Une alerte de sécurité se referme parfois sans certitude spectaculaire : un fichier a été exposé quelques minutes, un support chiffré a été égaré puis retrouvé, des données supprimées ont été restaurées depuis une sauvegarde, ou un prestataire signale un accès anormal sans preuve d’extraction. Pour le responsable du traitement, la difficulté commence alors. Faut-il saisir la Commission nationale de l’informatique et des libertés, informer les personnes, ou clore l’incident en interne ? Le règlement général sur la protection des données ne demande pas de notifier chaque incident. Il impose en revanche de démontrer pourquoi une violation précise ne devait pas être notifiée. Cette décision négative se prépare comme une notification : qualification des faits, évaluation du risque pour les personnes physiques, mesures correctrices et trace écrite datée. Le présent article traite uniquement de cette hypothèse étroite, différente du cas ordinaire où un risque impose une saisine de l’autorité. Il explique comment distinguer l’absence de risque du risque simple et du risque élevé, quelles pièces verser au registre interne, quand réévaluer la première conclusion et quelles conséquences suivent une appréciation erronée devant la Commission puis devant le juge. Les contrats et les journaux techniques de chaque dossier priment sur toute analyse générale, et seul le juge tranche en dernier ressort.
I. Conclure à l’absence de risque : appliquer un seuil juridique, non formuler une intuition
A. Distinguer les trois situations que les articles 33 et 34 organisent
Le point de départ reste la qualification de l’événement. Une violation de données à caractère personnel s’entend d’une atteinte à la sécurité qui entraîne, de façon accidentelle ou illicite, la destruction, la perte ou l’altération de données personnelles, leur divulgation sans autorisation ou un accès non autorisé à ces données, qu’elles soient transmises, conservées ou traitées d’une autre manière (article 4, point 12, du RGPD). La définition couvre donc trois atteintes distinctes : la confidentialité, lorsque des données sont vues ou divulguées sans autorisation ; l’intégrité, lorsqu’elles sont altérées ; la disponibilité, lorsqu’elles sont perdues, détruites ou rendues inaccessibles. Un incident purement technique sans donnée personnelle affectée ne relève pas de cette qualification. À l’inverse, l’absence d’auteur identifié ou l’absence de malveillance établie n’excluent pas une violation au sens du règlement.
Lorsque la qualification est acquise, le texte de notification pose une règle et une exception. Le responsable du traitement doit saisir l’autorité compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après avoir eu connaissance de la violation, sauf si celle-ci n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (article 33, paragraphe 1, du RGPD). La décision de ne pas saisir la Commission repose entièrement sur cette dernière proposition. Elle suppose d’établir, pour les personnes concernées par cet incident précis, que le risque n’est pas susceptible de se matérialiser. Une formule générale du type « aucun impact constaté » ne suffit pas : le texte vise un risque pour des droits et des libertés, apprécié avant même qu’un dommage soit survenu.
Le second seuil concerne uniquement l’information directe des personnes. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable doit la lui communiquer dans les meilleurs délais (article 34, paragraphe 1, du RGPD). Trois situations se succèdent ainsi. Sans risque susceptible d’affecter les personnes, la documentation interne demeure due, sans notification à l’autorité ni communication individuelle. Avec un risque, la notification à l’autorité devient due. Avec un risque élevé, la communication aux personnes s’ajoute, sous les seules dispenses prévues par le texte. La Commission présente cette gradation dans un tableau qui réserve la documentation interne à toutes les hypothèses et subordonne les deux communications extérieures au niveau de risque retenu (violations de données personnelles : les règles à suivre).
Cette architecture interdit deux confusions fréquentes. D’abord, ne pas informer les personnes ne dispense pas automatiquement de notifier l’autorité : un risque simple suffit à déclencher la seconde obligation alors que la première exige un risque élevé. Ensuite, une dispense de communication aux personnes n’efface pas, par elle-même, l’analyse du risque au regard de l’autorité. Le chiffrement des données affectées peut par exemple relever d’une des conditions de l’article 34 tout en exigeant encore d’expliquer, au regard de l’article 33, pourquoi la violation n’était pas susceptible d’engendrer un risque. Les deux conclusions doivent donc être écrites séparément, avec leurs fondements propres.
La chaîne d’alerte ne déplace pas la responsabilité de ce choix. Le règlement impose au sous-traitant d’alerter le responsable du traitement de toute violation dans les meilleurs délais après en avoir eu connaissance (article 33, paragraphe 2, du RGPD). La Commission précise de son côté que le responsable peut confier au sous-traitant le soin d’agir en son nom pour une notification, mais qu’il doit rester maître de la décision de notifier ou non et tenir son registre des violations (violations de données personnelles : les règles à suivre). Un prestataire qui écrit « incident sans conséquence » fournit un élément d’analyse, non une décision juridique opposable à l’autorité. Le responsable doit obtenir la chronologie, le périmètre des données, les journaux disponibles et les mesures prises avant d’adopter ou d’écarter cette conclusion.
Le temps de l’analyse est lui-même encadré. Toute phrase relative au délai de 72 heures doit suivre le texte : la notification, lorsqu’elle est due, intervient dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance de la violation (article 33, paragraphe 1, du RGPD). La Commission explique que la prise de connaissance correspond au moment où le responsable dispose d’un degré de certitude raisonnable qu’un incident a eu lieu et a touché des données personnelles, après des investigations menées au plus tôt (violations de données personnelles : les règles à suivre). Cette phase d’investigation ne constitue pas une période librement extensible. Elle doit être bornée par des actes datés : ouverture du ticket d’incident, demande de journaux au prestataire, conservation des preuves techniques, première qualification et décision provisoire. Si l’information disponible à ce stade révèle un risque sans permettre encore un recensement complet, attendre la fin de l’enquête pour décider expose à une notification tardive.
Le doute raisonnable joue donc contre la clôture silencieuse. Le texte admet qu’une notification soit complétée lorsque toutes les informations ne peuvent pas être fournies en même temps : elles peuvent alors être transmises de façon échelonnée, sans retard indu supplémentaire (article 33, paragraphe 4, du RGPD). Cette faculté a une conséquence directe sur la décision négative. L’entreprise qui ne sait pas encore si des données ont été extraites ne peut pas transformer cette ignorance en absence de risque. Elle peut soit établir positivement les faits qui excluent le risque, soit procéder par notification initiale puis complémentaire lorsque le seuil du risque est atteint. La rédaction du registre doit faire apparaître ce choix et les éléments inconnus qui subsistent.
B. Évaluer objectivement la probabilité et la gravité du risque pour les personnes
L’appréciation du risque porte sur les effets possibles pour les personnes, pas seulement sur le préjudice commercial ou réputationnel de l’organisme. Le Comité européen de la protection des données recommande de tenir compte à la fois de la gravité des conséquences potentielles et de leur probabilité, à partir des circonstances spécifiques de la violation (lignes directrices 9/2022 du Comité européen de la protection des données sur la notification des violations de données). La Commission retient une grille voisine : type de violation, nature, sensibilité et volume des données, facilité d’identification des personnes, conséquences possibles, caractéristiques des personnes, nombre de personnes touchées et caractéristiques du responsable du traitement (violations de données personnelles : les règles à suivre). Chaque facteur doit être renseigné par un fait vérifiable plutôt que par une note abstraite.
Le type d’atteinte oriente la première question. En cas d’atteinte à la confidentialité, l’enjeu central tient à l’identification des destinataires réels ou possibles et à l’usage qu’ils peuvent faire des données. En cas d’atteinte à l’intégrité, la décision doit dire si des personnes peuvent subir une décision, un refus de service ou une erreur durable à partir de données altérées. En cas d’atteinte à la disponibilité, la durée d’indisponibilité, l’existence d’une sauvegarde exploitable et le moment de la restauration déterminent les effets concrets. Le règlement compte par ailleurs, parmi les mesures de sécurité adaptées au risque, les moyens de rétablir dans des délais appropriés la disponibilité des données et l’accès à celles-ci après un incident physique ou technique (article 32, paragraphe 1, du RGPD). Une restauration rapide peut donc réduire la gravité d’une perte de disponibilité ; elle ne répond pas à une exfiltration qui aurait précédé le chiffrement hostile ou la suppression.
La nature des données exige ensuite une lecture par combinaison. Des coordonnées ordinaires peuvent changer de portée lorsqu’elles sont jointes à un identifiant de compte, à un mot de passe, à une donnée financière, à un document d’identité ou à une information de santé. Le Comité européen souligne qu’une combinaison de données peut permettre une usurpation d’identité alors que chaque catégorie prise isolément paraîtrait moins sensible, et que la facilité d’identifier une personne à partir des données compromises ou par recoupement avec des informations accessibles constitue un facteur distinct (lignes directrices 9/2022 du Comité européen de la protection des données). Le registre doit donc énumérer les champs réellement exposés, ceux qui sont exclus par les journaux et ceux dont le sort reste indéterminé. Une catégorie vague telle que « données clients » empêche tout contrôle ultérieur de la conclusion.
La protection technique des données peut faire baisser la probabilité d’un usage dommageable, sous des conditions précises. Pour la communication aux personnes, le règlement vise notamment les mesures appliquées aux données affectées qui les rendent incompréhensibles pour toute personne non autorisée à y accéder, comme le chiffrement (article 34, paragraphe 3, du RGPD). La Commission donne l’exemple de données protégées par un chiffrement à l’état de l’art dont la clé n’a pas été compromise et ne peut pas être retrouvée par une personne non autorisée (violations de données personnelles : les règles à suivre). L’affirmation « les données étaient chiffrées » reste donc incomplète si le dossier ne précise ni l’algorithme et son paramétrage, ni le lieu de conservation de la clé, ni la preuve que cette clé n’a pas été exposée avec les données. Le Comité européen rappelle également qu’une pseudonymisation correctement mise en œuvre peut réduire la probabilité d’identification sans suffire, à elle seule, à rendre les données incompréhensibles (lignes directrices 9/2022 du Comité européen de la protection des données).
Les exemples d’absence de risque admis par la Commission confirment le caractère factuel de l’exercice. Elle cite la divulgation de données déjà rendues publiques, la suppression de données sauvegardées et immédiatement restaurées, ainsi que la perte de données protégées par un chiffrement à l’état de l’art lorsque la clé n’est pas compromise et qu’une copie reste disponible (violations de données personnelles : les règles à suivre). Chacun de ces exemples repose sur une condition démontrable : publicité antérieure des mêmes données, restauration immédiate depuis une sauvegarde saine, clé demeurée hors d’atteinte et copie disponible. Transposer l’exemple sans sa condition conduit à une erreur. Des données restaurées après plusieurs jours d’indisponibilité, ou des données chiffrées dont la clé se trouvait sur le même poste compromis, ne relèvent pas de la même conclusion.
La personne exposée compte autant que la donnée. Un même fichier peut présenter des conséquences différentes selon qu’il concerne des adultes identifiés par un simple courriel professionnel ou des enfants, des patients, des salariés en conflit avec leur employeur ou des personnes dont l’adresse doit rester confidentielle. La grille publiée par la Commission inclut expressément les caractéristiques des personnes, en mentionnant les enfants et les personnes vulnérables, ainsi que le volume de personnes concernées (violations de données personnelles : les règles à suivre). Une décision solide décrit donc les catégories de personnes affectées et écarte, par des faits, les effets redoutés : usurpation d’identité, fraude financière, discrimination, atteinte à la réputation protégée, perte de confidentialité d’un secret professionnel ou désavantage social ou économique. Lorsque l’un de ces effets devient plausible à partir des données combinées, la qualification d’absence de risque doit être abandonnée.
Enfin, l’absence d’exploitation observée ne doit pas être confondue avec l’absence de risque. Le fait qu’aucun client ne signale encore une fraude, qu’aucun article ne mentionne l’incident ou qu’un attaquant ne publie pas les données à la date de la décision ne prouve ni l’absence d’accès, ni l’absence de copie, ni l’impossibilité d’un usage ultérieur. Le dossier doit distinguer les négatifs démontrés par les journaux — accès refusé, fichier jamais téléchargé, destinataire unique ayant confirmé la suppression — des simples absences de signal. Cette distinction protège contre une reconstruction optimiste après coup et prépare la réévaluation si une publication, une tentative d’hameçonnage ciblée ou une plainte vient modifier les faits.
II. Écrire la décision négative et la tenir face à la Commission, aux personnes et au juge
A. Constituer un registre interne qui permette vraiment le contrôle de l’article 33
La documentation n’est pas une formalité annexe. Le responsable doit documenter toute violation en consignant les faits qui la concernent, ses effets et les mesures prises pour y remédier (article 33, paragraphe 5, du RGPD). Le texte précise aussitôt la fonction de cette trace : elle doit permettre à l’autorité de contrôle de vérifier le respect de l’article 33 (article 33, paragraphe 5, du RGPD). Un registre qui contient seulement la date et la mention « pas de risque » ne permet pas cette vérification. Il affirme une conclusion sans livrer les faits, les effets examinés ni les mesures correctrices.
Le contenu utile peut suivre le canevas que la Commission recommande pour le registre des violations : nature de la violation, catégories et nombre approximatif de personnes concernées, catégories et nombre approximatif d’enregistrements, conséquences probables, mesures prises pour remédier à la violation et en limiter les conséquences, ainsi que, le cas échéant, la justification de l’absence de notification à la Commission ou d’information des personnes (violations de données personnelles : les règles à suivre). Pour une décision négative, la justification constitue la pièce centrale. Elle doit relier chaque facteur de risque à une preuve ou à une limite expressément reconnue : fenêtre d’exposition tirée des journaux, liste des champs présents dans le fichier, état du chiffrement et de la clé, identité du destinataire d’un envoi erroné, engagement écrit de suppression, heure de restauration, résultat des recherches d’exfiltration et portée exacte de ces recherches.
Cette exigence rejoint le principe général de responsabilité : le responsable répond du respect des principes de l’article 5, paragraphe 1, et doit être en mesure de démontrer ce respect (article 5, paragraphe 2, du RGPD). Il doit aussi mettre en œuvre des mesures appropriées pour s’assurer que le traitement est conforme au règlement et pour pouvoir le démontrer (article 24, paragraphe 1, du RGPD). Le Comité européen relie expressément l’obligation de documenter toutes les violations, notifiées ou non, à ce principe de responsabilité et rappelle que l’autorité peut demander à consulter les registres (lignes directrices 9/2022 du Comité européen de la protection des données). Le registre interne n’est donc pas un document destiné à rester théoriquement privé : il doit pouvoir être produit, lu et compris par un contrôleur qui ne connaît ni le système ni les échanges oraux de la cellule de crise.
La qualité du registre dépend aussi des informations que le contrat de sous-traitance oblige le prestataire à fournir. Ce contrat doit prévoir que le sous-traitant aide le responsable à garantir le respect des articles 32 à 36, compte tenu de la nature du traitement et des informations dont il dispose (article 28, paragraphe 3, du RGPD). Il doit également prévoir la mise à disposition de toutes les informations nécessaires pour démontrer le respect de l’article 28 et permettre des audits, y compris des inspections (article 28, paragraphe 3, du RGPD). Dans un incident hébergé chez un prestataire, la demande écrite de journaux, d’indicateurs de compromission, de liste des comptes touchés et de mesures de confinement doit donc être versée au dossier. Si le prestataire ne répond pas ou répond partiellement, le registre mentionne la relance et l’incertitude qui en résulte ; cette incertitude peut suffire à écarter une conclusion d’absence de risque.
La décision doit être datée et attribuée. Le nom ou la fonction de la personne qui approuve la non-notification, l’avis du délégué à la protection des données lorsqu’il existe, les désaccords éventuels entre l’équipe technique et l’équipe juridique et la date de la prochaine réévaluation font partie du raisonnement de conformité. Une modification du registre ne doit pas écraser la version initiale. Chaque fait nouveau donne lieu à une entrée additionnelle qui confirme, corrige ou renverse la première conclusion. Cette discipline évite qu’un dossier reconstitué au moment d’un contrôle donne l’impression que l’organisme disposait dès le premier jour d’informations obtenues seulement plusieurs semaines plus tard.
La réévaluation n’est pas facultative lorsque les faits changent. Une violation d’abord regardée comme une indisponibilité brève peut révéler ensuite une copie des données ; un destinataire d’un envoi erroné peut ne pas confirmer la suppression ; une clé de chiffrement peut apparaître dans les journaux d’un poste compromis ; des personnes peuvent recevoir des messages d’hameçonnage reprenant des éléments non publics du fichier. Dès que le seuil du risque est atteint, la règle initiale reprend ses effets : la notification à l’autorité est due dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance (article 33, paragraphe 1, du RGPD). Lorsque la notification n’intervient pas dans ce délai de 72 heures, le même texte impose de l’accompagner des motifs du retard (article 33, paragraphe 1, du RGPD). La chronologie du registre sert alors à expliquer la date de connaissance de la violation, la date de connaissance du fait nouveau et les actes accomplis entre les deux, sans confondre ces étapes.
La même logique commande de séparer la non-notification à l’autorité de la non-communication aux personnes. Si le risque élevé est écarté parce que des mesures ultérieures garantissent que ce risque « n’est plus susceptible de se matérialiser », le dossier doit identifier ces mesures et le moment où elles ont produit leur effet, car le règlement formule cette dispense en ces termes (article 34, paragraphe 3, du RGPD). Si la dispense repose sur des efforts disproportionnés pour contacter chaque personne, le texte impose à la place une communication publique ou une mesure similaire qui informe les personnes de manière tout aussi efficace (article 34, paragraphe 3, du RGPD). Le registre doit contenir le texte de cette communication publique, son adresse de publication et la période pendant laquelle elle est restée accessible. Le lecteur qui cherche la conduite à tenir lorsque la notification est due peut se reporter au régime général de la notification à la CNIL en 72 heures et de l’information des personnes ; la décision négative examinée ici ne devient défendable que si elle explique pourquoi ce régime ne s’applique pas à l’incident considéré.
B. Supporter le contrôle de la décision et ses suites contentieuses
L’autorité peut remettre en cause l’appréciation du risque sans attendre une plainte. Si le responsable n’a pas déjà informé la personne concernée, le règlement permet à l’autorité, après examen du risque élevé, d’exiger cette communication ou de décider qu’une condition de dispense du paragraphe 3 est remplie (article 34, paragraphe 4, du RGPD). En droit français, le président de la Commission peut mettre en demeure le responsable, à l’exception des traitements intéressant la sûreté de l’État ou la défense, « de communiquer à la personne concernée une violation de données à caractère personnel » (article 20, III, 3°, de la loi du 6 janvier 1978). La non-communication initiale ne vaut donc jamais autorisation définitive. Le registre doit permettre à la Commission de refaire le raisonnement et, si elle retient un autre niveau de risque, de mesurer la diligence avec laquelle l’organisme exécute ensuite l’information demandée.
Le risque financier suit la même logique de preuve. Les amendes administratives doivent être « dans chaque cas, effectives, proportionnées et dissuasives » (article 83, paragraphe 1, du RGPD). Pour fixer l’amende, le texte demande notamment de tenir compte de la manière dont l’autorité a eu connaissance de la violation, en particulier du fait que le responsable ou le sous-traitant l’a notifiée et de la mesure de cette notification (article 83, paragraphe 2, du RGPD). Il vise aussi le caractère délibéré ou négligent du manquement, les mesures d’atténuation du dommage, le degré de coopération avec l’autorité et les catégories de données concernées (article 83, paragraphe 2, du RGPD). Une absence de notification juridiquement fondée n’est pas un manquement ; une absence de notification fondée sur une analyse indigente peut en revanche devenir le signe d’une négligence et priver l’organisme du bénéfice d’une coopération spontanée.
Le plafond applicable aux obligations des articles 25 à 39, qui comprennent la sécurité, la notification à l’autorité et la communication aux personnes, peut atteindre 10 000 000 EUR ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 83, paragraphe 4, du RGPD). Ce plafond ne préjuge pas du montant prononcé dans un dossier donné. Il rappelle seulement qu’une erreur sur le seuil de notification ne relève pas d’une simple irrégularité documentaire. En droit interne, la formation restreinte peut également prononcer une injonction de mise en conformité assortie d’une astreinte « dont le montant ne peut excéder 100 000 € par jour de retard » selon les conditions prévues par le texte (article 20, IV, de la loi du 6 janvier 1978). Le coût d’une mauvaise décision peut donc combiner sanction pécuniaire, injonction et publicité de la mesure, selon la procédure suivie.
Une décision du Conseil d’État illustre à la fois la possibilité de contester un grief de non-notification et l’étroitesse du cas tranché. Des images médicales étaient librement accessibles depuis un serveur ; la Commission avait elle-même effectué un contrôle en ligne, puis informé le praticien de ce libre accès et de l’engagement du contrôle. Le juge a retenu qu’en retenant un manquement à l’obligation de notification « alors qu’eu égard à l’information dont disposait déjà la CNIL et qui lui avait permis d’engager un contrôle, ce dernier n’entrait pas dans le champ de cette obligation, la CNIL a entaché sa délibération d’une erreur de droit » (Conseil d’État, 22 juillet 2022, n° 449694). Cette solution ne crée ni dispense générale de notification ni présomption d’absence de risque. Elle sanctionne une situation particulière où l’autorité disposait déjà de l’information et avait engagé son contrôle avant de reprocher au responsable de ne pas la lui avoir transmise.
La même décision montre qu’écarter le grief de notification ne met pas fin au dossier. Le Conseil d’État a jugé que « seul le manquement à l’article 32 du RGPD est constitué », puis a ramené la sanction : « il sera fait une juste appréciation des circonstances de l’espèce en ramenant la sanction pécuniaire infligée à M. C… à un montant de 2 500 euros » (Conseil d’État, 22 juillet 2022, n° 449694). Autrement dit, la sécurité défaillante qui a permis l’incident peut rester sanctionnable même lorsque la notification n’était pas due ou lorsque son absence ne peut pas être reprochée dans les circonstances de l’espèce. Le registre de la violation doit donc distinguer deux questions : les mesures de sécurité étaient-elles appropriées avant l’incident, et le niveau de risque après l’incident imposait-il une notification ou une communication ? Répondre correctement à la seconde ne répare pas une réponse négative à la première.
Deux autres décisions confirment que la documentation de la sécurité compte autant que la décision prise après l’incident. Dans une affaire née d’une attaque contre un site de vente en ligne, le Conseil d’État a relevé que la vulnérabilité était la conséquence directe de l’absence de contrôle régulier du responsable sur les mesures de son sous-traitant chargé de la sécurité, « aucun document produit par cette dernière ne permettant de justifier de la mise à jour régulière des différents composants logiciels du site » (Conseil d’État, 26 avril 2022, n° 449284). Le juge a rejeté la requête contre l’amende de 250 000 euros, alors même que la société avait informé la Commission de l’attaque et coopéré avec ses services (Conseil d’État, 26 avril 2022, n° 449284). La leçon pour une décision de non-notification est symétrique : obtenir du sous-traitant une affirmation sans journal, sans preuve de mise à jour et sans périmètre vérifié laisse le responsable sans moyen de démontrer le seuil qu’il invoque.
La même exigence de mesures simples et traçables apparaît dans une affaire de gestion immobilière où une modification d’adresse de page permettait à des tiers non autorisés d’accéder à des documents de candidats à la location. Le Conseil d’État a jugé la sanction de 400 000 euros non disproportionnée eu égard à des manquements « qu’il aurait été possible de prévenir par des mesures simples de sécurité, comme l’authentification des utilisateurs du traitement » et au délai avec lequel les mesures correctrices avaient été apportées, délai constaté dans cette décision même (Conseil d’État, 4 novembre 2020, n° 433311). La requête a été rejetée par cette même décision (Conseil d’État, 4 novembre 2020, n° 433311). Pour le registre interne, ces deux exemples imposent de conserver les preuves antérieures à l’incident — tests, mises à jour, contrôle du sous-traitant et journal des correctifs — et pas seulement le récit postérieur de la crise.
Le contentieux civil obéit à un autre partage de preuve. Le règlement reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du RGPD). La Cour de justice a précisé que ce droit suppose trois conditions cumulatives — une violation du règlement, un dommage résultant de cette violation et un lien de causalité — et que la simple violation ne suffit pas à ouvrir droit à réparation, sans qu’un seuil de gravité soit exigé pour le dommage moral (communiqué de la Cour de justice sur l’arrêt du 4 mai 2023, C-300/21). Une décision de ne pas notifier ne crée donc pas, à elle seule, un préjudice indemnisable. Elle peut néanmoins devenir un élément du dossier si la personne démontre un dommage lié à la violation du règlement et conteste l’appréciation qui l’a privée d’une information utile pour se protéger.
Dans une affaire de cyberattaque suivie d’une publication de données, la Cour de justice a ajouté deux précisions décisives pour le registre. Les juges ne peuvent pas déduire du seul accès ou de la seule divulgation non autorisée que les mesures de protection n’étaient pas appropriées ; ils doivent les examiner concrètement, et c’est au responsable du traitement de prouver que ces mesures étaient appropriées (communiqué de la Cour de justice sur l’arrêt du 14 décembre 2023, C-340/21). La même décision admet que la crainte d’un usage abusif potentiel des données par des tiers peut, à elle seule, constituer un dommage moral susceptible de réparation, lorsque les autres conditions sont réunies (communiqué de la Cour de justice sur l’arrêt du 14 décembre 2023, C-340/21). Le responsable qui conclut trop vite à l’absence de risque au motif qu’aucune fraude n’est encore établie méconnaît cette dimension : le risque évalué aux articles 33 et 34 n’exige pas la preuve d’un dommage déjà consommé, et le dommage moral examiné à l’article 82 peut inclure une crainte fondée sur l’exposition des données.
La répartition des responsabilités avec le sous-traitant doit également être anticipée. Un sous-traitant n’engage sa responsabilité pour le dommage que s’il a manqué aux obligations qui incombent spécifiquement aux sous-traitants ou s’il a agi en dehors des instructions licites du responsable, ou contrairement à celles-ci (article 82, paragraphe 2, du RGPD). Le responsable ou le sous-traitant peut être exonéré s’il établit que le fait générateur du dommage ne lui est nullement imputable (article 82, paragraphe 3, du RGPD). Ces règles donnent une fonction contentieuse précise aux pièces du registre : instructions écrites données au prestataire, alerte reçue de celui-ci, demandes de journaux, mesures de confinement ordonnées et délais de réponse. Elles ne transforment pas le registre en immunité. Elles permettent de situer qui détenait l’information, qui devait agir et qui a effectivement décidé.
En pratique, la clôture d’un incident sans notification gagne à se terminer par une phrase de décision complète. Cette phrase identifie la violation, la date à laquelle l’organisme en a eu une connaissance raisonnablement certaine, les données et les personnes affectées, les faits qui excluent le risque, les mesures correctrices, les points encore surveillés et l’événement qui rouvrira l’analyse. Elle est signée ou approuvée par la fonction compétente et conservée avec ses annexes techniques. Une telle rédaction ne garantit ni l’accord de la Commission ni le rejet d’une demande de réparation. Elle établit au moins que le choix a été pris au vu des critères du règlement, à une date déterminée, plutôt que reconstruit lorsque l’autorité ou une personne concernée a posé la première question.
Conclusion
Ne pas notifier une violation de données à la Commission peut être conforme au règlement, mais ce choix n’est jamais un silence neutre. Il repose sur la phrase étroite de l’article 33 qui écarte la notification lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Il exige ensuite une appréciation objective de la probabilité et de la gravité des effets pour ces personnes, une distinction rigoureuse avec le risque élevé de l’article 34 et ses dispenses, ainsi qu’un registre interne capable de montrer les faits, les effets examinés et les mesures prises. Les exemples admis — données déjà publiques, suppression immédiatement restaurée, chiffrement à l’état de l’art avec clé non compromise et copie disponible — ne valent que si leurs conditions sont démontrées dans le dossier. Lorsque le doute subsiste ou qu’un fait nouveau déplace le seuil, la notification, même échelonnée, redevient la voie prévue par le texte. La jurisprudence rappelle enfin qu’une erreur sur la notification peut être corrigée par le juge sans effacer un manquement de sécurité et qu’une réparation civile suppose un dommage et un lien de causalité établis. La décision négative la plus solide est donc celle qui peut être relue, pièces à l’appui, par la Commission comme par le juge. Aucune responsabilité n’est établie par cette analyse générale ; les contrats signés, les journaux techniques et les circonstances de chaque incident priment, et seul le juge décide.