Novembre 2026 : les recherches « fuite de données personnelles entreprise » progressent sur Google, et les dirigeants découvrent une réalité brutale — un rançongiciel chez un prestataire, un serveur mal configuré, un salarié qui clique sur le mauvais lien, et ce sont les fichiers clients, les paies ou les dossiers médicaux qui se retrouvent en libre accès. L’entreprise victime de la fuite devient alors responsable devant la loi : le règlement européen lui impose de prévenir la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, puis d’informer les personnes exposées quand le risque est élevé. Chaque étape manquée aggrave la sanction, qui peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Cet article explique la conduite à tenir heure par heure, le contenu exact des notifications, les cas où l’information des clients peut être évitée, les critères qui fixent le montant de l’amende et les poursuites pénales qui menacent l’auteur de l’intrusion comme le dirigeant négligent.
I. Fuite de données personnelles dans votre entreprise : que faire dans les 72 heures qui suivent la découverte
A. Notification CNIL à 72 heures : qui notifie, quoi déclarer et comment
La première obligation naît dès que l’entreprise prend connaissance de la violation, même si l’enquête interne ne fait que commencer. L’article 33, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, dispose : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard. » (règlement (UE) 2016/679, article 33). En France, l’autorité compétente est la Commission nationale de l’informatique et des libertés, et la notification s’effectue en ligne sur son téléservice dédié, dont le site de la CNIL rappelle le fonctionnement et qui reste accessible en permanence aux responsables de traitement.
Le responsable du traitement, c’est l’entreprise qui détermine les finalités et les moyens : la société dont le fichier clients a fuité, l’employeur dont le serveur de paie a été copié, le cabinet dont les dossiers ont été chiffrés par un rançongiciel. Quand un prestataire est à l’origine de l’incident — hébergeur, logiciel de paie en ligne, sous-traitant informatique —, la chaîne d’alerte s’inverse : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. » (article 33, paragraphe 2). Vérifiez donc vos contrats de sous-traitance : le délai contractuel de remontée conditionne votre propre capacité à respecter les 72 heures, et un prestataire qui tarde à vous prévenir vous expose autant que lui. L’information reçue du sous-traitant vaut prise de connaissance et fait courir votre délai.
Le contenu de la notification est imposé à peine d’incomplétude. Elle doit, à tout le moins, décrire la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d’enregistrements touchés ; communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact ; décrire les conséquences probables ; et décrire les mesures prises ou envisagées pour remédier à la violation, y compris pour en atténuer les conséquences négatives (article 33, paragraphe 3, points a) à d)). Quand toutes les informations ne sont pas disponibles en même temps, la solution n’est pas d’attendre : « Si, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu. » (article 33, paragraphe 4). Notifiez tôt avec ce que vous savez, complétez ensuite, et joignez les motifs du retard si les 72 heures sont dépassées.
Parallèlement à la notification, constituez le registre interne des violations. L’obligation est distincte et permanente : « Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l’autorité de contrôle de vérifier le respect du présent article. » (article 33, paragraphe 5). Ce registre, tenu à jour incident par incident, est la première pièce que les agents de la CNIL demandent lors d’un contrôle : dates et heures de découverte, périmètre des données, nombre de personnes, cause technique, mesures de confinement, échanges avec le prestataire. Une entreprise qui a notifié mais ne documente pas reste en faute sur ce point, et l’absence de registre pèse ensuite sur le montant de la sanction au titre du degré de responsabilité.
Il existe un cas, tranché par le Conseil d’État, où la notification ne s’impose pas : celui où la CNIL connaît déjà la violation. Le 22 juillet 2022, la haute juridiction a jugé : « Il résulte de ces dispositions que l’obligation de notifier à la CNIL une violation de données à caractère personnel susceptible de faire naître un risque pour les droits et libertés des personnes physiques ne s’impose pas au responsable du traitement dans le cas où la CNIL l’a elle-même informé de cette violation et a engagé son contrôle sur la base des informations portées à sa connaissance par ailleurs. » (CE, 22 juillet 2022, n° 449694, lien Légifrance). Dans cette affaire, les services de la CNIL avaient eux-mêmes découvert des serveurs d’imagerie médicale en libre accès, prévenu le professionnel concerné par courrier électronique, puis engagé leur contrôle : reprocher ensuite au responsable de ne pas avoir notifié constituait une erreur de droit, et la sanction a été réduite en conséquence. Cette exception reste étroite : elle suppose que la CNIL vous ait informé elle-même et ait engagé son contrôle sur des informations obtenues par ailleurs. Un article de presse qui révèle la fuite, un signalement sur un forum ou une alerte de votre prestataire ne dispensent jamais de notifier.
Désignez enfin, dès la découverte, un point de contact unique : le délégué à la protection des données si l’entreprise en a un, sinon un responsable identifié avec ses coordonnées directes. Ce contact figure dans la notification et reçoit les demandes complémentaires de la CNIL ; il centralise aussi les échanges avec le sous-traitant, l’assureur cyber et le conseil. Les sociétés qui n’ont pas de délégué ne sont pas dispensées pour autant : l’obligation de notifier pèse sur tout responsable de traitement, quelle que soit sa taille, et la CNIL sanctionne aussi bien les professions libérales que les groupes.
B. Information des clients et des salariés : quand le risque élevé impose de prévenir les personnes
Prévenir la CNIL ne suffit pas quand les personnes fichées sont elles-mêmes en danger. L’article 34, paragraphe 1, du RGPD dispose : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » (article 34). Le seuil est donc plus haut que pour la CNIL : il faut un risque élevé, apprécié selon la nature des données (santé, bancaires, mots de passe, pièces d’identité), le volume, la facilité d’exploitation par un tiers et la vulnérabilité des personnes. Des identifiants de connexion en clair, des données de santé librement accessibles ou des coordonnées bancaires appellent l’information directe ; une simple adresse électronique professionnelle exposée sans autre donnée ne l’appelle pas forcément. Documentez cette analyse dans le registre : en cas de contrôle, la CNIL vérifiera pourquoi vous avez informé ou non.
La communication aux personnes obéit à un formalisme protecteur. Elle « décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l’article 33, paragraphe 3, points b), c) et d) » (article 34, paragraphe 2) : contact du délégué ou du point de contact, conséquences probables pour la personne, mesures prises ou proposées pour remédier à la violation et en atténuer les effets. Concrètement, écrivez un message distinct de vos communications commerciales, dans un langage compréhensible, qui dit ce qui a fuité, ce que cela change pour le destinataire (tentatives d’hameçonnage, usurpation d’identité, fraude), ce que vous avez fait (mot de passe réinitialisé, accès bloqué, plainte déposée) et ce qu’il doit faire (changer ses mots de passe, surveiller ses comptes, signaler tout usage frauduleux). Conservez la preuve de chaque envoi et de son contenu : accusés de réception, journaux d’envoi, copies des messages.
Trois situations dispensent d’informer individuellement, et elles s’interprètent strictement. D’abord, « le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès, telles que le chiffrement » (article 34, paragraphe 3, point a)) : des données solidement chiffrées, dont la clé n’a pas fuité, n’exposent pas les personnes. Ensuite, « le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 n’est plus susceptible de se matérialiser » (article 34, paragraphe 3, point b)) : accès révoqués avant toute exploitation, données récupérées et effacées chez le destinataire indû, mots de passe neutralisés. Enfin, l’information individuelle « exigerait des efforts disproportionnés », auquel cas « il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d’être informées de manière tout aussi efficace » (article 34, paragraphe 3, point c)) : avis sur le site, communiqué visible, encart dans l’espace client. Même dans ces cas, la notification à la CNIL reste due dès qu’il existe un risque simple, et la CNIL garde le pouvoir d’exiger l’information individuelle après examen du dossier.
II. Fuite de données entreprise : sanctions de la CNIL et procès pénal après la violation
A. Sanction CNIL après une fuite de données : montants, critères et exemples récents
La CNIL ne sanctionne pas la fuite elle-même, elle sanctionne les manquements qu’elle révèle : sécurité insuffisante, notification tardive ou absente, information des personnes omise, registre inexistant. Avant l’amende, l’autorité dispose d’une gamme de mesures correctrices que le RGPD énumère : rappeler à l’ordre le responsable, « ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé », « ordonner au responsable du traitement de communiquer à la personne concernée une violation de données à caractère personnel », « imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement », ou encore « ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers » (article 58, paragraphe 2, points d), e), f) et j)). Une mise en conformité sous délai, assortie d’une limitation de traitement, suffit souvent pour les premiers manquements des petites structures coopératives ; l’amende frappe les négligences caractérisées, la récidive et le défaut de coopération.
Quand l’amende est prononcée, son régime relève du droit français pour la procédure et du RGPD pour les critères et les plafonds. Le Conseil d’État l’a rappelé le 22 juillet 2022 : « en vertu du 7° du III de l’article 20 de la loi du 6 janvier 1978, pour prononcer une amende administrative à l’encontre d’un responsable de traitement qui ne respecte pas les obligations résultant du RGPD, la formation restreinte de la CNIL prend en compte les critères précisés à l’article 83 de ce règlement » (CE, 22 juillet 2022, n° 449694, lien Légifrance). Ces critères imposent que les amendes soient, dans chaque cas, « effectives, proportionnées et dissuasives », en tenant compte notamment de « la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi », du caractère délibéré ou négligent, « le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs », des catégories de données touchées et de la manière dont l’autorité a eu connaissance des faits (article 83, paragraphe 2).
Les plafonds dépendent des articles violés. Les manquements aux articles 25 à 39 — donc à l’obligation de sécurité de l’article 32, à la notification de l’article 33 et à l’information des personnes de l’article 34 — encourent « jusqu’à 10 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu » (article 83, paragraphe 4). Les atteintes aux principes, aux droits des personnes et aux transferts hors Union européenne, ainsi que le non-respect d’une injonction de la CNIL, encourent « jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu » (article 83, paragraphe 5). Le pourcentage se calcule sur le chiffre d’affaires annuel mondial total de l’exercice précédent, pas sur celui de la seule filiale française : pour un groupe international, 2 % représentent vite des dizaines de millions d’euros. Le non-respect d’une injonction de mise en conformité expose donc au plafond le plus haut, ce qui rend l’exécution des mesures ordonnées prioritaire sur toute contestation de principe.
La jurisprudence récente montre comment ces critères s’appliquent. Le 16 octobre 2026, le Conseil d’État a rejeté le recours formé contre une délibération de la CNIL qui avait prononcé une amende administrative de 250 000 euros assortie d’une publication à l’encontre d’une société proposant des consultations téléphoniques payantes, pour des manquements au RGPD tenant à la minimisation des données, à la durée de conservation et au consentement (CE, 16 octobre 2026, n° 499596, lien Légifrance). À l’inverse, dans l’affaire des serveurs d’imagerie médicale en libre accès, le Conseil d’État a ramené de 3 000 à 2 500 euros l’amende infligée à un professionnel de santé : seul le manquement à la sécurité de l’article 32 était constitué — absence de limitation des flux réseau au strict nécessaire et absence de chiffrement de données de santé — tandis que le grief de non-notification tombait, la CNIL ayant elle-même révélé la violation (CE, 22 juillet 2022, n° 449694, lien Légifrance). Deux enseignements pour l’entreprise : la coopération, le chiffrement et la correction rapide font baisser l’addition, tandis que la conservation excessive et l’absence de consentement la font grimper. Quand la violation vient d’un prestataire, l’entreprise cliente reste responsable de son fichier : elle ne peut se retrancher derrière son contrat pour échapper à la sanction, même si elle dispose ensuite d’un recours contractuel contre le prestataire défaillant — comme l’illustre la situation des sociétés dont le prestataire informatique a été piraté, avec des données volées et une activité bloquée (prestataire informatique piraté : résilier et obtenir réparation).
B. Poursuites pénales après une fuite de données : intrusion, extraction, divulgation et prescription
La fuite ouvre aussi un volet pénal, dirigé contre l’auteur de l’intrusion et, dans certains cas, contre l’entreprise négligente elle-même. L’atteinte au système se poursuit sur le fondement de l’accès frauduleux : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal), la peine montant à cinq ans d’emprisonnement et 150 000 € d’amende quand l’intrusion a entraîné la suppression ou la modification de données ou une altération du fonctionnement du système. La Cour de cassation l’a appliqué à un médecin contractuel qui avait installé un logiciel espion enregistreur de frappe sur les ordinateurs de deux praticiens hospitaliers : condamné à quatre mois d’emprisonnement avec sursis avec confiscation des scellés, il a vu son pourvoi rejeté, la condamnation pour accès frauduleux étant ainsi définitivement maintenue (Cass. crim., 16 janvier 2018, n° 16-87.168, lien Cour de cassation). L’extraction des données relève du texte voisin : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. » (article 323-3 du code pénal), la peine étant portée à sept ans d’emprisonnement et 300 000 € d’amende quand le système visé traite des données personnelles mises en œuvre par l’État.
L’entreprise qui détenait les données n’est pas à l’abri quand sa propre sécurité était défaillante. « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-17 du code pénal). La négligence suffit dans d’autres hypothèses : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-16 du code pénal). Un serveur exposé sans chiffrement, des sauvegardes non chiffrées, des accès conservés à d’anciens salariés : chacun de ces manquements peut fonder la poursuite du dirigeant comme de la personne morale, car « Les personnes morales déclarées responsables pénalement, dans les conditions prévues par l’article 121-2 » (article 226-24 du code pénal) encourent, outre l’amende, des peines dont l’interdiction d’exercer l’activité à l’occasion de laquelle l’infraction a été commise.
La divulgation des données volées expose l’indiscret, même interne à l’entreprise. « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-22 du code pénal). La même divulgation commise par imprudence ou négligence reste punie de trois ans d’emprisonnement et de 100 000 euros d’amende, et, dans les deux cas, « la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit » : sans plainte des personnes exposées, le parquet ne peut pas poursuivre sur ce fondement. Déposez donc plainte rapidement après la découverte — pour l’intrusion comme pour l’extraction —, faites constater l’état des systèmes par constat d’huissier ou expertise avant toute réinstallation, et conservez les journaux de connexion : la preuve de l’effraction conditionne autant l’enquête pénale que la démonstration, devant la CNIL, des mesures correctrices prises.
Le temps joue des deux côtés. Côté répression, « L’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise » (article 8 du code de procédure pénale), ce qui laisse aux victimes et au parquet un délai confortable mais n’autorise aucun relâchement dans la conservation des preuves : journaux écrasés par rotation, sauvegardes supprimées, prestataire changé sans clause de réversibilité, et l’enquête s’éteint faute de traces. Côté entreprise, chaque semaine sans notification ni correction aggrave le dossier CNIL : le retard inexpliqué, l’absence de registre et le défaut d’information des personnes exposées figurent parmi les circonstances aggravantes du montant de l’amende. Les personnes dont les données ont fuité disposent de leur côté de recours propres — plainte, signalement et demande d’indemnisation — décrits notamment pour les victimes de piratages massifs (données personnelles piratées : plainte et indemnisation des victimes).
Conclusion
Une fuite de données personnelles dans l’entreprise se gère en trois temps : contenir et documenter dès la découverte, notifier la CNIL dans les meilleurs délais et si possible dans les 72 heures avec un dossier complet puis complété de manière échelonnée, et informer les clients et les salariés dès que le risque pour leurs droits est élevé, en termes clairs et avec des mesures concrètes. Le registre interne des violations, le contrat de sous-traitance qui organise la remontée d’alerte et le chiffrement des données sensibles forment le socle qui divise les sanctions par dix au jour du contrôle : la jurisprudence du Conseil d’État récompense la coopération et les mesures techniques effectives, et sanctionne la conservation excessive, l’absence de consentement et la passivité. Parallèlement, la plainte pénale préserve les preuves contre l’auteur de l’intrusion, tandis que la négligence dans la sécurité expose le dirigeant et la personne morale à des peines d’emprisonnement et à des amendes qui se cumulent avec la sanction administrative. Face à une violation, l’entreprise qui notifie vite, informe bien et corrige vite reste maître de son dossier ; celle qui attend que la CNIL la prévienne a déjà perdu.