Notifier une violation à la CNIL : modèle 72h (2026)

L’essentiel. Vous devez notifier une violation de données à la CNIL dans les 72 heures après en avoir pris connaissance, dès lors qu’elle est susceptible d’engendrer un risque pour les personnes (art. 33 RGPD). Le compteur démarre à la prise de connaissance, pas à la survenance de l’incident, et court week-ends et jours fériés compris. Une notification initiale incomplète est autorisée : ne l’attendez pas d’avoir toutes les informations. Si le risque est élevé, il faut en plus informer les personnes concernées (art. 34). En cas de doute : notifiez et documentez. Modèles prêts à l’emploi par scénario dans notre modèle de notification CNIL 72h.

Une violation de données survient un vendredi soir à 18 h. Le RSSI remonte l’incident. Le DPO se pose immédiatement la seule question qui compte : faut-il notifier la CNIL, et en combien de temps ? 72 heures plus tard, le délai est écoulé — et chaque heure compte. Voici la procédure complète, sans improvisation possible, avec la grille d’analyse de risque et les erreurs qui coûtent le plus cher.

Ce qu’est une violation de données au sens du RGPD

Avant d’évaluer l’obligation de notification, il faut qualifier l’incident. L’article 4(12) du RGPD définit la violation de données à caractère personnel comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ».

Cette définition est large. Elle couvre trois types de violations :

Type	Ce qui est atteint	Exemples
Confidentialité	Accès ou divulgation non autorisés	E-mail envoyé à la mauvaise adresse, piratage avec exfiltration, document déposé en accès public
Intégrité	Modification non autorisée ou accidentelle	Rançongiciel qui chiffre/altère la base, erreur de saisie sur des données médicales
Disponibilité	Perte ou destruction	Sauvegarde corrompue, suppression sans backup récupérable, incendie du datacenter

Un point souvent sous-estimé : la perte temporaire de disponibilité peut constituer une violation si elle engendre un risque pour les droits et libertés des personnes — et déclencher l’obligation de notification. Un serveur hors service 48 h hébergeant des données de santé peut suffire.

L’obligation de notification à la CNIL : article 33 RGPD

Le critère déclencheur : le risque

L’article 33(1) impose la notification à l’autorité de contrôle (la CNIL) « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ».

La logique est celle d’une exception à l’obligation, non d’une obligation absolue. Si la violation ne présente aucun risque pour les personnes, la notification n’est pas requise. Mais le responsable de traitement doit pouvoir justifier cette appréciation dans son registre interne des violations — l’absence de justification est un manquement en soi.

La grille d’évaluation du risque

Les lignes directrices du CEPD sur la notification des violations (qui ont actualisé les anciennes lignes directrices WP250 du G29) fournissent une grille articulée autour de plusieurs paramètres. En pratique, cinq critères pèsent :

1. Type de violation (confidentialité, intégrité, disponibilité).
2. Nature, volume et sensibilité des données. Les données sensibles au sens de l’article 9 RGPD (santé, origine, opinions, biométrie) font basculer le risque vers le niveau élevé quasi automatiquement.
3. Facilité d’identification des personnes concernées.
4. Gravité des conséquences : discrimination, usurpation d’identité, préjudice financier, atteinte à la réputation.
5. Caractéristiques particulières du responsable ou des personnes (hôpital, enfants, personnes vulnérables).

Situation	Risque probable	Notification CNIL ?	Information des personnes ?
E-mail interne mal adressé, données non sensibles, destinataire de confiance qui confirme la suppression	Faible/nul	Souvent non (à documenter)	Non
Fuite de coordonnées clients (nom, e-mail, téléphone)	Modéré	Oui	Selon l’analyse
Exfiltration de données bancaires (IBAN) ou d’identité	Élevé	Oui	Oui
Fuite de données de santé ou biométriques	Élevé	Oui	Oui
Rançongiciel avec chiffrement de la base et pas de backup	Élevé	Oui	Selon l’analyse

En pratique : si le doute subsiste, notifiez. La CNIL préfère une notification « par précaution » à une notification tardive ou absente.

Le délai de 72 heures : quand part le compteur ?

Le compteur démarre au moment où le responsable de traitement « prend connaissance » de la violation — non à la survenance de l’incident. La distinction est décisive.

La prise de connaissance intervient généralement :

• dès qu’un employé remonte l’incident à la direction ou au DPO ;
• dès la détection automatisée par un SIEM ou un EDR ;
• dès la réception d’une alerte d’un sous-traitant (qui doit notifier « dans les meilleurs délais », voir plus bas) ;
• dès qu’un tiers (client, journaliste, chercheur en sécurité) signale une fuite publique.

72 heures, c’est 3 jours calendaires — week-ends et jours fériés compris. Il n’existe aucune suspension du délai pour les vendredis soir ou les jours fériés. C’est une contrainte opérationnelle que toute organisation traitant des données personnelles doit anticiper dans son plan de réponse aux incidents.

Que faire dans les 72 premières heures ?

Le délai ne laisse pas le temps d’une enquête complète. La procédure se déroule en deux temps :

Phase d’alerte (H+0 à H+24)

• Isoler les systèmes compromis.
• Identifier la nature et le périmètre (données concernées, nombre approximatif de personnes).
• Activer la cellule de crise (DPO, RSSI, direction juridique, direction générale).
• Décider si la notification est nécessaire (évaluation du risque).

Phase de notification initiale (H+24 à H+72)

• Notifier la CNIL via le téléservice, même si toutes les informations ne sont pas disponibles.
• Documenter l’incident dans le registre interne.
• Préparer la notification complémentaire si nécessaire.

L’article 33(4) prévoit explicitement la notification initiale incomplète, transmise dans le délai, suivie d’une notification complémentaire une fois l’enquête avancée. Il ne faut donc pas attendre d’avoir toutes les réponses.

Comment notifier la CNIL concrètement

Le téléservice CNIL

La notification se fait exclusivement via le téléservice en ligne de la CNIL, à l’adresse notifications.cnil.fr. Il n’existe pas de procédure papier. Le formulaire est structuré en sections, peut être sauvegardé et complété en plusieurs fois — ce qui permet la notification initiale partielle suivie d’une complétion ultérieure.

Le contenu de la notification (art. 33(3))

L’article 33(3) liste les informations minimales :

• a) Description de la violation : nature (confidentialité, intégrité, disponibilité), catégories de données concernées, nombre approximatif de personnes et d’enregistrements affectés.
• b) Coordonnées du DPO ou du point de contact désigné.
• c) Conséquences probables de la violation pour les personnes.
• d) Mesures prises ou envisagées : correctives, de remédiation, de protection des personnes.

Un conseil issu de la pratique du conseil : ne pas minimiser les conséquences dans la notification. La CNIL ne sanctionne pas une évaluation prudente — elle sanctionne l’absence de notification ou la notification manifestement incomplète et délibérément minorée.

Notification initiale vs complémentaire

Si toutes les informations ne sont pas disponibles sous 72 h, la notification initiale doit indiquer : ce qui est connu avec certitude, ce qui est en cours d’investigation, et le délai prévu pour la complémentaire. Celle-ci doit être transmise « sans délai indu » (art. 33(4)) — la CNIL attend généralement une complétion sous 2 à 4 semaines, sauf complexité technique justifiée.

Informer les personnes concernées : article 34 RGPD

En sus de la notification à la CNIL, l’article 34 impose, dans certains cas, d’informer directement les personnes concernées. Le critère est plus exigeant : il faut que la violation soit « susceptible d’engendrer un risque élevé pour les droits et libertés » — un cran au-dessus du seuil qui déclenche la notification à la CNIL.

Quand cette information est-elle obligatoire ?

Les lignes directrices du CEPD et la doctrine CNIL identifient des situations de risque élevé quasi automatique :

• données de santé, données biométriques, données de localisation précise ;
• vol de données financières (IBAN, données bancaires) ;
• combinaisons permettant une usurpation d’identité (nom + date de naissance + adresse + n° de sécurité sociale) ;
• violation touchant des personnes vulnérables (enfants, patients) ;
• données exposées publiquement sur internet, même temporairement.

Le contenu de l’information (art. 34(2))

Elle doit être claire et compréhensible, sans jargon, et comporter : la nature de la violation en langage accessible, les coordonnées du DPO, les conséquences probables, les mesures prises ou recommandées. Elle doit inclure des recommandations pratiques : changer les mots de passe, surveiller les relevés bancaires, se méfier des tentatives d’hameçonnage.

Les exemptions (art. 34(3))

L’information individuelle peut ne pas être requise si :

• des mesures techniques robustes ont été appliquées (chiffrement fort avec clé non compromise) ;
• les mesures prises après la violation ont éliminé le risque élevé ;
• l’information individuelle exigerait des « efforts disproportionnés » — auquel cas une communication publique la remplace.

Le rôle du sous-traitant : article 33(2) RGPD

Le sous-traitant qui détecte ou suspecte une violation doit notifier le responsable de traitement « dans les meilleurs délais » après en avoir pris connaissance. L’article 33(2) n’impose pas de délai chiffré au sous-traitant, mais la CNIL et le CEPD considèrent que la notification doit intervenir sous 24 à 48 h pour laisser au responsable le temps de notifier dans les 72 h.

Cette obligation doit être contractualisée dans le contrat de sous-traitance, conformément à l’article 28 du RGPD. Un contrat sans clause de notification des violations est incomplet — et expose le responsable de traitement à une impossibilité de respecter le délai. Dans une chaîne multi-sous-traitants (hébergeur cloud qui sous-traite lui-même à un fournisseur d’infrastructure), chaque maillon doit remonter l’information rapidement : vérifiez que vos contrats prévoient ce mécanisme de bout en bout.

Le registre interne des violations : article 33(5) RGPD

Que la violation soit ou non notifiée à la CNIL, tout incident doit être documenté dans un registre interne des violations (art. 33(5)). Ce registre est distinct du registre des activités de traitement — c’est un outil de suivi des incidents de sécurité.

Il doit contenir, pour chaque violation :

• la date et l’heure de survenance et de détection ;
• la nature de la violation et les données affectées ;
• le nombre approximatif de personnes et d’enregistrements concernés ;
• l’évaluation du risque et la décision de notifier ou non (avec motivation) ;
• les mesures correctives prises ;
• les communications effectuées (CNIL, personnes concernées).

Ce registre est un document de conformité que la CNIL peut demander lors d’un contrôle. Son absence constitue elle-même un manquement à l’article 33(5), indépendamment du traitement de l’incident. Un logiciel RGPD permet d’industrialiser ce registre et la traçabilité exigée, en le reliant au reste de la documentation de conformité.

Modèle de notification initiale à la CNIL

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2026.1 — dernière mise à jour : 10 juillet 2026.

Objet : notification d’une violation de données à caractère personnel (art. 33 RGPD)

1. Responsable de traitement : [dénomination, SIREN, adresse]. DPO / point de contact : [nom, e-mail, téléphone].

2. Date et heure de la prise de connaissance : [JJ/MM/AAAA HH:MM]. Date de survenance estimée : [JJ/MM/AAAA]. Violation en cours / terminée : [préciser].

3. Nature de la violation : ☐ confidentialité ☐ intégrité ☐ disponibilité. Description factuelle : [ce qui s’est passé].

4. Catégories de données concernées : [identité, contact, bancaires, santé, etc.]. Données sensibles (art. 9) : ☐ oui ☐ non.

5. Nombre approximatif de personnes concernées : [n]. Nombre approximatif d’enregistrements : [n].

6. Conséquences probables pour les personnes : [usurpation, préjudice financier, etc.].

7. Mesures déjà prises : [isolement, réinitialisation, dépôt de plainte, etc.]. Mesures envisagées : […].

8. Information des personnes concernées (art. 34) : ☐ effectuée ☐ prévue le [date] ☐ non requise (motif : […]).

9. Notification : ☐ complète ☐ initiale, complémentaire prévue le [date].

Les erreurs à éviter — et leurs conséquences

Attendre d’avoir « toutes les informations »

L’erreur la plus fréquente. L’entreprise veut une notification complète plutôt que partielle et laisse filer le délai. Conséquence : notification tardive, sanctionnable. La CNIL a sanctionné plusieurs organisations pour notification tardive, notamment dans la santé et la distribution ; les montants documentés vont de quelques milliers à plusieurs centaines de milliers d’euros selon la taille et la gravité.

Ne pas notifier les violations « internes » ou « mineures »

Une fuite entre deux services non habilités (violation interne de confidentialité) est une violation au sens de l’article 4(12). La base légale du traitement n’entre pas en ligne de compte pour qualifier la violation — c’est la sécurité des données qui est en cause.

Confondre notification et aveu de faute

La notification à la CNIL n’est pas un aveu. Elle n’engage ni la responsabilité civile ni la responsabilité pénale de l’organisation : c’est une obligation légale de transparence. Ne pas notifier « pour éviter des problèmes » est une stratégie perdante — la CNIL sanctionne plus sévèrement le défaut de notification que la violation elle-même.

Ne pas anticiper la procédure

Les organisations sanctionnées sont souvent celles qui n’avaient aucune procédure de réponse en place. 72 h, c’est court pour qualifier, évaluer, rédiger et faire valider — si tout est improvisé. Un plan de réponse aux violations, testé annuellement, est une condition sine qua non. Voir aussi notre suivi de l’actualité RGPD 2026 pour les dernières tendances de sanction.

Préparer sa procédure de réponse aux violations

Un plan opérationnel comprend :

• La chaîne d’alerte interne : qui est notifié en premier (RSSI, DPO, direction), par quel canal, avec quelles informations minimales.
• La grille d’évaluation du risque : un tableau décisionnel permettant au DPO de trancher rapidement, avec des exemples types par niveau.
• Les modèles de notification : un modèle CNIL et un modèle « personnes concernées », adaptables en 30 minutes (voir notre modèle de notification CNIL 72h).
• Les contacts d’urgence : téléservice CNIL, avocat spécialisé, prestataire de forensics en cas de cyberattaque.
• Un exercice annuel : simuler une violation (tabletop exercise) pour tester la chaîne et les délais internes de décision.

Si votre organisation n’a pas encore de DPO, la première question est de savoir si la désignation d’un DPO est obligatoire dans votre cas — ce rôle est central dans la gestion des incidents. En amont, une analyse d’impact (AIPD) aide à anticiper les risques avant qu’une violation ne survienne.

Ce qu’il faut retenir

• Une violation de données (art. 4(12)) couvre la perte, l’altération ou l’accès non autorisé à des données — y compris les incidents temporaires ou internes.
• Notification à la CNIL obligatoire sous 72 h si la violation est susceptible d’engendrer un risque. En cas de doute : notifiez.
• Le délai court à partir de la prise de connaissance, non de la survenance.
• Une notification initiale incomplète est légale si elle est suivie d’une complémentaire.
• Information des personnes en cas de risque élevé (santé, données financières, identité).
• Le sous-traitant notifie le responsable « dans les meilleurs délais » : à contractualiser dans le contrat de l’article 28.
• Tout incident, notifié ou non, va au registre interne des violations.

FAQ

Une violation sans exfiltration (serveur compromis mais pas de données volées) doit-elle être notifiée ?

Oui, si l’accès non autorisé est avéré — même sans preuve d’exfiltration. La violation de confidentialité se caractérise par l’accès non autorisé, indépendamment de l’usage fait des données. L’absence de preuve d’exfiltration peut réduire le niveau de risque évalué, mais ne supprime pas l’obligation d’analyser la situation et de documenter la décision au registre interne.

Que se passe-t-il si l’on notifie après le délai de 72 h ?

La notification tardive est un manquement à l’article 33(1). La CNIL peut prononcer un avertissement, une mise en demeure ou une amende (jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial). Elle tient compte des circonstances : un retard court justifié par la complexité technique est traité différemment d’une absence totale. L’important est de notifier dès que possible, même en retard, plutôt que de ne pas notifier.

Le sous-traitant doit-il notifier directement la CNIL ?

Non — sauf délégation expresse par le responsable. L’article 33(2) impose au sous-traitant de notifier le responsable de traitement, pas la CNIL. C’est le responsable qui reste l’interlocuteur de la CNIL. Si le sous-traitant agit aussi comme responsable conjoint (art. 26), il peut avoir ses propres obligations.

Doit-on notifier une violation affectant uniquement des données de salariés ?

Oui. Les données des salariés sont des données personnelles ; l’employeur en est responsable de traitement. Une violation touchant des données RH (paie, santé au travail, évaluations) suit la même analyse de risque que toute autre, avec potentiellement une notification à la CNIL et une information des salariés.

Quelle différence entre notifier la CNIL et informer les personnes ?

Deux obligations distinctes, deux seuils. La notification à la CNIL (art. 33) se déclenche dès qu’il existe un risque ; l’information des personnes (art. 34) se déclenche seulement en cas de risque élevé. On peut donc devoir notifier la CNIL sans informer les personnes, mais jamais l’inverse : si vous informez les personnes, vous devez aussi avoir notifié la CNIL.

Combien de temps conserver le registre des violations ?

Il n’y a pas de durée légale unique. La pratique recommande de conserver chaque fiche de violation aussi longtemps qu’elle peut être utile à la démonstration de conformité (accountability) et à la défense en cas de contentieux — souvent aligné sur les délais de prescription applicables. Le registre doit rester disponible à tout moment pour un contrôle de la CNIL.