Un vendredi soir, le prestataire informatique appelle : un rançongiciel a chiffré le serveur, ou un fichier clients s’est retrouvé accessible en ligne, ou un courriel contenant des bulletins de paie est parti à la mauvaise adresse. Pour l’entreprise qui a déterminé les finalités et les moyens du traitement, c’est-à-dire le responsable du traitement, la question n’est pas seulement technique. Le règlement général sur la protection des données impose de qualifier l’incident, de saisir l’autorité de contrôle dans un délai contraint, d’informer les personnes dans certains cas et de garder la trace de tout ce qui a été fait. Les décisions consultées montrent que la sanction ne frappe pas seulement les violations massives : une négligence prolongée, même sur une seule adresse électronique, a déjà coûté 15 000 euros d’amende. Cet article décrit, à partir des textes et des décisions rendues, la conduite à tenir quand la violation est découverte.

I. Qualifier la violation et saisir la CNIL dans les 72 heures

A. Dire s’il y a violation, et mesurer le risque pour les personnes

Une « violation de données à caractère personnel » s’entend, au sens du règlement, d’une atteinte à la sécurité qui détruit, perd, altère ou expose des données personnelles de façon accidentelle ou illicite, y compris par un simple accès non autorisé (article 4, point 12, du RGPD). La définition est large : elle couvre la perte de confidentialité comme la perte de disponibilité ou d’intégrité, qu’elle soit accidentelle ou malveillante. La Commission nationale de l’informatique et des libertés retient la même grille de lecture et vise la perte de disponibilité, d’intégrité ou de confidentialité, accidentelle ou illicite (quand faut-il notifier une violation de données à la CNIL).

Tout incident n’appelle pas la même réponse, et le texte gradue les obligations selon le danger pour les personnes. Lorsque la violation n’est pas de nature à créer un risque pour les droits et libertés des personnes, la notification à l’autorité n’est pas exigée (article 33, paragraphe 1, du RGPD). Dès qu’un risque existe, la notification devient obligatoire ; et lorsque ce risque est élevé, s’y ajoute l’information des personnes concernées, décrite dans la seconde partie. L’évaluation porte sur la nature des données, le volume, les conséquences probables et les mesures déjà prises : des données de santé laissées accessibles appellent des « mesures de sécurité renforcées », comme l’a rappelé le Conseil d’État à propos de plus de cinq mille trois cents images médicales exposées en libre accès (Conseil d’État, 22 juillet 2022, n° 449694).

Le point de départ du délai est fixé par le texte : la notification intervient le plus vite possible et au plus tard 72 heures après en avoir pris connaissance (article 33, paragraphe 1, du RGPD). La prise de connaissance s’entend de la découverte de la violation par l’organisme, et la même phrase impose d’assortir toute notification tardive des motifs du retard. En pratique, l’entreprise qui hésite sur l’existence d’un risque ne gagne rien à attendre : dans le doute, mieux vaut notifier l’incident à la Commission, qui indiquera s’il faut aussi informer les personnes (quand faut-il notifier une violation de données à la CNIL).

Lorsque la violation provient d’un prestataire, la chaîne d’alerte doit être organisée à l’avance. Le texte dispose que le sous-traitant doit alerter le responsable du traitement de toute violation dès qu’il en a connaissance (article 33, paragraphe 2, du RGPD). C’est donc au responsable du traitement de faire courir son propre délai de 72 heures à partir de cette alerte, ce qui suppose des clauses qui imposent au sous-traitant une information immédiate, documentée et assortie des premiers éléments d’analyse.

En pratique, la rapidité de cette première phase dépend de la préparation. L’entreprise qui tient un registre de ses traitements, qui a désigné un interlocuteur joignable pour la protection des données et qui a prévu avec son prestataire informatique une procédure d’alerte qualifie l’incident en quelques heures au lieu de le découvrir par hasard. Les scénarios les plus fréquents appellent chacun un réflexe distinct : face à un rançongiciel avec menace de diffusion, isoler les systèmes et faire constater l’attaque avant toute restauration ; face à un envoi erroné, demander par écrit au destinataire la suppression et la confirmation ; face à un service en ligne exposé, couper l’accès, journaliser les connexions et mesurer la fenêtre d’exposition. Dans tous les cas, les journaux techniques, les captures et les échanges avec le prestataire doivent être conservés dès la première heure, car ils nourriront à la fois la notification et la documentation interne.

Le délégué à la protection des données, lorsqu’il a été désigné, est l’interlocuteur naturel de cette phase : il conseille sur la qualification, relit la notification et s’assure que le registre des violations est tenu. Même sans délégué désigné, l’entreprise doit identifier à l’avance qui décide de notifier, car le délai de 72 heures ne s’interrompt pas pendant les discussions internes. Les échanges entre la direction, l’informaticien ou le prestataire et le conseil doivent être horodatés : en cas de contrôle, la chronologie démontrera que l’entreprise a agi dans les meilleurs délais après la prise de connaissance, comme l’exige le texte.

B. Notifier avec le bon contenu, en une ou deux fois, et tout documenter

La notification n’est pas un simple signalement : son contenu minimal est fixé. Elle doit, « à tout le moins », décrire la nature de la violation avec, si possible, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, donner le contact du délégué à la protection des données ou d’un autre point de contact, décrire les conséquences probables et exposer les mesures prises ou envisagées pour remédier à la violation et en atténuer les effets (article 33, paragraphe 3, du RGPD). Lorsque toutes les informations ne sont pas disponibles, le texte autorise une notification échelonnée : si toutes les informations ne sont pas disponibles d’emblée, elles peuvent être transmises de façon échelonnée, sans retard indu (article 33, paragraphe 4, du RGPD).

En France, la notification passe par le téléservice dédié : la notification passe par le téléservice dédié de la Commission, dans les meilleurs délais et au plus tard dans les 72 heures (quand faut-il notifier une violation de données à la CNIL). La Commission admet une notification en deux temps, une notification initiale dès la constatation puis une notification complémentaire une fois les informations réunies, le formulaire guidant le déclarant rubrique par rubrique : mieux vaut le pré-remplir en interne, chronologie et volumes estimés à l’appui, avant la première connexion, et rappelle que tout dépassement du délai de 72 heures devra être expliqué par les motifs du retard (quand faut-il notifier une violation de données à la CNIL). Le guide pratique de la Commission détaille ces règles pas à pas (violations de données personnelles : les règles à suivre).

Parallèlement, l’entreprise doit constituer sa documentation interne. Le texte impose que le responsable doit documenter chaque violation en consignant les faits, ses effets et les mesures prises, afin que l’autorité puisse vérifier le respect de ces obligations (article 33, paragraphe 5, du RGPD). Concrètement, un registre des violations, tenu au jour le jour dès la découverte, consigne la chronologie, les constats techniques, les décisions prises et leurs motifs : c’est ce dossier que la CNIL demandera en cas de contrôle, et c’est aussi lui qui permettra plus tard de démontrer le caractère approprié des mesures de sécurité devant un juge.

Il existe un cas, étroit, où la notification n’est pas due : lorsque l’autorité est déjà informée par ses propres constats. Saisi d’une sanction prononcée contre un praticien dont les images médicales étaient en libre accès, le Conseil d’État a jugé qu’en retenant un manquement à l’obligation de notification « alors qu’eu égard à l’information dont disposait déjà la CNIL et qui lui avait permis d’engager un contrôle, ce dernier n’entrait pas dans le champ de cette obligation, la CNIL a entaché sa délibération d’une erreur de droit » (Conseil d’État, 22 juillet 2022, n° 449694). Cette solution d’espèce ne dispense pas de notifier dans le doute : elle sanctionne seulement une notification exigée alors que l’autorité avait elle-même découvert les faits et engagé son contrôle avant toute information du responsable.

La notification initiale ne clôt pas le dossier : la Commission peut demander des compléments, et l’enquête technique se poursuit en parallèle. L’entreprise avise son assureur lorsque le contrat le prévoit, dépose plainte contre l’auteur de l’intrusion pour faire constater les faits par les services d’enquête, et coordonne la communication interne afin qu’aucune déclaration publique ne contredise la notification adressée à l’autorité. Lorsque le traitement concerne des personnes dans plusieurs États membres, la CNIL, saisie comme autorité compétente, articule son action avec les autres autorités concernées selon les mécanismes de coopération du règlement. Chaque échange avec l’autorité est versé à la documentation interne, avec sa date.

Une fois la notification envoyée, l’entreprise reste à la disposition de la Commission pour les compléments d’information et prépare l’éventuel contrôle sur place en rassemblant les pièces : registre des traitements, registre des violations, contrats de sous-traitance, journaux techniques et politique de sécurité. Cette disponibilité rejoint l’obligation de coopération que le Conseil d’État a rappelée dans l’affaire Timework-it, où le défaut prolongé de réponse a fondé pour partie la sanction. Répondre vite, précisément et par écrit à chaque sollicitation de l’autorité fait partie intégrante de la gestion de crise.

II. Informer les personnes puis assumer le contrôle : sanction, réparation et poursuites

A. Informer les personnes en cas de risque élevé, dans des termes qu’elles comprennent

dès que la violation peut créer un risque élevé pour les droits et libertés d’une personne, le responsable doit l’en informer dans les meilleurs délais (article 34, paragraphe 1, du RGPD). Cette communication décrit, dans un langage clair et simple, en décrivant la nature de l’incident, et reprend au minimum le contact utile, les conséquences probables et les mesures prises ou envisagées (article 34, paragraphe 2, du RGPD). Le message doit donc être compréhensible par un non-spécialiste : nature de l’incident, données concernées, risques concrets tels que l’usurpation d’identité ou la fraude, précautions recommandées et interlocuteur joignable.

Trois dispenses sont prévues, et elles s’interprètent strictement. L’information n’est pas nécessaire si des mesures de protection appropriées avaient été appliquées aux données affectées, notamment quand les données affectées avaient été rendues incompréhensibles aux personnes non autorisées, par chiffrement par exemple, si des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus, ou si la communication exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente est organisée (article 34, paragraphe 3, du RGPD). Le chiffrement effectif des données volées est donc l’exemple type de la première dispense, à condition de le démontrer. Et lorsque le responsable s’abstient à tort, l’autorité peut l’y contraindre : l’autorité peut, après examen du niveau de risque, enjoindre au responsable de procéder à cette information (article 34, paragraphe 4, du RGPD). En droit interne, le président de la CNIL peut mettre en demeure le responsable « de communiquer à la personne concernée une violation de données à caractère personnel », hormis les traitements intéressant la sûreté de l’État ou la défense (article 20, III, 3°, de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 17 février 2024).

Du côté des victimes, les réflexes sont symétriques : vérifier son exposition, sécuriser ses comptes, conserver les preuves et saisir la CNIL puis le juge si nécessaire, comme le décrit ce que les personnes concernées peuvent faire de leur côté après une fuite de données. Pour l’entreprise, informer vite et bien n’est pas seulement une obligation : c’est aussi la première mesure d’atténuation du dommage, et les mesures prises pour atténuer le dommage subi par les personnes figurent parmi les critères de la sanction.

La forme de l’information compte autant que son envoi. Un message réussi expose les faits sans jargon, indique précisément quelles données sont concernées et lesquelles ne le sont pas, décrit les risques concrets déjà observés ou redoutés, recommande des gestes vérifiables tels que le changement des mots de passe ou la vigilance sur les relevés, et donne un moyen de contact qui répond réellement. L’envoi doit être tracé : accusés de réception, journaux d’envoi et copie du message archivé, conservés avec la preuve de la date d’envoi, prouveront, en cas de contestation, que l’information a été donnée dans les meilleurs délais et dans des termes compréhensibles. Lorsque l’entreprise choisit la communication publique pour des efforts disproportionnés, le communiqué doit rester accessible et précis, car il sera relu par l’autorité et, le cas échéant, par le juge.

B. Sanction administrative, réparation civile et volet pénal : ce qui aggrave et ce qui protège

La réponse de la CNIL est graduée. Après un rappel aux obligations ou une mise en demeure, le président peut saisir la formation restreinte, qui statue après une procédure contradictoire et peut prononcer un rappel à l’ordre, une injonction de mise en conformité, une limitation ou une interdiction du traitement, ou une amende (article 20, III et IV, de la loi du 6 janvier 1978). L’injonction peut être assortie d’une astreinte « dont le montant ne peut excéder 100 000 € par jour de retard », et l’amende « ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », plafonds portés à 20 millions d’euros et 4 % dans les hypothèses les plus graves visées par le règlement (article 20, IV, de la loi du 6 janvier 1978).

Au niveau européen, les manquements aux obligations de sécurité, de notification et d’information relèvent du premier niveau de sanctions : ils encourent jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent pour une entreprise, le montant le plus élevé étant retenu, car ils violent des dispositions des articles 25 à 39 du règlement (article 83, paragraphe 4, du RGPD). Les amendes doivent dans chaque cas être effectives, proportionnées et dissuasives (article 83, paragraphe 1, du RGPD), et le montant se fixe selon les critères de l’espèce, parmi lesquels la façon dont l’autorité a eu connaissance des faits, et notamment si le responsable a notifié la violation (article 83, paragraphe 2, du RGPD). Notifier spontanément et coopérer pour remédier à la violation sont donc des circonstances qui pèsent dans le bon sens, sans pour autant effacer le manquement initial.

Deux décisions récentes illustrent cette justice au cas par cas. Dans l’affaire des serveurs d’imagerie médicale, le Conseil d’État a confirmé le manquement à la sécurité — réseau interne non filtré au strict nécessaire et absence de chiffrement de données de santé — mais annulé le grief de non-notification, et ramené l’amende de 3 000 à 2 500 euros, jugeant qu’« il sera fait une juste appréciation des circonstances de l’espèce en ramenant la sanction pécuniaire infligée à M. C… à un montant de 2 500 euros » et que « seul le manquement à l’article 32 du RGPD est constitué » (Conseil d’État, 22 juillet 2022, n° 449694). À l’inverse, la société Timework-it, qui n’avait pas répondu à une demande d’effacement malgré un rappel, une relance et une mise en demeure de la CNIL, s’est vu infliger 15 000 euros d’amende et une injonction de répondre sous astreinte de 50 euros par jour de retard : le Conseil d’État a relevé une « négligence prolongée », rappelé le devoir de coopération des responsables avec la Commission et rejeté le recours (Conseil d’État, 28 novembre 2025, n° 499566). L’enseignement est net : face à l’autorité, le silence prolongé coûte plus cher que l’incident initial.

Le contentieux ne s’arrête pas à la sanction administrative. toute personne victime d’un dommage matériel ou moral causé par une violation du règlement peut en obtenir réparation auprès du responsable ou du sous-traitant (article 82, paragraphe 1, du RGPD). La Cour de justice a précisé que le droit à réparation suppose trois conditions cumulatives — une violation, un dommage qui en résulte et un lien de causalité — de sorte qu’une simple violation ne suffit pas à ouvrir droit à réparation, tandis qu’aucun seuil de gravité n’est exigé pour le préjudice moral (communiqué de la Cour de justice sur l’arrêt Österreichische Post, C-300/21, 4 mai 2023). Surtout, dans une affaire de cyberattaque contre un registre public ayant exposé les données de millions de personnes, les juges ne peuvent déduire de la seule divulgation que les mesures de protection étaient inadaptées, mais c’est au responsable de prouver qu’elles étaient appropriées, et la simple crainte d’un usage abusif peut constituer un dommage moral (communiqué de la Cour de justice sur l’arrêt Natsionalna agentsia za prihodite, C-340/21, 14 décembre 2023). Autrement dit, être victime d’une cyberattaque ne signifie pas avoir fauté, mais c’est à l’entreprise de prouver que ses défenses étaient adaptées aux risques : la documentation constituée dès les premières heures, avec tests et mesures tracés, devient sa principale pièce de défense. Le sous-traitant, lui, n’est tenu que s’il a manqué à ses obligations propres ou s’il est sorti des instructions licites du responsable (article 82, paragraphe 2, du RGPD), d’où l’importance d’instructions écrites et d’un contrat qui organise l’alerte et l’assistance.

Enfin, le manquement peut relever du juge pénal : « Le fait, y compris par négligence », de mettre en œuvre un traitement sans respecter les formalités légales est puni de « cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-16 du code pénal, en vigueur depuis le 17 février 2024). Une violation révélant un traitement irrégulier expose donc aussi les dirigeants à des poursuites, ce qui justifie de joindre au plan de crise le dépôt de plainte contre l’auteur de l’intrusion et la saisine de l’assureur cyber lorsque le contrat le prévoit.

La procédure devant la Commission suit elle-même des garanties strictes : mise en demeure préalable avec délai de mise en conformité, saisine de la formation restreinte, rapport notifié au mis en cause qui peut se faire assister, présenter des observations écrites et demander à être entendu, comme l’a vérifié le Conseil d’État dans l’affaire Timework-it où la signification par commissaire de justice a fait foi. Les sanctions pécuniaires les plus significatives sont publiées sur le site de la Commission, ce qui ajoute à l’amende un coût de réputation que l’entreprise doit intégrer à son analyse de risque. Contester une sanction suppose de démontrer, pièces à l’appui, soit l’absence de manquement, soit une appréciation disproportionnée du montant au regard des critères légaux.

Enfin, la gestion financière du dossier commence dès la découverte. L’entreprise provisionne le risque en distinguant l’amende administrative éventuelle, les demandes de réparation des personnes concernées et les coûts de remédiation technique, car ces trois postes obéissent à des logiques différentes : la sanction dépend des critères légaux appréciés par l’autorité puis par le juge du recours, la réparation suppose un dommage démontré et un lien avec la violation, et la remédiation conditionne l’atténuation des deux premiers postes. Transmettre le dossier complet à l’assureur dans les délais du contrat préserve la garantie, et le dépôt de plainte contre l’auteur de l’intrusion ouvre la voie à la constitution de partie civile pour les préjudices subis par l’entreprise elle-même.

Découvrir une violation de données engage un compte à rebours juridique autant que technique. Qualifier l’incident au regard de la définition du règlement, notifier la CNIL dans les meilleurs délais et au plus tard 72 heures après la prise de connaissance avec le contenu exigé, informer les personnes en termes clairs et simples dès que le risque est élevé, documenter chaque étape pour permettre le contrôle de l’autorité : ces quatre gestes conditionnent à la fois le montant de l’éventuelle sanction, l’issue d’un recours contre elle et la défense face aux demandes de réparation. Les décisions rendues montrent que les juges distinguent l’entreprise attaquée malgré des défenses sérieuses de celle qui laisse un incident s’enliser : la première peut voir sa diligence reconnue, la seconde paie sa négligence prolongée. Seule l’autorité saisie du dossier, puis le juge en cas de recours, tranchent en dernier ressort.