Lexique · Gouvernance & conformité
Notification de violation de données
Obligation du responsable du traitement de notifier à l'autorité de contrôle, dans les meilleurs délais et si possible sous 72 heures, toute violation de données personnelles susceptible d'engendrer un risque, et d'en informer les personnes concernées si le risque est élevé (articles 33 et 34 du RGPD).
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 1
Notions liées
Sources · 4
- [1] Chapitre IV, responsable du traitement et sous-traitant : articles 33 et 34 du règlement (UE) 2016/679 (CNIL)
- [2] Chapitre I, dispositions générales : article 4 du règlement (UE) 2016/679 (CNIL)
- [3] Notifier une violation de données personnelles (CNIL)
- [4] Violations de données personnelles : bilan de 5 années de RGPD (CNIL)
Ce que ça change pour une organisation
Une violation de données à caractère personnel est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données ou l’accès non autorisé à celles-ci (article 4). Lorsqu’elle est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable du traitement la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Le sous-traitant prévient le responsable dans les meilleurs délais.
La notification décrit la nature de la violation, les personnes et les données concernées, ses conséquences probables et les mesures prises, et peut être complétée en plusieurs temps. Toute violation, notifiée ou non, est documentée en interne.
Si le risque est élevé, les personnes concernées sont informées en termes clairs (article 34), sauf si les données étaient protégées, par exemple chiffrées, si des mesures ultérieures écartent le risque ou si l’effort est disproportionné (communication publique). Un défaut de notification peut être sanctionné d’une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires.
Exemple
Le bilan publié par la CNIL le 27 mars 2024 recense 17 483 notifications reçues entre mai 2018 et mai 2023. Un même piratage peut générer de nombreuses notifications, lorsqu’un prestataire attaqué prévient ses clients, qui notifient chacun. Seule la moitié des notifications intervient dans les 72 heures, les retards tenant surtout à la méconnaissance de l’obligation ou à l’attente d’éléments tangibles ; la CNIL recommande de notifier dans le délai, même avec des éléments partiels.
À ne pas confondre avec
- La communication aux personnes concernées (article 34), distincte de la notification à l’autorité et exigée seulement en cas de risque élevé.
- Un incident de sécurité, qui n’est une violation de données personnelles que s’il porte atteinte à la disponibilité, à l’intégrité ou à la confidentialité de données personnelles.
- Le dépôt de plainte, démarche pénale distincte que la CNIL conseille lorsque la violation fait suite à une cyberattaque.
