Un matin, le responsable informatique découvre que la base clients de l’entreprise a été copiée par un tiers, ou qu’un fichier contenant des milliers d’adresses électroniques a été envoyé à de mauvais destinataires. Dans les deux cas, la question qui se pose n’est pas seulement technique : le droit des données personnelles impose à l’entreprise une réaction rapide, documentée et graduée. Manquer le délai de notification à la CNIL, oublier d’informer les clients exposés ou négliger de constituer la preuve des mesures prises peut transformer un incident maîtrisable en sanction administrative, puis en vague de demandes d’indemnisation.
Le règlement général sur la protection des données, le RGPD, consacre deux articles à cette situation : l’article 33, qui organise la notification à l’autorité de contrôle, et l’article 34, qui organise la communication aux personnes concernées. À ces deux textes s’ajoutent l’obligation de sécurité de l’article 32, le régime du contrat de sous-traitance de l’article 28, le droit à réparation de l’article 82 et l’échelle des sanctions de l’article 83. La CNIL, de son côté, a publié une page dédiée aux règles à suivre et un téléservice de notification. Le Conseil d’État contrôle les sanctions prononcées, et la Cour de justice de l’Union européenne a précisé les conditions de l’indemnisation des victimes dans son arrêt du 4 mai 2023, UI contre Österreichische Post, affaire C-300/21.
Cet article décrit la conduite à tenir, heure par heure puis mois par mois : qualifier l’incident, notifier la CNIL dans le délai, informer les bonnes personnes au bon moment, documenter chaque décision, puis gérer le contrôle éventuel, les demandes d’indemnisation et le recours contre le prestataire dont la faille est à l’origine de la fuite.
I. Notifier la CNIL et informer les personnes : deux obligations distinctes à traiter dans l’urgence
La première erreur consiste à confondre la notification à la CNIL et l’information des clients. Ce sont deux obligations différentes, déclenchées par deux niveaux de risque différents, adressées à deux destinataires différents. Les traiter ensemble, ou dans le désordre, expose l’entreprise à un manquement supplémentaire.
A. Saisir la CNIL dans les meilleurs délais, au plus tard 72 heures après la découverte
Dès qu’une violation de données personnelles est découverte, le responsable du traitement doit en avertir la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Le point de départ du délai n’est pas la survenance de l’incident, mais le moment où l’entreprise en prend connaissance : un journal de connexion anormal repéré par le prestataire d’infogérance un vendredi soir, puis transmis à la direction le lundi matin, fait courir le délai à compter de cette transmission si l’entreprise n’avait aucun moyen raisonnable de savoir plus tôt. En pratique, la CNIL attend toutefois que l’entreprise soit en mesure de détecter rapidement : l’absence de supervision des journaux ou d’astreinte technique fragilise toute explication du retard.
Une seule exception dispense de notifier : le cas où la violation en question n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Cette exception s’interprète strictement. La perte d’un ordinateur portable chiffré avec un algorithme robuste, dont la clé reste inconnue de toute personne non autorisée, peut entrer dans ce cadre. L’envoi d’un fichier clients à un concurrent, même suivi d’une demande de suppression, ne l’autorise pas : le risque de réutilisation demeure. En cas de doute, la notification reste la position prudente, car c’est à l’entreprise de démontrer l’absence de risque si la CNIL l’interroge ensuite.
Lorsque le délai de 72 heures est dépassé, la notification doit être accompagnée des motifs du retard. Un week-end, une expertise technique en cours ou l’attente d’une information du sous-traitant peuvent expliquer un dépassement de quelques jours ; ils ne justifient pas des semaines de silence. La CNIL l’indique elle-même : si le délai de 72 heures est dépassé, il conviendra d’expliquer, lors de la notification, les motifs du retard.
Le contenu de la notification est encadré : elle doit décrire la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées, indiquer le point de contact, décrire les conséquences probables et décrire les mesures prises ou envisagées pour y remédier. Quand toutes les informations ne sont pas disponibles dans les 72 heures, rien n’interdit une notification en deux temps : un premier signalement rapide, puis une notification complémentaire une fois l’investigation achevée. La CNIL prévoit expressément cette possibilité : après avoir réuni toutes les informations requises, une notification complémentaire dans le délai de 72 heures si possible après la notification initiale. Mieux vaut un dossier initial incomplet mais daté qu’un dossier complet mais tardif. Déposez la notification sur le téléservice dédié de la CNIL et conservez l’accusé de réception avec son horodatage : c’est la preuve de la date de notification en cas de contestation ultérieure du délai. Vérifiez dès aujourd’hui que votre entreprise dispose d’un compte actif sur ce téléservice, car créer les accès en pleine crise fait perdre des heures précieuses, souvent décisives pour respecter le délai.
Enfin, si la fuite provient d’un prestataire informatique, c’est à lui d’alerter : le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. L’entreprise cliente doit donc vérifier que son contrat de sous-traitance prévoit un délai d’alerte chiffré, par exemple 24 ou 48 heures, et un canal d’escalade précis. Sans clause, le « meilleur délai » du prestataire peut s’étirer jusqu’à priver l’entreprise de sa propre fenêtre de 72 heures. Un point pratique mérite une attention particulière : la preuve de la date à laquelle l’entreprise a pris connaissance de la violation. C’est cette date qui fait courir les 72 heures, et c’est sur elle que la CNIL interrogera en premier. Conservez le courriel d’alerte du prestataire avec ses en-têtes, l’horodatage de l’alerte de supervision, le ticket d’incident et le compte rendu de la première réunion de crise. Si la découverte est progressive, par exemple des extractions anormales repérées le mardi puis confirmées comme malveillantes le jeudi par l’expert, documentez chaque étape : la CNIL admet la notification en deux temps, mais elle sanctionne la passivité déguisée en investigation. Quand le sous-traitant tarde à transmettre les informations, relancez-le par écrit et joignez ces relances au dossier : elles établissent que le retard ne vous est pas imputable et préservent votre recours contre lui. À l’inverse, un appel téléphonique non retracé, suivi de dix jours de silence, sera lu comme une négligence.
Le détail des clauses à exiger est analysé dans notre article sur qui répond des données personnelles quand la chaîne de sous-traitance informatique se rompt.
B. Informer les clients uniquement quand le risque est élevé, mais les informer correctement
L’information des personnes concernées obéit à un seuil plus exigeant : lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation à la personne concernée dans les meilleurs délais. Toutes les fuites notifiées à la CNIL n’ont donc pas à être annoncées aux clients. La CNIL résume la distinction : si l’incident constitue un risque élevé pour la vie privée des personnes concernées, vous devez également notifier l’incident aux personnes concernées.
Apprécier le risque élevé suppose d’examiner concrètement ce qui a fuité et ce qu’un tiers peut en faire. Des noms associés à des mots de passe en clair, des données bancaires, des données de santé ou des documents d’identité exposent directement à l’usurpation d’identité, à la fraude ou au chantage : le risque élevé est caractérisé. Des adresses électroniques professionnelles diffusées sans autre donnée, avec un prestataire qui atteste de la suppression immédiate par le destinataire erroné, peuvent rester sous le seuil. Entre les deux, l’entreprise doit trancher et consigner son raisonnement : volume de personnes, sensibilité des données, facilité d’identification, protections déjà en place, comportement du destinataire indésirable. Cette analyse écrite servira si la CNIL conteste le choix de ne pas informer.
Trois situations dispensent d’informer individuellement. D’abord, quand le responsable du traitement a mis en œuvre des mesures de protection techniques et organisationnelles appropriées, en particulier le chiffrement rendant les données incompréhensibles aux personnes non autorisées : des données chiffrées volées avec une clé restée secrète n’exposent pas les clients. Ensuite, quand le responsable a pris des mesures ultérieures garantissant que le risque élevé ne se matérialisera plus : révocation immédiate des accès, réinitialisation forcée des mots de passe avant toute exploitation, récupération attestée des données. Enfin, quand l’information individuelle exigerait des efforts disproportionnés : l’entreprise procède alors à une communication publique ou à une mesure similaire permettant aux personnes d’être informées de manière tout aussi efficace, par exemple un bandeau sur son site et un communiqué visible, sans se contenter d’une mention discrète.
Quand l’information est due, sa forme compte autant que son envoi : la communication décrit, en des termes clairs et simples, la nature de la violation et reprend le point de contact, les conséquences probables et les mesures prises. Un courrier qui noie l’incident dans du jargon, qui minimise les faits ou qui omet les gestes de protection attendus des clients (changer le mot de passe, surveiller les relevés, signaler tout message suspect) manque son objet et aggrave le dossier en cas de contrôle. À l’inverse, un message daté, précis, accompagné d’un canal de questions dédié, démontre la maîtrise de l’événement. Chaque envoi doit être conservé avec sa preuve de dépôt : c’est ce faisceau de preuves qui sera examiné si un client saisit ensuite le juge.
Le choix du canal d’information engage lui aussi la responsabilité de l’entreprise. Privilégiez le canal habituel de relation client, celui que les destinataires consultent réellement : courrier électronique individuel pour une base d’abonnés en ligne, lettre pour des clients dont vous ne détenez que l’adresse postale, espace client sécurisé complété d’un courriel d’alerte quand les données de contact ont elles-mêmes fuité. Évitez d’informer par un canal compromis : si les boîtes mails professionnelles des clients ont été piratées via votre service, un message sur ce seul canal risque de ne jamais être lu. Nommez dans le message un interlocuteur unique et un moyen de contact dédié, distinct du service commercial, et préparez des réponses aux questions prévisibles : mes données bancaires ont-elles été exposées, dois-je changer mes mots de passe ailleurs, comment saurai-je que l’incident est clos. Le délégué à la protection des données, quand l’entreprise en a désigné un, coordonne ces réponses et garantit leur cohérence avec la notification adressée à la CNIL : toute contradiction entre les deux versions sera exploitée, au contrôle comme au procès.
II. Documenter pour se défendre, puis gérer la sanction et les demandes d’argent
Une fois l’urgence passée, le dossier entre dans sa seconde phase : la CNIL peut contrôler, mettre en demeure puis sanctionner, tandis que les personnes exposées peuvent réclamer réparation. L’entreprise qui a tout consigné dès les premières heures aborde cette phase en position de défense ; celle qui a géré l’incident par téléphone et sans écrit subit chaque étape.
A. Constituer le registre de l’incident et démontrer un niveau de sécurité adapté
L’obligation la plus négligée est aussi la plus simple : le responsable du traitement documente toute violation, en indiquant les faits, ses effets et les mesures prises pour y remédier. Cette documentation permet à l’autorité de contrôle de vérifier le respect des obligations de notification. Concrètement, le registre interne de l’incident doit réunir la chronologie horodatée (détection, qualification, notifications, information des clients), la nature et le volume des données, l’analyse de risque ayant fondé chaque décision, les échanges avec le sous-traitant, les mesures techniques (colmatage de la faille, révocation des accès, restauration) et les preuves d’envoi. Même les violations non notifiées à la CNIL doivent y figurer, avec la justification de l’absence de risque : un contrôle ultérieur portera autant sur ce registre que sur l’incident lui-même.
Au fond, la CNIL examinera si l’entreprise avait mis en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris la pseudonymisation et le chiffrement, la garantie de confidentialité, intégrité, disponibilité et résilience constantes des systèmes, la capacité de rétablir la disponibilité des données dans des délais appropriés et une procédure visant à tester et évaluer régulièrement l’efficacité de ces mesures. L’évaluation tient compte des risques résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée ou de l’accès non autorisé, de manière accidentelle ou illicite. Une PME n’est pas tenue au même dispositif qu’un hôpital ou une banque, mais elle doit montrer des mesures proportionnées à ce qu’elle traite : sauvegardes testées, mises à jour suivies, droits d’accès limités, journalisation, sensibilisation contre l’hameçonnage.
La jurisprudence du Conseil d’État illustre ce contrôle. Dans sa décision du 26 avril 2022 visant la société Optical Center, le juge a validé une amende de 250 000 euros assortie d’une injonction de mise en conformité sous astreinte de 500 euros par jour, pour manquement notamment à l’obligation de sécurité (décision n° 449284). Dans un autre dossier, le 1er mars 2021, le Conseil d’État a rejeté le recours de la société Futura Internationale tout en constatant que la mise en conformité était intervenue (décision n° 437808) : la régularisation n’efface pas le manquement constaté, mais elle peut clore la procédure d’injonction. Et le 22 juillet 2022, le juge a ramené à 2 500 euros une sanction prononcée contre un particulier (décision n° 449694), rappelant que le montant doit rester proportionné à la gravité, à la taille et aux ressources de l’auteur.
Lors d’un contrôle, l’autorité demandera à voir ce dossier en premier, avant même d’examiner les systèmes : le registre de l’incident prévu par l’article 33, paragraphe 5, complété du registre des traitements, des contrats de sous-traitance applicables et des preuves des mesures de sécurité en place au jour des faits. Présentez un dossier ordonné, paginé, avec une synthèse d’une page en tête : chronologie, périmètre, décisions et pièces. Ce formalisme n’est pas de la politesse administrative : le degré de coopération avec l’autorité figure parmi les critères légaux de fixation de l’amende, au même titre que les mesures d’atténuation et les dispositifs de sécurité déployés. Une entreprise qui remet en séance un dossier complet, qui reconnaît sans détour ce qui a failli et qui démontre les corrections déjà appliquées se place du côté de la coopération loyale ; celle qui conteste chaque pièce, qui minimise les volumes ou qui renvoie systématiquement la faute sur le prestataire sans écrit à l’appui s’expose à voir ces éléments retenus contre elle dans la délibération de sanction.
Cette proportionnalité est inscrite dans le texte : les amendes doivent être dans chaque cas effectives, proportionnées et dissuasives, et le montant tient compte notamment de la nature, la gravité et la durée de la violation, du nombre de personnes affectées et du niveau de dommage, du caractère délibéré ou négligent, des mesures prises pour atténuer le dommage, du degré de coopération avec l’autorité de contrôle et des catégories de données concernées. Les plafonds atteignent 10 000 000 euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements aux obligations du responsable et du sous-traitant, et 20 000 000 euros ou 4 % du chiffre d’affaires pour les violations des principes et des droits des personnes. Une notification rapide, une coopération loyale et des mesures d’atténuation documentées pèsent donc directement sur le montant final : ce sont des circonstances que l’entreprise construit dès le premier jour. Quand la sanction tombe malgré tout, elle se conteste devant le Conseil d’État, dans le respect du délai de droit commun : la juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification de la décision attaquée. Manquer ce délai rend le recours irrecevable, quelle que soit la solidité des arguments sur le fond.
B. Faire face aux demandes d’indemnisation et se retourner contre le prestataire fautif
Parallèlement à la procédure administrative, les personnes dont les données ont fuité peuvent saisir le juge judiciaire pour obtenir réparation. Le texte ouvre ce droit largement : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Quand plusieurs acteurs participent au traitement, chacun est tenu responsable du dommage dans sa totalité afin de garantir une réparation effective, quitte à se répartir ensuite la charge entre eux. Le client dont les données ont fuité peut donc assigner l’entreprise donneuse d’ordre sans avoir à démêler la chaîne de sous-traitance.
Mais l’indemnisation n’est pas automatique. La Cour de justice l’a tranché le 4 mai 2023 : une simple violation du RGPD ne suffit pas, il faut un préjudice causé par cette violation, sans pour autant exiger un seuil de gravité (arrêt UI contre Österreichische Post, C-300/21). Autrement dit, la contrariété passagère ou la crainte abstraite, sans démonstration d’un dommage concret lié à la fuite, ne suffisent pas ; à l’inverse, un préjudice moral réel, même modeste, ouvre droit à réparation sans condition de gravité minimale. Les juges français appliquent cette grille avec rigueur : le 13 février 2025, le tribunal judiciaire de Paris a débouté un demandeur qui ne versait aux débats aucune pièce démontrant le caractère illicite de l’utilisation de ses données ni un préjudice certain en lien causal avec les violations alléguées (RG 21/07085). Pour l’entreprise, la leçon est double : informer vite et contenir les effets réduit le vivier des préjudices indemnisables, et chaque demande doit être examinée sur ses preuves, sans accepter de barème automatique.
L’entreprise peut s’exonérer si elle prouve que le fait qui a provoqué le dommage ne lui est nullement imputable. En pratique, cette preuve passe par le dossier constitué dès l’incident : faille identifiée chez un tiers, correctifs appliqués sans délai, diligences documentées. Quant au sous-traitant, il n’est responsable que s’il n’a pas respecté les obligations qui incombent spécifiquement aux sous-traitants ou s’il a agi en dehors des instructions licites du responsable ou contrairement à celles-ci : un hébergeur qui n’a pas chiffré alors que le contrat l’exigeait, ou qui a sous-traité à son tour sans l’autorisation écrite requise, engage sa propre responsabilité.
C’est ici que le contrat informatique prend toute sa valeur. Le RGPD impose que le traitement par un sous-traitant soit régi par un contrat définissant objet, durée, nature, finalité, type de données et catégories de personnes, et que le sous-traitant ne traite les données que sur instruction documentée du responsable. L’entreprise cliente doit en outre n’avoir fait appel qu’à des prestataires présentant des garanties suffisantes de mise en œuvre des mesures techniques et organisationnelles appropriées. Si le prestataire a failli, le droit commun des contrats offre l’arsenal : la partie victime de l’inexécution peut suspendre ses propres paiements, poursuivre l’exécution forcée, obtenir une réduction du prix, provoquer la résolution du contrat et demander réparation, et le débiteur est condamné à des dommages et intérêts à raison de l’inexécution ou du retard, sauf force majeure. Concrètement : mise en demeure de colmater la faille et de fournir les journaux, suspension des échéances le temps de l’audit, résiliation pour manquement grave si le service reste défaillant, puis action en remboursement des sommes versées à la CNIL au titre de l’amende et des indemnités payées aux clients, dans la mesure où le contrat et la part de responsabilité du prestataire le permettent.
Enfin, quand la fuite résulte d’une attaque, l’entreprise a intérêt à déposer plainte rapidement. Le fait d’accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende, peine portée à cinq ans et 150 000 euros quand il en est résulté une altération des données ou du système. Symétriquement, le fait d’extraire, de détenir, de reproduire ou de transmettre frauduleusement les données d’un système de traitement automatisé est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende : l’exfiltration de la base clients, même sans altération du système, constitue à elle seule une infraction pénale. La plainte ne répare pas le manquement RGPD, mais elle fige les constatations, ouvre l’enquête sur l’auteur et crédibilise le dossier face à la CNIL comme face aux victimes.
Une fuite de données personnelles ne se gère donc ni dans la précipitation aveugle ni dans le silence : notification à la CNIL dans les 72 heures sauf absence de risque démontrée, information des clients quand le risque est élevé, documentation exhaustive de chaque décision, puis gestion assumée du contrôle, des réparations et du recours contre le prestataire. À chaque étape, l’écrit protège : ce qui n’est pas consigné est réputé ne pas avoir été fait. Les entreprises qui préparent aujourd’hui leur procédure de crise, leur registre d’incident et leurs clauses de sous-traitance transforment un risque de sanction en démonstration de conformité.
Reste une question que les dirigeants posent une fois la crise passée : comment éviter que le prochain incident ne se rejoue dans les mêmes conditions. La réponse tient en trois chantiers à mener à froid. D’abord, désigner un pilote de crise identifié, interne ou externe, avec ses coordonnées : le délégué à la protection des données quand l’entreprise en a un, ou un référent formé dans les petites structures. C’est ce point de contact qui figurera dans la notification à la CNIL et qui répondra aux clients, ce qui évite les messages contradictoires entre le service informatique, la direction et le prestataire. Ensuite, cartographier les traitements et les flux vers les sous-traitants avant l’incident : registre des traitements tenu à jour, contrats de sous-traitance vérifiés avec leurs délais d’alerte et leurs engagements de sécurité, sauvegardes chiffrées et testées, procédure de révocation des accès. Une entreprise capable de dire en une heure quelles données, de quels clients, étaient exposées, notifie dans les délais et limite l’information aux seules personnes réellement concernées. Enfin, tester la procédure par un exercice annuel : simulation de fuite un vendredi après-midi, chronométrage de la détection, rédaction d’un projet de notification, validation du circuit de signature. L’exercice révèle les angles morts, comme l’absence d’accès au téléservice de la CNIL le week-end ou l’impossibilité de joindre le prestataire hors heures ouvrées, et chacun se corrige par une clause ou une astreinte adaptée. Ces trois chantiers ne relèvent pas du luxe de conformité : ils déterminent, le jour venu, si l’entreprise respecte ses délais, contient les préjudices et conserve ses recours.
Besoin d’un avis rapide sur votre dossier
Votre entreprise a découvert une fuite de données personnelles et vous devez notifier la CNIL, informer vos clients ou préparer un contrôle ? Maître Reda KOHEN, avocat au Barreau de Paris, vous répond pour un avis sur votre dossier en numérique et données personnelles. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.