Que s'est-il passé ? Vous venez de subir une violation
Piratage, perte d'un ordinateur portable, courriel envoyé à mauvais destinataire, base de données exposée, rançongiciel : toute violation de données personnelles — destruction, perte, altération, divulgation non autorisée — déclenche des obligations immédiates pour l'entreprise responsable. Le point de départ des délais, c'est la prise de connaissance : chaque heure compte.
Le délai de 72 heures : ce qu'il faut faire, dans l'ordre
Depuis le RGPD (article 33), la violation doit être notifiée à la CNIL dans les 72 heures de la prise de connaissance, lorsque elle est susceptible d'engendrer un risque pour les droits des personnes. Sous ce délai : qualifier les faits, identifier les données touchées (catégories, volume, sensibilité), évaluer le risque, préparer les mesures correctives. Une notification incomplète dans les 72 heures vaut mieux qu'une notification parfaite trop tardive : elle peut être complétée ensuite.
Prévenir les personnes concernées
L'article 34 ajoute une seconde obligation : lorsque le risque est élevé (données de santé, identifiants bancaires, données permettant l'usurpation d'identité), les personnes doivent être informées individualisément et sans délai — par courriel distinct du mailing commercial, expliquant la nature de la violation, les conséquences possibles et les mesures à prendre (changement de mot de passe, vigilance bancaire). L'exception de risque rendu improbable par des mesures de chiffrement efficace doit être documentée.
En pratique : le registre et la procédure interne
Toute violation — même non notifiée car sans risque — doit être consignée dans un registre interne (faits, effets, mesures). C'est ce registre que la CNIL demande en cas de contrôle. Les entreprises qui ont une procédure écrite (qui fait quoi, modèles de notification, coordonnées du DPO) tiennent les 72 heures ; les autres improvisent et se sanctionnent seules.
Et si l'on ne respecte pas ?
Manquement à l'obligation de notification : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, aggravé si la violation elle-même révèle un défaut de sécurité (mot de passe partagés, absence de chiffrement, mises à jour négligées). La CNIL sanctionne aussi régulièrement l'absence de registre.
Pour les entreprises comme pour les victimes : Me Zakine, avocat RGPD et CNIL à Antibes, prépare les procédures de notification, accompagne les contrôles et défend les personnes victimes de violation de données.
