Article

Violation de données personnelles : que faire en 72 heures ?

Un email contenant des données clients envoyé au mauvais destinataire, une clé USB non chiffrée perdue dans les transports, un serveur piraté : ces situations ont un point commun. Elles constituent toutes une violation de données personnelles au sens du RGPD, et déclenchent une obligation légale précise : notifier la CNIL dans un délai de 72 heures.

Cette obligation s'applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille, dans le cadre plus large des obligations RGPD applicables aux TPE et PME. Un simple retard dans la notification, ou une absence de notification lorsqu'elle était requise, peut être sanctionné indépendamment de la gravité de l'incident lui-même.

Cet article explique ce que recouvre juridiquement une violation de données personnelles, comment calculer le délai de 72 heures, quelles étapes suivre dès la découverte de l'incident, et dans quels cas les personnes concernées doivent elles-mêmes être informées.

Qu'est-ce qu'une violation de données personnelles ?

Le règlement général sur la protection des données définit la violation de données personnelles à son article 4, paragraphe 12 : il s'agit d'une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à de telles données.

Cette définition couvre trois types d'atteintes distinctes, qui peuvent survenir isolément ou de manière combinée. Une atteinte à la confidentialité correspond à un accès ou une divulgation non autorisés, par exemple un piratage informatique ou un email envoyé au mauvais destinataire. Une atteinte à l'intégrité correspond à une altération non désirée des données, par exemple une modification malveillante d'une base de données. Une atteinte à la disponibilité correspond à une perte d'accès aux données, temporaire ou définitive, par exemple un rançongiciel ou la destruction accidentelle d'un fichier sans sauvegarde.

La notion de violation ne se limite donc pas au piratage informatique. La perte d'un ordinateur portable non chiffré contenant un fichier client, l'envoi d'un courrier à une mauvaise adresse, ou une erreur de paramétrage rendant des données accessibles publiquement constituent également des violations de données personnelles au sens du RGPD.

Comment calculer le délai de 72 heures ?

L'article 33 du RGPD impose au responsable de traitement de notifier la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Ce délai ne se calcule pas à partir du moment où la violation s'est produite, mais à partir du moment où l'entreprise en a eu connaissance.

La prise de connaissance correspond au moment où l'entreprise dispose d'un degré de certitude raisonnable qu'une violation affectant des données personnelles s'est produite. Un simple soupçon non vérifié ne suffit pas à déclencher le délai ; en revanche, attendre la confirmation complète de l'ampleur de l'incident avant d'agir n'est pas non plus admis : l'entreprise doit agir dès qu'elle dispose d'éléments suffisants pour établir la réalité de la violation.

Le délai de 72 heures court en continu, sans interruption les week-ends ou jours fériés. Il s'agit d'un délai de nature légale, distinct des délais de procédure calculés en jours ouvrés.

Lorsque la violation est détectée par un sous-traitant plutôt que par l'entreprise elle-même, celui-ci doit en informer le responsable de traitement sans délai injustifié, conformément à l'article 33, paragraphe 2, du RGPD. Le délai de 72 heures applicable au responsable de traitement ne commence à courir qu'à partir du moment où ce dernier est informé par son sous-traitant, et non à partir de la détection initiale par ce dernier.

Quelles étapes suivre dès la découverte de l'incident ?

La gestion d'une violation de données suit une logique chronologique précise. Chaque étape conditionne la suivante et doit être engagée sans attendre la fin de la précédente.

Faut-il toujours notifier la CNIL ?

La notification à la CNIL n'est pas systématique. L'article 33 du RGPD prévoit une exception : si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, elle n'a pas à être notifiée à l'autorité de contrôle.

Cette appréciation du risque repose sur plusieurs critères : la nature des données concernées (données bancaires, données de santé ou simples coordonnées postales, par exemple), le nombre de personnes affectées, la réversibilité de l'incident, et les mesures de sécurité déjà en place, comme un chiffrement rendant les données inexploitables pour un tiers.

Lorsque la notification est requise, elle doit préciser la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les catégories et le volume approximatif de données concernées, les conséquences probables de la violation, et les mesures prises ou envisagées pour y remédier.

Lorsque l'entreprise ne dispose pas encore de l'ensemble de ces informations dans le délai imparti, l'article 33, paragraphe 4, du RGPD autorise une notification progressive : les informations peuvent être communiquées en plusieurs fois, sans devoir attendre d'avoir rassemblé l'intégralité des éléments avant d'agir.

Quand informer les personnes concernées ?

L'article 34 du RGPD impose une obligation distincte de celle de notification à la CNIL : informer directement les personnes concernées, lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Le risque élevé se distingue du risque simple qui déclenche la notification à la CNIL. Une usurpation d'identité rendue possible par la divulgation d'un numéro de sécurité sociale, ou l'exposition de données de santé sensibles, constituent des exemples typiques de risque élevé justifiant une information directe des personnes concernées.

Cette information doit être rédigée en langage clair et accessible. Elle décrit la nature de la violation, fournit les coordonnées d'un point de contact, précise les conséquences probables et détaille les mesures prises pour y remédier.

L'entreprise peut être dispensée de cette information directe dans trois cas : si des mesures de protection appropriées, comme un chiffrement robuste, rendaient les données incompréhensibles pour un tiers non autorisé ; si des mesures postérieures à la violation ont permis de garantir que le risque élevé ne se matérialisera plus ; ou si l'information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique équivalente est admise.

Le montant exact de ces amendes et la procédure suivie par la CNIL pour les prononcer sont détaillés dans un article consacré aux sanctions CNIL applicables aux TPE.

Documenter la violation, même sans notification

L'article 33, paragraphe 5, du RGPD impose au responsable de traitement de documenter toute violation de données personnelles, y compris celles qui n'ont pas fait l'objet d'une notification à la CNIL parce que le risque était jugé négligeable.

Cette documentation comprend les faits concernant la violation, ses effets et les mesures prises pour y remédier. Elle permet à la CNIL de vérifier, lors d'un contrôle ultérieur, que l'entreprise a correctement analysé chaque incident, même ceux n'ayant donné lieu à aucune notification.

En pratique, cette documentation prend souvent la forme d'un registre des violations, distinct mais complémentaire du registre des traitements que l'entreprise tient déjà au titre de ses obligations RGPD générales. Conserver une trace systématique de chaque incident, même mineur, constitue la meilleure protection en cas de contrôle.