Notification CNIL sous 72 h : modèle et décisions

Une violation peut être établie alors que son périmètre reste incertain. Le bon réflexe consiste à documenter les faits connus, évaluer le risque pour les personnes et préparer la notification requise sans attendre la fin de l’enquête. Le modèle ci-dessous sert à organiser cette première transmission, puis ses compléments.

Décider de notifier et identifier l’autorité compétente

Le responsable de traitement notifie à l’autorité compétente, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Il documente toute violation, y compris lorsqu’il ne notifie pas. Un incident de disponibilité ou d’intégrité peut être concerné même sans fuite publique. RGPD, art. 33(1) et (5) ; définition, art. 4(12).

La CNIL est l’interlocuteur usuel d’un responsable français pour un traitement local. Pour un traitement transfrontalier, vérifiez le mécanisme de compétence et l’éventuelle autorité chef de file ; la présence de personnes françaises ne signifie pas automatiquement que toute notification doit être adressée uniquement à la CNIL. RGPD, art. 55(1) et 56(1).

Ne classez pas un incident « faible » parce qu’il touche peu de dossiers : l’exposition d’une seule personne peut avoir de graves conséquences. À l’inverse, la présence d’une donnée de l’art. 9 n’est pas une formule dispensant d’analyser les circonstances et les protections effectives. Le guide de la décision en situation d’incertitude aide à conserver ce raisonnement.

Calculer le délai à partir de la connaissance

L’art. 33(1) exige une notification dans les meilleurs délais et, si possible, dans les 72 heures après la prise de connaissance. Un dépassement doit être motivé ; il ne supprime pas l’obligation. Les week-ends et jours fériés n’interrompent pas ces heures. Une notification n’est donc pas une tâche à programmer systématiquement pour la troisième journée.

La CNIL situe la connaissance au moment où existe une certitude raisonnable qu’un incident a touché des données personnelles. Les premières investigations doivent être menées rapidement ; une procédure interne de validation ne doit pas repousser artificiellement ce moment. Notez séparément l’heure de l’événement, celle de l’alerte et celle de la connaissance, avec les faits qui les justifient. CNIL, règles relatives aux violations, point de départ.

Exemple de chronologie : un prestataire signale vendredi une suspicion non qualifiée ; quelques minutes plus tard, il fournit un fichier démontrant un accès illicite aux données du client. Il faut examiner les informations reçues à chaque étape, sans attendre une réunion prévue le lundi pour acter la connaissance.

Modèle préparatoire de notification initiale

La CNIL propose un téléservice et son propre document préparatoire. Utilisez la page officielle de notification pour accéder au formulaire en vigueur. Le canevas suivant est une aide rédactionnelle ; il ne remplace pas les champs demandés.

Identification et contact

Responsable du traitement : [dénomination, coordonnées, identifiant demandé]. Contact pour le suivi : [DPO ou autre personne, fonction, courriel et téléphone]. Référence interne de l’incident : [identifiant sans données personnelles inutiles].

Faits et chronologie

Le [date et heure, fuseau], nous avons constaté [fait vérifié]. La prise de connaissance d’une violation de données est intervenue le [date et heure], sur la base de [éléments disponibles]. Le traitement concerné est [finalité et système]. La violation affecte [confidentialité, intégrité, disponibilité]. La période connue ou estimée est [période et degré d’incertitude].

Personnes, données et volumes

Les personnes concernées sont [catégories]. Les données affectées comprennent [catégories utiles]. Nous estimons actuellement [nombre ou fourchette] personnes et [nombre ou fourchette] enregistrements. [Éléments] restent en cours de vérification ; leur absence ne signifie pas qu’ils ne sont pas touchés.

Conséquences et évaluation du risque

Les conséquences plausibles sont [fraude, atteinte à la confidentialité, discrimination, indisponibilité d’un service essentiel, autres]. Cette appréciation repose sur [nature des données, personnes concernées, destinataires possibles, protections et limites]. Les éléments qui pourraient aggraver ou réduire le risque sont [liste brève].

Mesures et suivi

Les mesures déjà réalisées sont [actions et heures]. Les actions engagées ou prévues sont [responsable et échéance]. Concernant l’information des personnes : [décision, motifs, date et canal, ou évaluation encore en cours]. Les informations manquantes seront transmises dès leur disponibilité ; le prochain point d’enquête est prévu [date].

Ces rubriques couvrent le socle de l’art. 33(3)(a) à (d). L’art. 33(4) autorise une transmission échelonnée, sans autre retard indu. Distinguez toujours une mesure accomplie d’une mesure envisagée ; n’écrivez pas « données supprimées chez le destinataire » si vous avez seulement demandé leur suppression.

Ajouter les faits propres au scénario

Préservez les journaux et preuves utiles. Ne supprimez pas les logs d’accès pour « nettoyer » l’incident : ils peuvent permettre d’établir ce qui s’est produit et de répondre aux autorités. Restreignez leur accès et documentez leur conservation. La CNIL recommande de tenir à disposition des enquêteurs les éléments techniques lors d’une cyberattaque. CNIL, démarche de notification et preuves.

Le sous-traitant alerte le responsable dans les meilleurs délais, conformément à l’art. 33(2), et l’aide selon l’art. 28(3)(f). Il ne dispose pas automatiquement de ses propres 72 heures avant d’alerter. Le responsable peut mandater un prestataire pour transmettre en son nom, mais reste maître de la décision. Consultez le modèle d’alerte du sous-traitant au client.

Informer les personnes sans attendre la clôture de l’enquête

L’information intervient dans les meilleurs délais lorsque la violation est susceptible d’engendrer un risque élevé, sous réserve des exceptions de l’art. 34(3). Il ne faut pas attendre qu’un dommage soit avéré ni que la CNIL demande systématiquement de communiquer. Un chiffrement ne suffit pas à invoquer l’exception si les données restent lisibles par l’attaquant ou si les clés sont compromises. CNIL, exceptions et communication aux personnes.

Canevas de message à adapter :

Nous vous informons d’un incident concernant [données vous concernant]. Il s’est produit [faits et période connus]. Les conséquences possibles pour vous sont [risques concrets]. Nous avons [mesures réalisées] et poursuivons [actions]. Nous vous recommandons [gestes adaptés]. Pour obtenir des précisions ou de l’aide : [contact joignable]. Nous vous informerons si des éléments importants évoluent.

Évitez de joindre la liste des victimes ou un document reproduisant davantage de données que nécessaire. Si une communication individuelle exige des efforts disproportionnés, l’art. 34(3)(c) prévoit une communication publique ou une mesure d’efficacité comparable, pas une dispense silencieuse. Le guide de l’accompagnement après une violation complète le message initial.

Documenter la décision et corriger les causes

L’obligation de documentation incombe au responsable de traitement ; elle n’exige pas que le DPO soit personnellement le rédacteur de chaque fiche. Affectez un responsable opérationnel, recueillez son analyse et conservez les décisions, accusés de réception et compléments dans un registre des violations.

Après le confinement, vérifiez si les mesures corrigent la cause : habilitation excessive, règle de partage, configuration ou procédure de départ. Une promesse de formation ne résout pas, à elle seule, un accès technique resté ouvert.

Les manquements aux art. 33 et 34 relèvent du plafond de 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour une entreprise, le montant le plus élevé étant retenu, selon l’art. 83(4)(a). D’autres violations peuvent relever d’un plafond différent ; l’amende n’est jamais automatique au montant maximal. RGPD, art. 83(2), (4) et (5).

Ce qu’il faut retenir

• Documentez toute violation et motivez la décision de notifier ou non.
• Comptez depuis la connaissance et n’attendez pas la fin de l’enquête.
• Séparez faits établis, estimations et points encore inconnus.
• Conservez les preuves et complétez la notification sans retard indu.
• Une communication nécessaire aux personnes ne doit pas attendre la clôture technique.

FAQ

Peut-on notifier avec un nombre de personnes approximatif ?

Oui. Indiquez l’estimation et ses limites, puis adressez les compléments disponibles. Un nombre inconnu doit être présenté comme inconnu, jamais remplacé par zéro.

Que faire après 72 heures ?

Notifier si l’obligation existe et expliquer les motifs du retard. L’expiration du délai ne rend pas la transmission inutile et ne dispense pas d’informer les personnes lorsque les conditions sont réunies.

Toute donnée sensible impose-t-elle une information individuelle ?

La sensibilité est un facteur important, mais l’analyse porte sur le risque élevé et les circonstances de l’incident. Les exceptions de l’art. 34(3) doivent être démontrées, pas simplement invoquées.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.