Votre système informatique a été compromis. Ou un e-mail contenant des données clients a été envoyé par erreur à de mauvais destinataires. Ou votre ordinateur portable contenant des fichiers clients a été volé. Dans tous ces cas, vous êtes peut-être face à une « violation de données personnelles » au sens du RGPD — et le compteur des 72 heures commence à tourner.
Ce que « violation de données » signifie vraiment
Une violation de données, c’est tout incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles. Ce n’est pas forcément un piratage spectaculaire — un e-mail mal adressé, un document oublié dans un lieu public, un accès non autorisé d’un employé suffisent.
L’obligation de notification : ce que beaucoup ignorent
Dès lors qu’une violation de données présente un risque pour les personnes concernées, vous avez l’obligation de la notifier à la CNIL dans les 72 heures suivant sa découverte. Pas 72 heures après avoir tout analysé — 72 heures après avoir constaté l’incident, même si vous n’avez pas encore toutes les réponses.
Si la violation présente un risque élevé pour les personnes, vous devez également informer directement les personnes concernées — vos clients, vos salariés, selon le cas.
Ce qui arrive quand on ne notifie pas
Ne pas notifier une violation qui aurait dû l’être est une infraction autonome au RGPD — indépendamment de la violation elle-même. Des entreprises ont été sanctionnées non pas parce qu’elles avaient subi un incident de sécurité, mais parce qu’elles ne l’avaient pas notifié correctement, ou l’avaient notifié hors délai.
La panique comme ennemi de la bonne gestion de crise
Face à un incident de sécurité, la tentation est de gérer cela en interne, discrètement, sans alerter personne. C’est une réaction humaine compréhensible — mais c’est exactement la mauvaise approche. La transparence avec la CNIL, bien gérée, est toujours préférable à une découverte ultérieure d’un incident non déclaré.
⏱ 72 heures, c’est très court
En pratique, les 72 heures passent très vite quand on gère parallèlement la crise technique. Avoir préparé en amont une procédure de gestion des violations de données fait toute la différence le moment venu.
Vous venez de subir un incident de sécurité et vous ne savez pas comment réagir ?
Me Mizrahi vous accompagne en urgence : qualification de l’incident, notification CNIL, communication aux personnes concernées.
🔐 Votre situation RGPD vous préoccupe ?
Me Mizrahi analyse votre dossier gratuitement. Réponse sous 48h, partout en France — en présentiel ou à distance.
Consultation gratuite →