Fuite de données personnelles : procédure RGPD 72h 2026

L’essentiel. Une fuite de données est une violation de données personnelles au sens de l’article 4.12 du RGPD. Face à elle, trois réflexes : documenter la violation dans un registre interne (obligatoire dans tous les cas), notifier la CNIL sous 72 heures si la violation présente un risque pour les personnes (art. 33), et informer les personnes concernées sans délai si le risque est élevé (art. 34). Le défaut de notification est un manquement à part entière, régulièrement sanctionné.

La gestion des fuites de données est un enjeu majeur de cybersécurité et de conformité. Le RGPD impose des actions précises, dans des délais courts, sous peine de sanctions. La CNIL constate d’année en année une hausse des notifications de violations, et la sécurité des données figure parmi les manquements qu’elle sanctionne le plus fréquemment. Autrement dit : ce n’est pas si une violation surviendra qu’il faut se demander, mais comment vous y répondrez le jour où elle surviendra. Ce guide détaille la procédure, les délais, les seuils de notification et fournit une trame de réponse.

Qu’est-ce qu’une fuite de données personnelles ?

Une fuite de données est, juridiquement, une perte de contrôle sur des données personnelles. Le RGPD parle de « violation de données à caractère personnel », qu’il définit à l’article 4.12 comme :

« une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données. »

Cette définition est plus large que la seule cyberattaque. On distingue classiquement trois types de violations, selon la propriété de sécurité atteinte :

Type de violation	Ce qui est atteint	Exemples
Confidentialité	Divulgation ou accès non autorisé	Piratage, email envoyé au mauvais destinataire, vol d’ordinateur portable
Intégrité	Altération non autorisée	Modification frauduleuse de données, corruption de fichiers
Disponibilité	Perte ou destruction, accès rendu impossible	Rançongiciel chiffrant les données, suppression accidentelle sans sauvegarde

Une même violation peut relever de plusieurs catégories (un rançongiciel porte souvent atteinte à la fois à la disponibilité et à la confidentialité). Les causes sont variées : cyberattaque, erreur humaine (première cause en pratique), vulnérabilité technique, acte malveillant interne, perte de matériel. Les conséquences pour les personnes peuvent être lourdes : usurpation d’identité, préjudice financier, atteinte à la vie privée, discrimination.

Pourquoi c’est un vrai risque de sanction

Plusieurs sanctions publiques de la CNIL illustrent l’importance de ces obligations, notamment lorsque la sécurité ou la gestion de la violation sont en cause :

• Groupe Canal+ — sanction de 600 000 €, portant notamment sur la sécurité et la gestion des données de prospection ;
• Carrefour France — sanction de plus de 2 millions d’euros pour un ensemble de manquements incluant la sécurité et l’information des personnes ;
• Free — sanction de 300 000 € relative à la sécurité des données et aux droits des personnes.

Au-delà de ces exemples, l’éventail des sanctions RGPD va de l’avertissement à l’amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Suivre la procédure n’est donc pas optionnel.

Les 3 réflexes de la procédure RGPD

Le RGPD organise précisément la réponse à une violation, autour de trois obligations qui ne se déclenchent pas dans les mêmes conditions.

Étape	Fondement	Quand ?	Toujours obligatoire ?
1. Documenter au registre des violations	Art. 33.5	Toute violation, même mineure	Oui, systématiquement
2. Notifier la CNIL	Art. 33.1	Risque pour les droits et libertés	Sauf si risque improbable
3. Informer les personnes	Art. 34	Risque élevé	Seulement si risque élevé

L’erreur fréquente consiste à croire que « pas de notification CNIL = rien à faire ». Faux : toute violation doit être inscrite au registre interne, y compris celles qui ne sont pas notifiées.

Étape 1 — Documenter la violation dans le registre

Le responsable de traitement doit documenter toute violation de données dans un registre interne dédié (art. 33.5). Ce registre indique les faits, les effets de la violation et les mesures prises pour y remédier — et cela, que la violation ait été notifiée ou non à la CNIL. Il permet à l’autorité de contrôle de vérifier a posteriori que le responsable a correctement apprécié le risque.

Au-delà de l’obligation formelle, ce registre installe une logique d’amélioration continue : chaque incident documenté doit nourrir le renforcement des mesures de sécurité. C’est aussi un élément de preuve précieux en cas de contrôle. Un logiciel RGPD permet d’industrialiser la tenue de ce registre des violations aux côtés du registre des activités de traitement, en horodatant chaque incident et en conservant la trace des décisions d’appréciation du risque.

Étape 2 — Notifier la CNIL sous 72 heures

L’article 33.1 impose de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Points d’attention sur ce délai :

• Le compte à rebours démarre à la prise de connaissance de la violation, pas au jour de l’incident lui-même.
• Les 72 heures incluent les week-ends et jours fériés : il faut donc une procédure interne d’astreinte.
• Si la notification intervient après 72 heures, elle reste due, mais doit être accompagnée des motifs du retard.

La notification s’effectue via le téléservice dédié sur le site de la CNIL. Elle doit contenir (art. 33.3) :

1. la nature de la violation, avec, si possible, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
2. le nom et les coordonnées du DPO ou d’un autre point de contact ;
3. les conséquences probables de la violation ;
4. les mesures prises ou envisagées pour remédier à la violation et en atténuer les effets.

Si toutes les informations ne sont pas disponibles immédiatement, elles peuvent être communiquées de façon échelonnée (art. 33.4) : on notifie d’abord ce que l’on sait, puis on complète. Pour une trame prête à remplir, voir notre modèle de notification de violation à la CNIL sous 72h et le guide notification de violation de données.

Étape 3 — Informer les personnes concernées

Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés, les personnes concernées doivent être informées dans les meilleurs délais (art. 34.1). Cette communication doit être rédigée en termes clairs et simples, et préciser au minimum : la nature de la violation, le point de contact, les conséquences probables et les mesures prises ou proposées. Il est vivement recommandé d’y ajouter des conseils pratiques de protection (changer ses mots de passe, surveiller ses comptes, se méfier des tentatives d’hameçonnage exploitant les données fuitées).

L’article 34.3 prévoit trois cas de dispense d’information individuelle :

• (a) les données concernées étaient protégées par des mesures rendant les données inintelligibles (par exemple un chiffrement robuste), de sorte que le risque ne se matérialise pas ;
• (b) des mesures ultérieures garantissent que le risque élevé n’est plus susceptible de se matérialiser ;
• © l’information individuelle exigerait des efforts disproportionnés : une communication publique ou une mesure équivalente est alors admise.

Comment apprécier le risque ?

Toute la procédure repose sur une évaluation du risque pour les personnes. Cette appréciation détermine s’il faut notifier la CNIL (risque) et informer les personnes (risque élevé). On tient compte, notamment :

• du type de violation (une divulgation est souvent plus grave qu’une simple indisponibilité temporaire) ;
• de la nature et du volume des données (des données sensibles ou des identifiants financiers élèvent immédiatement le risque) ;
• de la facilité d’identification des personnes ;
• de la gravité des conséquences possibles (usurpation d’identité, fraude, atteinte à la réputation) ;
• des caractéristiques des personnes (mineurs, personnes vulnérables) et de leur nombre.

Lorsque la violation révèle un risque élevé et systémique, elle peut aussi justifier de réexaminer, voire de mener, une analyse d’impact (AIPD) sur le traitement concerné. L’AIPD, réalisée en amont, est d’ailleurs le meilleur outil pour réduire la probabilité et la gravité des violations futures.

Le rôle du sous-traitant

Une violation survient fréquemment chez un sous-traitant (hébergeur, prestataire SaaS, infogéreur). L’article 33.2 lui impose d’informer le responsable de traitement sans délai injustifié après avoir eu connaissance de la violation. C’est ensuite au responsable qu’incombe la notification à la CNIL et, le cas échéant, l’information des personnes.

Cette chaîne doit être anticipée contractuellement : le contrat de sous-traitance (article 28 du RGPD) doit prévoir les modalités et délais d’alerte, sous peine de découvrir la violation trop tard pour respecter le délai de 72 heures. Vérifiez ces clauses dès la sélection du prestataire, via par exemple un questionnaire de sécurité.

Trame de notification (à adapter)

Voici une structure minimale à préparer à l’avance pour gagner un temps précieux le jour J.

Objet — Notification de violation de données à caractère personnel (art. 33 RGPD)

1. Responsable de traitement : [dénomination, coordonnées] — Contact : [DPO / point de contact]. 2. Date et heure de prise de connaissance : [date] — Nature de la violation : [confidentialité / intégrité / disponibilité], [description factuelle]. 3. Données et personnes concernées : [catégories de données], [catégories de personnes], [nombre approximatif]. 4. Conséquences probables : [risques identifiés pour les personnes]. 5. Mesures prises ou envisagées : [mesures de remédiation, d’atténuation, de sécurisation]. 6. Information des personnes : [prévue / non prévue] — [motivation].

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — 10 juillet 2026.

Une version complète et commentée figure dans notre modèle de notification CNIL 72h.

Attention particulière aux données sensibles

Certaines données bénéficient d’une protection renforcée par l’article 9 du RGPD : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques d’identification, données de santé, données relatives à la vie ou à l’orientation sexuelle.

Une fuite portant sur ces données sensibles élève quasi automatiquement le risque au niveau « élevé » — ce qui déclenche à la fois la notification à la CNIL et l’information des personnes. Elle expose aussi davantage à un contrôle approfondi. Dans ce cas, faites-vous accompagner : les enjeux de sanction et d’atteinte aux personnes justifient une réponse particulièrement rigoureuse.

Tenir le délai de 72 heures : la préparation en amont

Le délai de 72 heures est court, et il ne commence pas quand vous êtes prêt : il court dès la prise de connaissance. On ne se prépare donc pas pendant la crise, mais avant. Quelques mesures simples font la différence le jour J :

• Un point de contact et une astreinte. Désignez qui reçoit l’alerte, qui décide de notifier, qui rédige. Sans cela, les premières heures — les plus précieuses — se perdent en tâtonnements.
• Une procédure interne écrite. Un document d’une page décrivant les étapes (contenir, qualifier, évaluer le risque, documenter, notifier) évite l’improvisation et sécurise juridiquement vos décisions.
• Des clauses d’alerte dans les contrats de sous-traitance. Puisqu’une part importante des violations survient chez un prestataire, exigez un délai d’alerte contractuel court et un point de contact identifié.
• Une trame de notification pré-remplie. Disposer d’un modèle prêt à compléter (comme celui fourni plus haut) transforme la notification en simple exercice de remplissage.
• Des sauvegardes testées et un chiffrement des données sensibles. Au-delà de la conformité, ce sont ces mesures qui, en pratique, permettent d’invoquer les dispenses de l’article 34.3 et de réduire le risque réel pour les personnes.

Cette anticipation rejoint la logique de l’analyse d’impact (AIPD) : identifier les traitements à risque avant l’incident, c’est réduire à la fois la probabilité d’une violation et la gravité de ses conséquences. Une organisation qui a préparé son plan de réponse traite une violation comme l’exécution d’un plan, non comme une crise existentielle.

Checklist de réaction à une violation

• [ ] Contenir l’incident (isoler les systèmes, révoquer les accès compromis)
• [ ] Horodater la prise de connaissance (départ du délai de 72h)
• [ ] Qualifier la violation (confidentialité / intégrité / disponibilité)
• [ ] Recenser les données et les personnes concernées
• [ ] Évaluer le risque (risque / risque élevé)
• [ ] Inscrire la violation au registre interne (systématique)
• [ ] Notifier la CNIL sous 72h si risque (ou notification échelonnée)
• [ ] Informer les personnes sans délai si risque élevé (sauf dispense art. 34.3)
• [ ] Documenter toutes les décisions et mesures prises
• [ ] Tirer les leçons : corriger les causes, mettre à jour l’AIPD

FAQ

Quelle est la différence entre une fuite de données et une violation de données ?

Aucune sur le fond. « Fuite de données » est le terme courant ; « violation de données à caractère personnel » est la notion juridique de l’article 4.12 du RGPD. La violation est d’ailleurs plus large que la simple divulgation : elle englobe aussi la perte, la destruction et l’altération des données (atteintes à la disponibilité et à l’intégrité, pas seulement à la confidentialité).

Faut-il notifier toutes les fuites de données à la CNIL ?

Non. La notification à la CNIL n’est due que si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. En revanche, toutes les violations, y compris celles qui ne sont pas notifiées, doivent être inscrites au registre interne des violations (art. 33.5). C’est ce registre qui permet à la CNIL de vérifier la pertinence de votre appréciation du risque.

Que se passe-t-il si on dépasse le délai de 72 heures ?

La notification reste obligatoire : le délai dépassé ne dispense pas de notifier. Simplement, la notification tardive doit être accompagnée des motifs du retard (art. 33.1). Mieux vaut une notification tardive et motivée qu’une absence de notification — laquelle constitue un manquement autonome, régulièrement sanctionné.

Quand faut-il informer les personnes concernées ?

Uniquement lorsque la violation présente un risque élevé pour leurs droits et libertés (art. 34). L’information doit alors intervenir dans les meilleurs délais, en termes clairs, avec des conseils de protection. Trois dispenses existent (art. 34.3) : données rendues inintelligibles (chiffrement), mesures écartant le risque élevé, ou efforts d’information disproportionnés (remplacés par une communication publique).

Qui doit notifier lorsque la fuite vient d’un sous-traitant ?

Le sous-traitant doit alerter le responsable de traitement sans délai injustifié (art. 33.2), mais c’est le responsable de traitement qui notifie la CNIL et informe, le cas échéant, les personnes. Les modalités d’alerte doivent être prévues dans le contrat de sous-traitance de l’article 28.

Quelles sanctions en cas de non-notification ?

Le défaut de notification est un manquement distinct, passible des amendes du RGPD (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial), en plus des sanctions liées à l’éventuel défaut de sécurité à l’origine de la fuite. La CNIL a rendu publiques plusieurs sanctions dans lesquelles la gestion des violations était en cause. Bien réagir à une fuite est donc autant une question de conformité que de réduction du risque financier.

Conclusion

Une fuite de données n’est jamais un simple incident technique : c’est un événement juridiquement encadré, avec un compte à rebours de 72 heures. La bonne nouvelle, c’est que la procédure est balisée. Préparez-la avant l’incident : une procédure d’astreinte, un registre des violations tenu à jour, des clauses d’alerte solides avec vos sous-traitants et une trame de notification prête à remplir font toute la différence le jour où survient la violation. Anticiper, c’est transformer une crise potentielle en simple exécution d’un plan.