de rendez-vous a été piraté et que les coordonnées de 4 000 clients ont été copiées. Le gérant notifie la CNIL le jeudi à 15 h, dans les 72 heures, avec les informations disponibles, puis complète la notification une semaine plus tard avec le rapport du prestataire. Les clients sont informés par email et invités à se méfier des faux messages.
Comment se protéger
- Tenir un registre de toutes les violations, y compris celles qui ne sont pas notifiées
- Désigner à l'avance qui décide de notifier (dirigeant, DPO) et qui remplit le téléservice
- Démarrer le décompte des 72 heures dès la découverte de la violation
- Notifier en deux temps si l'enquête n'est pas terminée
- Informer les personnes concernées si le risque est élevé, avec des conseils concrets
- Prévoir dans les contrats que les sous-traitants signalent sans délai toute violation
Questions fréquentes
Non. Seules celles susceptibles d'engendrer un risque pour les personnes doivent être notifiées. Toutes doivent en revanche être inscrites dans le registre interne.
La CNIL admet une notification initiale dans les 72 heures, complétée ensuite par une notification complémentaire lorsque les informations sont disponibles.
Non. Ce sont deux démarches distinctes : la notification relève du RGPD, la plainte est adressée à la police, à la gendarmerie ou au procureur, et conditionne aussi l'indemnisation par l'assureur.
Termes liés
Cyberassurance
Contrat qui couvre tout ou partie des pertes d'une cyberattaque ; l'indemnisation exige une plainte dans les 72 heures.
DPO (délégué à la protection des données)
Personne chargée de conseiller l'organisme et de contrôler sa conformité au RGPD, obligatoire dans certains cas.
Plan de réponse à incident
Procédure écrite qui indique qui fait quoi, dans quel ordre et avec quels contacts dès qu'une cyberattaque est détectée.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Vous avez besoin d'un expert en Notification de violation de données (CNIL) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.