Violation de données personnelles : ce que dit le RGPD
Une violation de données est, au sens de l'article 4 du RGPD, toute atteinte à la sécurité entraînant la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. La notion est bien plus large qu'une simple fuite médiatisée : elle englobe le vol d'un ordinateur portable, le chiffrement de vos serveurs par un rançongiciel, un e-mail envoyé au mauvais destinataire ou une base clients laissée accessible en ligne par erreur.
Le règlement distingue trois formes d'atteinte, souvent combinées au cours d'un même incident :
- Violation de confidentialité
- Des données sont divulguées ou consultées par une personne non autorisée : fuite d'un fichier clients, piratage de messagerie, envoi groupé en copie visible au lieu de copie cachée.
- Violation d'intégrité
- Les données sont altérées de façon non autorisée : modification frauduleuse de coordonnées bancaires, corruption de fichiers, injection de données erronées.
- Violation de disponibilité
- L'accès aux données est perdu, temporairement ou définitivement : chiffrement par rançongiciel, suppression accidentelle sans sauvegarde exploitable, panne matérielle irréversible.
Dès que l'une de ces atteintes touche des données personnelles — nom, adresse e-mail, numéro de sécurité sociale, données de santé, coordonnées bancaires — le responsable de traitement entre dans le régime des articles 33 et 34. L'origine importe peu : une attaque malveillante, une erreur humaine ou une défaillance technique relèvent exactement des mêmes obligations.
Notifier la CNIL sous 72 heures : l'obligation centrale
Vous devez notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation, sauf lorsque celle-ci est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Le délai court à partir du moment où vous disposez d'un degré raisonnable de certitude qu'un incident de sécurité a compromis des données personnelles — pas à la fin de l'enquête technique, qui peut prendre des semaines.
La notification adressée à la CNIL décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises pour y remédier. Ces éléments peuvent être communiqués de façon échelonnée : mieux vaut une première notification incomplète dans les délais qu'une déclaration parfaite hors délai, systématiquement moins bien accueillie par l'autorité.
Cette notification n'est pas systématique : elle dépend du risque encouru par les personnes. Trois situations doivent être distinguées, et il est essentiel de ne pas confondre l'obligation de notifier l'autorité et celle d'informer les victimes.
| Niveau de risque | Notifier la CNIL (art. 33) | Informer les personnes (art. 34) |
|---|---|---|
| Risque faible ou nul | Non — documenter au registre | Non |
| Risque pour les personnes | Oui, sous 72 h | Non obligatoire |
| Risque élevé | Oui, sous 72 h | Oui, sans délai injustifié |
À retenir
Le point de départ des 72 heures est la prise de connaissance, pas la survenue de l'attaque. Si vous manquez le délai, la notification reste obligatoire : elle doit alors être accompagnée des motifs du retard. Une notification en plusieurs temps est admise lorsque toutes les informations ne sont pas encore disponibles.
Informer les personnes concernées : quand et comment
L'information des personnes n'est obligatoire que lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés : usurpation d'identité, préjudice financier, atteinte à la réputation ou divulgation de données sensibles. Dans ce cas, la communication doit intervenir sans délai injustifié, en des termes clairs et compréhensibles, sans jargon technique.
Le message adressé aux victimes doit décrire la nature de la violation, ses conséquences probables, les mesures prises pour y remédier, ainsi que les coordonnées d'un point de contact — généralement le délégué à la protection des données (DPO). Il doit surtout indiquer les gestes de protection recommandés : changer ses mots de passe, surveiller ses relevés bancaires, se méfier des tentatives d'hameçonnage qui suivent souvent une fuite.
Bon à savoir
L'article 34 prévoit trois cas de dispense d'information individuelle : les données étaient chiffrées et donc inexploitables, des mesures ultérieures ont écarté le risque élevé, ou l'information individuelle exigerait des efforts disproportionnés. Dans ce dernier cas, une communication publique équivalente (message sur le site, presse) reste exigée.
Que faire dans les 72 heures : la méthode
Face à une violation, l'ordre des gestes conditionne à la fois votre conformité et l'efficacité de la réponse. La chronologie ci-dessous concentre les réflexes attendus par la CNIL, à mener en parallèle de la remédiation technique.
- Qualifier l'incident.
Confirmez qu'il s'agit bien d'une atteinte à des données personnelles, identifiez les catégories touchées (clients, salariés, données de santé) et estimez le volume concerné.
- Contenir et préserver les preuves.
Isolez les systèmes atteints sans les éteindre, afin de conserver les traces techniques utiles à l'analyse et à un éventuel dépôt de plainte.
- Documenter au registre.
Consignez chaque violation dans le registre interne prévu par l'article 33-5, y compris celles que vous choisissez de ne pas notifier : la CNIL peut le contrôler à tout moment.
- Notifier la CNIL.
Réalisez la notification en ligne via le téléservice dédié dès que le risque est avéré, sans attendre la fin de l'enquête. Le service officiel de notification d'une violation de données guide la déclaration pas à pas.
- Informer les personnes si le risque est élevé.
Rédigez un message clair, diffusez-le sans délai injustifié et proposez, le cas échéant, un dispositif de surveillance d'identité aux victimes exposées.
Le rôle de l'assurance cyber face à une violation
L'assurance cyber ne se substitue jamais à vos obligations légales : elle en finance et pilote l'exécution dans l'urgence. La garantie « frais de notification » couvre précisément les coûts que génère une violation de données : intervention d'un avocat spécialisé et du DPO externe, rédaction de la notification à la CNIL et des courriers aux personnes, mise en place d'un centre d'appels dédié et offre de surveillance d'identité aux victimes.
Le chiffre
30 000 €coût courant de gestion réglementaire d'une violation touchant quelques milliers de clients (accompagnement juridique, information individuelle, centre d'appels et surveillance d'identité) — un poste absorbé par la garantie frais de notification du contrat cyber.
Ce que l'assurance cyber prend en charge
- Cellule juridique pour qualifier la violation et sécuriser la notification sous 72 h
- Frais d'information des personnes concernées et centre d'appels
- Surveillance d'identité offerte aux victimes exposées
- Réclamations de tiers (RC cyber) après divulgation de leurs données
Ce qui reste hors couverture
- L'amende administrative prononcée par la CNIL, non assurable en France
- Les manquements résultant d'une négligence délibérée de sécurité
- Les frais engagés sans accord préalable de l'assureur
- La remise en conformité structurelle du système d'information
Au-delà du financement, l'intérêt de l'assurance cyber tient à la vitesse : la cellule de crise mobilise en quelques heures des juristes rompus au RGPD, là où une entreprise isolée perdrait un temps précieux à trouver le bon interlocuteur. Cette réactivité pèse directement sur l'issue, car une notification propre, documentée et remise dans les délais atténue la responsabilité et rassure les personnes concernées.
Sanctions en cas de manquement et assurabilité
Le défaut de notification ou d'information expose à des sanctions lourdes : la CNIL peut prononcer une amende administrative pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires mondial pour un manquement aux obligations de sécurité et de notification, et jusqu'à 20 M€ ou 4 % pour les manquements les plus graves aux principes du RGPD (article 83). Ces montants s'accompagnent souvent d'une mise en demeure publique, dont l'impact réputationnel dépasse parfois la sanction financière.
Attention
Une amende prononcée par la CNIL a la nature d'une sanction administrative. Le droit français interdit d'en transférer la charge à un assureur : aucun contrat cyber, aussi complet soit-il, ne rembourse une amende RGPD. Seuls les frais de défense et de gestion de crise sont couverts.
Comprendre l'échelle réelle des sanctions aide à calibrer sa prévention : les montants effectivement prononcés, des exemples concrets de décisions de la CNIL et le raisonnement juridique qui rend une amende RGPD inassurable pour une entreprise méritent d'être examinés en détail avant de considérer sa protection comme complète. La notification dans les délais reste, à cet égard, le premier facteur d'atténuation : une entreprise transparente et réactive s'expose à une sanction bien moindre qu'une structure qui a tenté de dissimuler la fuite.
« Sur une violation de données, l'erreur la plus coûteuse n'est presque jamais technique : c'est le silence. Notifier vite, documenter et informer proprement transforme une crise réglementaire en simple incident maîtrisé. »
