Vendredi, 17 h 12. Votre commercial veut envoyer la grille tarifaire à un client et joint par erreur le tableau de suivi de huit cents prospects, noms, téléphones, montants des devis. Le destinataire s’appelle Martin, comme le client. Le message part. Quelques minutes plus tard, un collaborateur partage un lien vers un dossier du disque partagé en accès « toute personne disposant du lien » et le diffuse à un prestataire externe. Aucun pirate n’est intervenu, aucun rançongiciel ne chiffre vos serveurs. Pourtant, le règlement général sur la protection des données s’applique pleinement à ces gestes du quotidien, et les soixante-douze heures qui suivent décident de la suite : notification à la CNIL, information des personnes, sanction évitée ou aggravée, réparation due aux victimes.
Cet article décrit la conduite à tenir quand une erreur d’envoi expose des données personnelles, côté entreprise qui a commis l’erreur comme côté personne dont les données ont été diffusées. Il s’appuie sur le texte du règlement européen, la loi française, les guides de la CNIL et du Comité européen de la protection des données, ainsi que sur des décisions récentes du Conseil d’État, de la Cour de cassation et de la Cour de justice de l’Union européenne.
I. L’erreur d’envoi constitue une violation de données : la qualifier sans attendre, puis tenir le délai de 72 heures
A. Un message parti au mauvais destinataire est-il vraiment une violation à notifier ?
Oui, dans la plupart des cas. Le règlement définit la « violation de données à caractère personnel » comme « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ». L’adverbe compte : l’erreur humaine entre dans la définition au même titre que l’attaque. Envoyer un fichier de paie à un homonyme, adresser un relevé médical au mauvais patient, copier trente adresses en champ « À » au lieu de « Cci », laisser un lien de partage en lecture publique, égarer une clé USB non chiffrée contenant un extrait de clientèle : chaque fois, des données ont été divulguées à une personne qui n’avait pas qualité pour les recevoir, ou exposées à un accès non autorisé.
Qualifier l’incident ne signifie pas tout notifier. Le règlement distingue trois situations. Première situation : la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Exemple : le message erroné est rappelé avant lecture dans une messagerie interne, le destinataire unique, soumis lui-même à une obligation de confidentialité, atteste par écrit avoir supprimé le message sans le lire ni le transférer, ou la pièce jointe était chiffrée avec un mot de passe transmis par un autre canal, ce qui la rendait incompréhensible. L’entreprise n’a alors pas à saisir la CNIL, mais elle reste tenue de documenter l’incident dans son registre interne, que l’autorité peut contrôler. Deuxième situation : la violation est susceptible d’engendrer un risque. C’est le cas ordinaire du fichier clients parti chez un tiers : il faut notifier la CNIL. Troisième situation : le risque est élevé, par exemple des données bancaires, des pièces d’identité, des données de santé ou des informations permettant une usurpation d’identité circulent en clair entre des mains inconnues. Il faut alors, en plus, informer directement les personnes concernées.
Pour trancher entre ces niveaux, la CNIL invite à examiner la nature et la sensibilité des données, leur volume, la facilité avec laquelle les personnes restent identifiables, les conséquences prévisibles comme la perte de contrôle, la discrimination, le vol d’identité, la perte financière ou l’atteinte à la réputation, ainsi que les caractéristiques du destinataire : un collègue soumis au secret professionnel ne présente pas le même risque qu’un concurrent ou qu’une adresse inconnue qui ne répond pas. Le Le Comité européen de la protection des données, dans ses lignes directrices du 3 janvier 2022 consacrées aux exemples de notification de violations, raisonne de la même façon à partir de cas d’erreurs d’envoi : ce qui fait basculer la décision, c’est la combinaison du contenu, du destinataire et des mesures de rattrapage déjà prises. La CNIL résume la démarche dans son guide des violations : détecter immédiatement, endiguer rapidement, analyser les risques, puis déterminer s’il faut notifier l’autorité et, le cas échéant, les personnes.
Deux erreurs d’appréciation reviennent souvent. La première consiste à croire que l’absence de malveillance dispense de toute démarche : le texte vise expressément l’accidentel. La seconde consiste à notifier à tout-va, y compris des incidents sans risque, ce qui encombre la procédure et fige par écrit une analyse parfois défavorable. Une qualification écrite, datée, conservée au dossier, même quand elle conclut à l’absence de risque, vaut mieux qu’un silence ou qu’une notification précipitée.
B. Endiguer, documenter, notifier : la méthode des 72 heures après une erreur d’envoi
Le délai court à partir de la connaissance de la violation, pas de l’envoi. Dès que l’erreur est repérée, souvent par l’expéditeur lui-même ou par un destinataire surpris, l’entreprise entre dans une séquence courte où chaque heure compte. D’abord, endiguer : tenter le rappel du message dans la messagerie interne, révoquer immédiatement le lien de partage et le remplacer par un lien nominatif à durée limitée, retirer le fichier d’un espace public, changer les codes d’accès concernés. Ensuite, écrire au destinataire de l’erreur : lui demander de supprimer le message et la pièce jointe sans les lire davantage, de ne pas les transférer et de confirmer la suppression par écrit. Cette attestation ne supprime pas la violation déjà constituée, mais elle pèse dans l’évaluation du risque résiduel et démontre la diligence de l’entreprise. En parallèle, préserver les preuves internes : le message d’origine, les journaux de la messagerie, l’historique des accès au lien partagé, l’horodatage de la révocation. Ces pièces serviront pour le registre, pour la notification et, plus tard, pour discuter d’une sanction ou d’un recours contre un prestataire.
Le règlement impose une documentation interne systématique : « Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l’autorité de contrôle de vérifier le respect du présent article. » Ce registre des violations, distinct du registre des traitements, doit exister même quand aucune notification n’est envoyée. Un contrôle de la CNIL commence souvent par sa lecture : un registre vide dans une entreprise qui manipule des volumes importants de données clients interroge, un registre tenu avec les analyses de risque et les mesures prises rassure.
Lorsque l’analyse conclut à un risque, la notification à la CNIL doit intervenir « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques », et « Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard ». Concrètement, la déclaration passe par le téléservice sécurisé de la CNIL, qui guide le déclarant. Elle décrit la nature de l’incident, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les coordonnées du délégué à la protection des données ou d’un point de contact, les conséquences probables et les mesures prises ou envisagées pour y remédier. Si toutes les informations ne sont pas disponibles dans le délai, elles peuvent être communiquées de manière échelonnée, sans retard indu : mieux vaut une première notification dans les temps, complétée ensuite, qu’un dossier complet mais hors délai et non motivé.
Quand le risque est élevé, les personnes concernées doivent être informées : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » Cette communication, rédigée en termes clairs et simples, décrit la nature de l’incident, donne un point de contact, expose les conséquences probables et indique les précautions à prendre : surveiller ses comptes, changer ses mots de passe, se méfier des sollicitations reprenant les données divulguées. Trois exceptions seulement dispensent de cette information individuelle : les données étaient protégées par des mesures comme le chiffrement qui les rendent incompréhensibles, des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus, ou l’information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente prend le relais.
Une décision récente du Conseil d’État apporte une précision utile sur les limites de l’obligation de notifier. Dans une affaire où plus de cinq mille images médicales assorties de noms, prénoms et dates de naissance étaient restées en libre accès sur internet du fait d’une installation domestique mal configurée, la CNIL avait sanctionné à la fois le défaut de sécurité et le défaut de notification. Le Conseil d’État a maintenu le premier grief et écarté le second, au motif que l’obligation de notifier « ne s’impose pas au responsable du traitement dans le cas où la CNIL l’a elle-même informé de cette violation et a engagé son contrôle sur la base des informations portées à sa connaissance par ailleurs », ramenant l’amende de 3 000 à 2 500 euros. Cette solution ne doit pas être lue comme une dispense générale : elle sanctionne une erreur de droit de la CNIL dans un cas où l’autorité disposait déjà de l’information et avait ouvert son contrôle sur cette base. Elle ne couvre ni le silence de l’entreprise dont la CNIL ignore tout, ni l’attente passive d’un signalement par un tiers.
Les entreprises victimes d’un piratage répondent à une logique voisine mais avec des réflexes propres aux intrusions, détaillés dans l’article du cabinet consacré à la notification en 72 heures et à l’information des clients après une fuite : celui-ci complète utilement la présente analyse pour les incidents d’origine malveillante.
II. Assumer l’erreur et réparer : le salarié, le sous-traitant, la sanction et l’indemnisation des victimes
A. Côté entreprise : sanctionner juste, vérifier le contrat du prestataire et regarder la CNIL en face
Une erreur d’envoi engage d’abord la responsabilité de l’entreprise en tant que responsable du traitement, avant celle du salarié qui a cliqué. Le règlement exige des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », et pose le principe selon lequel les données doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle ». La désactivation de la complétion automatique des destinataires externes, les avertissements avant envoi vers l’extérieur, le chiffrement des pièces jointes sensibles avec mot de passe transmis par un autre canal, les liens de partage nominatifs à expiration automatique, la classification des documents et la formation des équipes ne sont pas des options : ce sont les mesures dont l’absence devra être expliquée en cas de contrôle. Le responsable du traitement doit en outre démontrer le respect de ces principes, c’est la logique de responsabilité du règlement : procédures écrites, registre tenu, formation tracée, délégué désigné quand il est requis.
Le salarié auteur de l’erreur peut-il être sanctionné ? Oui, mais dans le cadre strict du droit disciplinaire et du régime des données personnelles au travail. Constitue une sanction toute mesure prise par l’employeur à la suite d’un agissement considéré comme fautif, et la procédure varie selon la gravité : convocation précisant l’objet, entretien, notification motivée, délais à respecter. Surtout, « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Licencier pour une première erreur isolée, sans gravité particulière et sans préjudice avéré, expose l’employeur à une contestation devant le conseil de prud’hommes, tandis qu’une faute répétée malgré des formations et des rappels documentés, ou une négligence grave comme l’envoi volontaire de fichiers à un concurrent, change l’analyse. Deux garde-fous procéduraux s’ajoutent : d’une part, aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance, ce qui vise les outils de traçage des envois et de journalisation ; d’autre part, le comité social et économique doit être informé avant l’introduction de traitements de gestion du personnel et des dispositifs de contrôle, selon l’article L. 2312-38 du code du travail. Utiliser contre le salarié des journaux issus d’un outil jamais déclaré ni porté à sa connaissance fragilise la procédure disciplinaire comme le contentieux prud’homal.
Quand l’erreur vient d’un prestataire, agence marketing qui route mal une campagne, infogéreur qui ouvre un partage, éditeur dont le logiciel suggère le mauvais destinataire, le contrat devient la pièce centrale. Le règlement impose au sous-traitant de notifier au responsable du traitement toute violation dans les meilleurs délais après en avoir pris connaissance. Encore faut-il que le contrat de sous-traitance prévoie les instructions documentées, l’assistance pour répondre aux obligations de notification, les audits et les délais d’alerte, faute de quoi l’entreprise découvre l’incident par ses clients et perd les premières heures. Sur le fond, l’entreprise cliente notifie à la CNIL en son nom propre, gère la crise vis-à-vis des personnes, puis se retourne contre le prestataire sur le terrain contractuel : manquement aux obligations de sécurité, frais de notification et d’information, atteinte à la réputation, indemnisations versées aux victimes. La conservation des journaux du prestataire et la mise en demeure de fournir les éléments techniques doivent intervenir dès les premiers jours, avant que les données de traçage ne soient écrasées.
Reste le face-à-face avec la CNIL. Le président de la commission peut rappeler à ses obligations, mettre en demeure de se conformer, puis saisir la formation restreinte qui prononce des mesures correctrices et, le cas échéant, des amendes dont les plafonds atteignent 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, portés à 20 millions d’euros et 4 % dans les cas les plus graves. Deux décisions récentes donnent l’échelle. La première concerne une société de gestion immobilière dont le site laissait accéder à plusieurs centaines de milliers de documents de candidats à la location, bulletins de salaire, avis d’imposition, pièces d’identité, par simple modification d’adresse web, avec une conservation excessive des données : le Conseil d’État a validé la sanction de 400 000 euros et sa publication pendant deux ans, relevant que des mesures simples comme l’authentification des utilisateurs auraient prévenu le manquement. La seconde, déjà évoquée, ramène à 2 500 euros l’amende infligée à un particulier responsable d’un serveur d’imagerie médicale en libre accès : même une petite structure, même une personne physique, peut être sanctionnée, mais le juge contrôle la qualification de chaque grief et la proportion de la sanction. Pour une erreur d’envoi isolée, suivie d’une réaction rapide, d’une documentation sérieuse et d’une notification dans les temps, le risque se situe le plus souvent du côté du rappel ou de la mise en demeure ; pour une erreur révélatrice d’une absence organisée de mesures, avec des volumes importants et une gestion tardive, la sanction pécuniaire et la publication entrent en jeu.
Le volet pénal ne doit pas être oublié, sans être surestimé. Le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait, y compris par négligence, de mettre en œuvre un traitement sans respecter les formalités préalables prévues par la loi. Surtout, le fait de porter des données recueillies lors d’un traitement à la connaissance d’un tiers qui n’a pas qualité pour les recevoir, lorsque leur divulgation porte atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. Ce texte vise d’abord celui qui divulgue sciemment ; l’envoi accidentel suivi d’une réaction diligente relève rarement de la poursuite, mais l’utilisation ou la revente par le destinataire indélicat, ou la conservation complaisante d’un fichier reçu par erreur, y entre de plain-pied. D’où l’importance du courrier adressé au destinataire de l’erreur : il l’informe, le met en garde et fige la preuve de sa connaissance.
B. Côté victime : prouver un préjudice concret pour obtenir réparation
La personne dont les données ont été envoyées au mauvais destinataire n’est pas démunie, mais elle doit construire son dossier. « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Trois conditions se dégagent de la jurisprudence européenne, rappelées avec netteté par la Cour de cassation : une violation du règlement, un dommage matériel ou moral, et un lien entre les deux. La Cour de justice a jugé que la simple violation des dispositions du règlement ne suffit pas pour conférer un droit à réparation, tout en refusant qu’une règle nationale subordonne la réparation du dommage moral à un seuil de gravité. Elle a ajouté que la réparation remplit une fonction compensatoire, et que le demandeur doit établir, outre la violation, le dommage qu’elle lui a causé.
La chambre sociale de la Cour de cassation vient d’en faire application dans un litige opposant un salarié à une banque, à propos de preuves obtenues par un traitement contraire au règlement. La cour d’appel avait alloué 5 000 euros en retenant que la violation avait nécessairement causé un préjudice. La Cour de cassation censure : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et il appartenait aux juges d’apprécier si le salarié établissait un dommage matériel ou moral. L’arrêt du 24 juin 2026 casse sur ce point et renvoie devant une cour autrement composée. L’enseignement vaut pour toute victime d’erreur d’envoi : l’indignation ou l’inquiétude abstraite ne suffisent pas, il faut démontrer ce que la divulgation a concrètement changé.
Concrètement, la victime commence par écrire à l’organisme : exiger la confirmation de l’incident, la liste des données divulguées, l’identité du destinataire ou au moins sa qualité, les mesures prises pour obtenir la suppression, et l’engagement de ne plus utiliser les données pour d’autres finalités. Elle demande aussi à être informée si le risque est élevé, comme le règlement le prévoit. Elle conserve tout : le message reçu par erreur le cas échéant, les échanges avec l’organisme, les relevés montrant des sollicitations ou des opérations inhabituées, les attestations de proches ou de collègues, les justificatifs de frais engagés pour se protéger, opposition bancaire, changement de pièce d’identité, surveillance renforcée. Le préjudice moral se prouve par des éléments tangibles : démarches entreprises, temps passé, crainte documentée d’usurpation après diffusion de pièces d’identité, démarchages subis reprenant les données divulguées. Le préjudice matériel se chiffre : frais, perte de chance, opérations frauduleuses.
Deux voies s’offrent ensuite à elle, cumulables. La plainte devant la CNIL, qui peut contrôler l’organisme, le mettre en demeure et le sanctionner, sans toutefois allouer de dommages-intérêts : c’est la voie de la sanction publique, utile aussi pour obtenir des constats. L’action en réparation devant le juge judiciaire, tribunal judiciaire du lieu du dommage ou du domicile, fondée sur l’article 82 du règlement : c’est la voie de l’indemnisation, où la victime devra établir la violation, son dommage et le lien entre eux. Les montants restent casuistiques et dépendent des pièces : quelques centaines à quelques milliers d’euros pour des troubles documentés, davantage quand l’usurpation d’identité s’est réalisée ou que des données sensibles ont circulé largement. L’entreprise qui a commis l’erreur a, de son côté, intérêt à proposer vite des mesures concrètes, prise en charge d’une surveillance, aide aux démarches, plutôt qu’à laisser le contentieux se nourrir de son silence.
Le destinataire qui reçoit par erreur des données de tiers n’est pas un simple spectateur. Il ne peut ni exploiter le fichier, ni le revendre, ni le conserver pour son propre compte : l’utiliser l’exposerait aux sanctions pénales de la divulgation et, s’il traite ces données pour son compte, aux obligations du règlement en tant que nouveau responsable. La conduite attendue tient en trois gestes : ne pas diffuser, supprimer après avoir, si possible, attesté la suppression à l’expéditeur, et alerter l’expéditeur de son erreur. Cette coopération, documentée des deux côtés, sert tout le monde : elle réduit le risque pour les personnes, elle allège la notification de l’entreprise, et elle met le destinataire à l’abri de toute accusation d’exploitation.
En définitive, l’erreur d’envoi se traite comme une crise courte avec des règles écrites d’avance. Une procédure interne connue de tous, rappel du message, révocation des liens, courrier au destinataire, registre renseigné, notification dans les soixante-douze heures quand le risque existe, information des personnes quand le risque est élevé, permet de transformer un accident en démonstration de conformité. À l’inverse, l’absence de procédure, la notification tardive et non motivée, le registre vide et le silence opposé aux victimes transforment une maladresse en manquement caractérisé, et c’est sur ce terrain que la CNIL sanctionne, comme l’illustrent les décisions rendues entre 400 000 euros pour des négligences structurelles et 2 500 euros pour des installations individuelles défaillantes.
Besoin d’un avis rapide sur votre dossier
Vous traitez des dossiers en numérique et données personnelles et une erreur d’envoi expose vos données ou celles de vos clients. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre situation et vos preuves. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.