Quand faut-il notifier une violation de données à la CNIL ?
Dès qu'une violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance (article 33 du RGPD). Si le risque est élevé, les personnes concernées doivent aussi être informées (article 34). Et dans tous les cas, y compris sans notification, la violation doit être inscrite au registre interne des violations.
En 2025, 6 167 violations de données ont été notifiées à la CNIL, soit une hausse de 9,5 % sur une année 2024 qui constituait déjà un record. Un incident déclaré sur deux relève d'un piratage. La CNIL en tire trois enseignements dans son rapport annuel : personne n'est épargné, les violations sont de plus en plus massives, et elles impliquent souvent des prestataires.
Cette dernière remarque explique pourquoi le sujet concerne aussi les très petites structures : il suffit que votre outil d'emailing, votre hébergeur ou votre prestataire de paiement soit compromis pour que vous — responsable du traitement — ayez une notification à faire. Ce guide décrit la procédure de bout en bout : ce qui constitue une violation, l'arbre de décision entre registre, CNIL et personnes concernées, le point de départ réel des 72 heures, le contenu attendu, et ce que risque un organisme qui garde le silence.
Ce qu'est une violation de données — et ce qui n'en est pas
L'article 4.12 du RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à celles-ci.
Deux mots méritent d'être soulignés. « Accidentelle » : l'absence de malveillance ne change rien à la qualification. Et « altération » ou « destruction » : une violation n'est pas seulement une fuite, c'est aussi une perte de disponibilité ou d'intégrité. Un chiffrement par rançongiciel qui vous prive de vos propres données est une violation, même si rien n'a été exfiltré.
Pour un site web ou une petite entreprise, les cas les plus fréquents sont prosaïques :
- l'export de base clients déposé sur un espace de stockage mal configuré ;
- l'email groupé envoyé en copie visible au lieu de copie cachée, qui divulgue les adresses de tous les destinataires les unes aux autres ;
- le rançongiciel qui chiffre le serveur de fichiers ou la base de données ;
- l'ordinateur portable ou le téléphone volé contenant des données clients non chiffrées ;
- la suppression accidentelle d'une base sans sauvegarde exploitable ;
- le prestataire compromis — outil d'emailing, CRM, hébergeur, solution de paiement ;
- le compte administrateur d'un ancien salarié resté actif et utilisé.
Ce qui n'est pas une violation
Une tentative d'intrusion qui échoue, un scan de ports, une campagne d'hameçonnage à laquelle personne n'a répondu : ce sont des incidents de sécurité, à traiter comme tels, mais tant qu'aucune donnée personnelle n'a été détruite, perdue, altérée, divulguée ou consultée sans autorisation, il n'y a pas de violation au sens de l'article 4.12. La frontière se joue sur l'atteinte effective aux données, pas sur l'intention de l'attaquant.
L'arbre de décision : registre, CNIL, personnes concernées
Faut-il notifier la CNIL et informer les personnes après une violation ?
Tout dépend du risque pour les personnes. Aucun risque : documentation au registre interne seulement. Risque : notification à la CNIL sous 72 heures, plus le registre. Risque élevé : notification à la CNIL, information des personnes concernées dans les meilleurs délais, et registre. C'est au responsable du traitement d'apprécier ce niveau de risque — et de savoir le justifier.
| Niveau de risque pour les personnes | Registre interne | Notification à la CNIL | Information des personnes |
|---|---|---|---|
| Aucun risque | Obligatoire | Non | Non |
| Risque | Obligatoire | Oui, sous 72 h | Non |
| Risque élevé | Obligatoire | Oui, sous 72 h | Oui, dans les meilleurs délais |
L'appréciation du risque s'apprécie du point de vue des personnes, pas de l'entreprise. Les critères qui font monter le curseur : la nature des données (données de santé, données bancaires, données révélant des convictions ou une orientation sexuelle, pièces d'identité), le volume de personnes touchées, la facilité d'identification des personnes à partir des données exposées, la gravité des conséquences possibles — usurpation d'identité, fraude bancaire, atteinte à la réputation, discrimination —, et la vulnérabilité des personnes concernées, en particulier lorsqu'il s'agit de mineurs.
Le doute ne dispense pas de notifier
En cas d'hésitation sur le niveau de risque, la notification est la position sûre : elle est peu coûteuse, elle ne déclenche pas mécaniquement de sanction, et elle démontre votre diligence. L'inverse ne se rattrape pas. Sur les 265 sanctions de notre Observatoire des sanctions CNIL, 12 retiennent un manquement lié aux violations de données — notification tardive, absence de notification, défaut d'information des personnes ou absence de documentation.
Le délai de 72 heures : à partir de quand, exactement
C'est le point sur lequel les organismes se trompent le plus, et celui qui coûte le plus cher.
Le délai court à compter de la prise de connaissance de la violation, et non de la fin de votre investigation. La prise de connaissance est acquise dès que vous disposez d'un degré raisonnable de certitude qu'un incident de sécurité a affecté des données personnelles. Vous n'avez pas besoin de connaître l'ampleur exacte, le nombre précis de personnes touchées ni l'origine de l'attaque : ces éléments viendront après.
Trois conséquences pratiques.
Ce sont 72 heures calendaires. Week-ends et jours fériés compris. Une violation découverte un vendredi soir doit être notifiée au plus tard le lundi soir.
Le dépassement n'annule pas l'obligation. Passé le délai, il faut notifier quand même, en exposant les motifs du retard. Une notification tardive motivée vaut infiniment mieux qu'une absence de notification.
La notification peut se faire en deux temps. Le RGPD prévoit expressément que les informations peuvent être fournies de manière échelonnée : une notification initiale dans les 72 heures avec ce que vous savez, puis un ou plusieurs compléments. C'est le mécanisme qui rend le délai tenable, et il est trop peu utilisé — beaucoup d'organismes retardent leur notification pour la rendre complète, ce qui les met en faute alors que le texte leur offre la solution inverse.
Une notification trois mois après les faits : 100 000 €
Par la délibération SAN-2025-008 du 18 septembre 2025, la CNIL a sanctionné une société exploitant un grand magasin, notamment sur le fondement de l'article 33. Des cartes mémoire de caméras dissimulées avaient été retirées les 13 et 14 septembre 2023 ; la violation n'a été notifiée que le 2 décembre 2023, soit près de trois mois plus tard. La société n'avait pas identifié l'incident comme une violation de données personnelles avant les échanges avec la délégation de contrôle de la CNIL. Le reproche n'est pas d'avoir subi l'incident, mais de ne pas l'avoir qualifié.
Ce que doit contenir la notification
L'article 33.3 fixe une liste. La notification doit :
- décrire la nature de la violation — ce qui s'est passé, comment, quand ;
- indiquer les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d'enregistrements en cause ;
- donner le nom et les coordonnées du délégué à la protection des données ou, à défaut, d'un autre point de contact ;
- décrire les conséquences probables de la violation pour les personnes ;
- décrire les mesures prises ou proposées pour remédier à la violation et, le cas échéant, en atténuer les effets négatifs.
La notification se fait par le téléservice de la CNIL, lié en fin d'article. Le formulaire suit cette structure : le préparer une fois « à froid », avant tout incident, fait gagner un temps décisif le jour où il faut le remplir en urgence.
Informer les personnes concernées
Lorsque la violation est susceptible d'engendrer un risque élevé, l'article 34 impose d'informer les personnes dans les meilleurs délais. Il n'y a pas de délai chiffré ici : l'information doit être aussi rapide que possible, l'objectif étant de leur permettre de se protéger — changer un mot de passe, surveiller un compte bancaire, se méfier d'une tentative d'hameçonnage ciblée.
Le message doit être rédigé en termes clairs et simples, sans jargon technique ni euphémisme, et reprendre : la nature de la violation, les conséquences probables, les coordonnées du point de contact, les mesures prises, et les recommandations concrètes adressées aux personnes.
Trois exceptions dispensent de la communication individuelle :
- les données étaient protégées par des mesures appropriées les rendant incompréhensibles, typiquement un chiffrement dont la clé n'a pas été compromise ;
- des mesures ultérieures garantissent que le risque élevé n'est plus susceptible de se matérialiser ;
- la communication individuelle exigerait des efforts disproportionnés — auquel cas elle est remplacée par une information publique ou une mesure d'effet équivalent.
Le chiffrement est la meilleure assurance
C'est le seul endroit du RGPD où une mesure technique vous exonère d'une obligation. Un ordinateur portable volé dont le disque est chiffré, une sauvegarde chiffrée exposée, une base dont les données sensibles sont chiffrées avec une clé restée hors d'atteinte : l'incident reste une violation à documenter et le plus souvent à notifier, mais la communication aux personnes n'est plus exigée. C'est un argument concret pour chiffrer les postes et les sauvegardes avant d'en avoir besoin.
Le registre des violations, l'obligation qu'on oublie
L'article 33.5 impose de documenter toutes les violations, y compris celles que vous décidez de ne pas notifier. Chaque entrée doit permettre à la CNIL de vérifier votre analyse : faits et date, catégories et nombre approximatif de personnes et de données concernées, effets et conséquences, mesures de remédiation, et — point décisif — la justification de la décision de ne pas notifier lorsque c'est le choix retenu.
C'est ce document que la CNIL demande en premier lors d'un contrôle, et c'est celui qui manque le plus souvent. Un registre vide face à une entreprise qui a nécessairement connu quelques incidents en plusieurs années se lit comme une absence de dispositif, non comme une absence d'incident.
Attention à ne pas le confondre avec le registre des activités de traitement de l'article 30, qui décrit vos traitements et non vos incidents. Les deux sont obligatoires et distincts : voir notre modèle de registre des traitements.
Si le prestataire est touché, ou si vous êtes le prestataire
C'est le cas de figure que la CNIL signale comme structurant en 2025 : les violations « impliquent souvent des prestataires ».
Vous êtes responsable du traitement et votre sous-traitant est compromis. L'article 33.2 oblige le sous-traitant à vous alerter dans les meilleurs délais — sans délai chiffré, mais l'objectif est clairement de vous laisser tenir vos 72 heures. C'est vous, et non lui, qui notifiez la CNIL. D'où l'importance d'une clause précise dans votre contrat de sous-traitance : délai d'alerte exprimé en heures, informations à transmettre, interlocuteur d'astreinte, assistance à la notification. Notre article sur les documents d'un SaaS B2B détaille ce que doit contenir un accord de traitement des données.
Vous êtes sous-traitant. Votre obligation est d'alerter chacun de vos clients responsables de traitement. Vous pouvez notifier la CNIL pour leur compte s'ils vous le demandent, mais cela ne transfère pas leur responsabilité : la notification reste la leur.
Vous ne savez pas si vous êtes responsable ou sous-traitant. La question se règle sur la finalité : celui qui détermine pourquoi et comment les données sont traitées est responsable du traitement. Un éditeur de logiciel qui héberge les données de ses clients est en général sous-traitant pour ces données, et responsable pour celles de ses propres prospects.
Ce que risque un organisme qui ne notifie pas
Le manquement aux articles 33 et 34 relève du plafond de l'article 83.4 du RGPD, qui couvre les obligations des articles 25 à 39 : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est le plafond « bas » du règlement — l'autre, à 20 millions d'euros ou 4 %, vise les principes fondamentaux et les droits des personnes.
Ces plafonds ne disent rien de la pratique. Deux repères plus utiles.
La cybersécurité est devenue un axe central de la répression. Dans son rapport annuel 2025, la CNIL indique que les manquements en matière de cybersécurité représentent un tiers de ses contrôles et près de 30 % de ses sanctions. Elle a prononcé 83 sanctions en 2025.
Les montants restent souvent modestes. La procédure simplifiée de l'article 22-1 de la loi Informatique et Libertés, plafonnée à 20 000 €, est aujourd'hui le mode de sanction le plus courant, et elle vise en priorité les petites structures. Sur les 12 sanctions de notre Observatoire retenant un manquement lié aux violations de données, les montants vont de 3 000 € à 27 millions d'euros, et 5 d'entre elles ne dépassent pas 20 000 €.
6 000 € pour un médecin qui ignorait l'obligation
La délibération SAN-2020-015 du 7 décembre 2020 sanctionne un médecin exerçant en imagerie médicale de 6 000 € au titre des articles 32 et 33 du RGPD. Plus de 1 200 séries d'images médicales — avec noms, dates de naissance et médecin prescripteur — étaient accessibles sans authentification depuis Internet, pendant environ cinq ans. La CNIL a découvert l'exposition par une divulgation publique d'une société de recherche en sécurité, non par une notification. Le praticien a corrigé la faille dès qu'il l'a apprise, mais n'a jamais notifié, invoquant son ignorance de l'obligation. L'ignorance n'a pas été retenue comme excuse.
Les 72 premières heures : la checklist
Six actions, dans cet ordre.
- Contenir. Coupez l'accès, révoquez les identifiants compromis, isolez le système touché. La priorité est d'arrêter l'hémorragie, pas de comprendre.
- Horodater. Notez la date et l'heure exactes auxquelles vous avez pris connaissance de l'incident : c'est le point de départ de vos 72 heures, et la première chose qu'on vous demandera.
- Qualifier. Des données personnelles ont-elles été détruites, perdues, altérées, divulguées ou consultées sans autorisation ? Si oui, c'est une violation, même sans malveillance.
- Évaluer le risque pour les personnes : nature des données, volume, identifiabilité, conséquences possibles, vulnérabilité. C'est cette évaluation qui décide de la suite.
- Notifier via le téléservice de la CNIL si un risque existe — sans attendre d'avoir tout compris, en annonçant un complément à venir. Et informer les personnes si le risque est élevé.
- Documenter l'ensemble au registre des violations, y compris la justification si vous décidez de ne pas notifier.
Ce qu'il faut préparer avant l'incident
Trois choses, qui prennent une demi-journée : un registre des violations vierge au bon format, une liste des interlocuteurs d'astreinte chez vos sous-traitants critiques (hébergeur, emailing, paiement, CRM), et un modèle de message d'information des personnes. Le jour de la violation, vous n'aurez pas le temps de les créer.
Où en est votre conformité RGPD ?
10 questions, aucune donnée personnelle demandée. Le résultat identifie les manquements à corriger en priorité, calibré sur des sanctions CNIL réelles.
Tester mon risque RGPD
Ressources officielles
- Violations de données personnelles : les règles à suivre : la doctrine de la CNIL, avec les trois niveaux de réaction.
- Notifier une violation de données personnelles : le téléservice de notification de la CNIL.
- Sécurité : gérer les incidents et les violations : fiche du guide de la sécurité des données personnelles, CNIL.
- Chapitre IV du RGPD — Responsable du traitement et sous-traitant : texte des articles 32, 33 et 34, CNIL.
- Règlement (UE) 2016/679 (RGPD) : texte intégral, dont l'article 4.12 (définition) et l'article 83.4 (plafond des amendes), EUR-Lex.
- Rapport annuel 2025 de la CNIL : source des chiffres cités (6 167 violations notifiées, + 9,5 %, part des piratages, part des contrôles et sanctions liés à la cybersécurité), publié le 18 mai 2026.
- Article 22-1 de la loi Informatique et Libertés : procédure de sanction simplifiée, plafonnée à 20 000 €, Légifrance.
- Délibération SAN-2025-008 du 18 septembre 2025 : notification tardive de près de trois mois, 100 000 € d'amende, Légifrance.
- Délibération SAN-2020-015 du 7 décembre 2020 : défaut de sécurité et absence de notification, 6 000 € d'amende, Légifrance.
Une violation de données n'est pas, en soi, une faute : la CNIL en reçoit plus de six mille par an et n'en sanctionne qu'une infime part. Ce qui est sanctionné, c'est le silence, le retard non motivé et l'absence de trace écrite. Autrement dit, une organisation qui notifie vite et documente proprement transforme un incident subi en preuve de conformité — et c'est exactement l'inverse pour celle qui espère que personne ne s'en apercevra.