Violation de données à notifier : décider sous le RGPD

Une violation de données à notifier ne se reconnaît pas à la taille de l'entreprise ni au coût de l'incident. Le seuil de l'article 33 porte sur le risque pour les droits et libertés des personnes ; le responsable doit donc fixer la chronologie, analyser les conséquences plausibles et conserver le raisonnement ¹.

Réponse rapide — Une violation de données à notifier est une violation susceptible d'engendrer un risque pour les droits et libertés. Sauf si ce risque est improbable, le responsable avertit l'autorité compétente dans les meilleurs délais et, si possible, sous 72 heures après la prise de connaissance, même lorsque certains faits seront fournis ultérieurement.

Dernière mise à jour : 26 août 2026.

Ouvrir deux chantiers dès la prise de connaissance

La réponse technique et l'analyse RGPD commencent ensemble. Contenir l'incident protège les personnes et les systèmes ; établir une chronologie et un niveau de risque permet de décider des notifications. Attendre la restauration complète avant d'ouvrir le volet juridique gaspille le délai de 72 heures.

Le mot « connaissance » ne signifie pas certitude absolue sur chaque détail. Les lignes directrices européennes retiennent un degré raisonnable de certitude qu'un incident a compromis des données personnelles ². Un signal vague appelle une enquête rapide ; un fichier confirmé comme envoyé au mauvais destinataire peut déjà suffire, même si le nombre exact d'enregistrements reste inconnu.

Créez un dossier unique et horodaté. Les équipes peuvent travailler en parallèle, mais elles alimentent la même version des faits. Une hypothèse doit être marquée comme telle, avec son propriétaire et son délai de vérification. Cette discipline évite qu'une communication rassurante du matin soit contredite par un rapport technique conservé ailleurs dans l'après-midi.

Le sous-traitant alerte le responsable dans les meilleurs délais. Il ne doit pas attendre d'avoir lui-même achevé l'analyse juridique du risque. Le responsable garde la décision de notification, tout en exigeant du fournisseur des informations complémentaires à une cadence compatible avec son propre délai ¹.

Fixer l'heure de connaissance avant de débattre de l'échéance

L'heure déterminante repose sur les faits, non sur la date de la réunion de direction. Notez le premier signal, les vérifications réalisées, le moment où l'incident et les données personnelles ont été reliés, puis l'heure à laquelle cette conclusion a été communiquée au responsable du traitement.

Un samedi, une boîte non surveillée ou une escalade oubliée ne suspendent pas le règlement. Le dispositif doit prévoir des contacts joignables, une suppléance et des critères permettant à l'équipe d'astreinte de conserver les preuves et d'alerter. L'objectif n'est pas de déclarer toute anomalie comme violation, mais de réduire le temps entre le signal crédible et la certitude raisonnable.

Calculez 72 heures à partir de cette heure et rendez l'échéance visible dans le dossier. Si la notification part plus tard, l'article 33 exige d'accompagner le retard de ses motifs ¹. Une enquête complexe peut expliquer pourquoi des détails restent à compléter ; elle ne transforme pas une absence d'organisation en justification suffisante du retard.

Lorsque plusieurs signaux concernent peut-être le même événement, le responsable les relie avant de multiplier les horloges. Trois alertes de comptes détournés peuvent révéler une seule violation dont l'étendue se précise, tandis que deux incidents proches peuvent conserver des causes et des populations distinctes. Le dossier explique le regroupement ou la séparation, les faits utilisés et l'effet sur l'analyse ; il ne choisit pas la variante qui repousse artificiellement l'échéance.

La chronologie conserve les hypothèses écartées autant que les confirmations. Si des journaux prouvent qu'un fichier n'a jamais quitté un environnement de test, notez la requête, sa période, son auteur et l'heure de validation ; si cette preuve devient contestée, l'équipe sait quel point reprendre. Une suite de décisions datées est plus probante qu'un récit final réécrit comme si tout avait été connu dès le premier signal.

Un réviseur distinct challenge enfin l'heure retenue à partir des preuves brutes. Il vérifie qu'une boîte non surveillée, une classification interne ou l'attente d'un dirigeant n'a pas masqué une connaissance déjà acquise, puis approuve ou corrige le calcul. La décision, la personne responsable et le prochain contrôle restent visibles dans le même dossier.

Évaluer le risque pour les personnes, pas l'impact commercial

Le risque combine les conséquences plausibles et leur probabilité. La perte d'un contrat, le coût d'une expertise ou la gêne médiatique concernent l'organisation ; ils ne répondent pas au seuil du RGPD. Recherchez ce qu'une personne pourrait subir et comment les données rendent ce scénario possible ⁴.

Écrivez les scénarios avant le niveau final. « Risque faible » ne dit pas ce qui a été exclu ; « le destinataire unique a confirmé la suppression sans copie, mais a ouvert la pièce jointe contenant une adresse et un montant » permet une revue. Les garanties comptent seulement lorsqu'elles fonctionnaient au moment de l'incident et que leur effet peut être démontré.

L'article 33 utilise le seuil du risque, tandis que l'article 34 réserve la communication directe au risque élevé ¹. Ne fusionnez pas les deux : une notification à l'autorité peut être requise sans message individuel, et un dossier non notifié doit néanmoins expliquer pourquoi le risque était improbable.

Décider sur l'exception du risque improbable

La décision comporte exactement trois branches, qui doivent rester lisibles pour la personne validant le dossier :

1. Risque improbable : pas de notification à l'autorité. Conservez les faits, les scénarios, les garanties et la raison pour laquelle aucune conséquence raisonnablement plausible n'atteint le seuil.
2. Risque possible : notification à l'autorité. Transmettez sans retard injustifié et, si possible, dans les 72 heures, puis fournissez les informations manquantes par phases lorsque cela est nécessaire.
3. Risque élevé : notification et examen séparé de la communication aux personnes. Préparez un message clair et évaluez les exceptions de l'article 34 sans supposer que la notification à l'autorité suffit.

Le parcours commence par l’horodatage de la prise de connaissance et sépare l’enquête de sécurité de la décision de notification. Le responsable ne peut s’abstenir de notifier l’autorité compétente que si un risque pour les droits et libertés des personnes est improbable ; l’incertitude sur les faits décisifs doit être levée rapidement, et non assimilée à une absence de risque ^{1 2}. Si l’exception ne peut être étayée, la violation est notifiée à l’autorité compétente et l’information des personnes en cas de risque élevé est évaluée séparément.

Le décideur peut changer de branche lorsque des preuves nouvelles apparaissent. Conservez l'ancienne évaluation, l'heure du changement et le fait déclencheur. Une requalification tardive n'efface pas le délai calculé depuis la prise de connaissance ; elle explique ce que l'organisation savait à chaque moment.

Pour un traitement transfrontière, identifiez l'autorité compétente et vérifiez si le mécanisme de guichet unique s'applique. L'autorité chef de file dépend de l'établissement principal ou unique dans l'EEE et de la capacité de cet établissement à prendre et faire appliquer les décisions sur le traitement. La simple désignation d'un représentant dans l'EEE par une organisation non établie ne crée pas cette qualité ².

Le dossier doit permettre à une autre personne de refaire le choix entre les trois branches. Joignez les données et populations confirmées, les scénarios de conséquence, les garanties qui fonctionnaient, les incertitudes, les éléments susceptibles de faire évoluer le niveau et l'identité de l'approbateur. Une étiquette « faible » ou une couleur de matrice sans faits ne démontre pas que le risque était improbable.

Lorsque la conclusion se situe près du seuil, retenez une heure de réexamen avant l'échéance et attribuez les preuves manquantes. Si elles arrivent trop tard, une notification initiale incomplète mais honnête préserve la possibilité de compléter ; attendre une certitude parfaite peut créer un retard sans améliorer la décision. Le propriétaire du dossier consigne ce choix et ne délègue pas implicitement le seuil au fournisseur qui enquête.

La branche de non-notification reste active jusqu'à la clôture. Un destinataire qui ne confirme plus la suppression, une copie découverte ou une nouvelle catégorie de données déclenche une nouvelle évaluation sur la chronologie existante. À l'inverse, une hypothèse aggravante infirmée est retirée avec sa preuve, sans effacer le raisonnement antérieur.

Construire un signalement progressif à partir d'une chronologie unique

Une notification initiale peut être utile et conforme même lorsque des faits manquent. L'article 33 autorise une transmission par phases lorsqu'il n'est pas possible de fournir les informations simultanément ¹. Le dossier doit alors rendre l'incomplétude explicite et annoncer le prochain point de mise à jour.

Le Comité européen de la protection des données a adopté le modèle commun version 1.0 le 8 juin 2026 pour une consultation publique menée du 10 juin au 5 août 2026 ^5,6. Cette consultation est close, mais la mise en œuvre nationale a été différée et son calendrier reste à décider. Le modèle constitue donc un schéma de préparation, non une voie universelle actuellement ouverte dans tous les États membres.

Jusqu'à l'adoption par l'autorité concernée, utilisez sa procédure actuelle. En France, la Commission nationale de l'informatique et des libertés (CNIL) fournit la route nationale active de notification. Vérifiez le canal et les pièces demandées au moment du dépôt, car une chronologie interne bien tenue ne remplace pas la transmission effective.

Un suivi ou un retrait actualise le même enregistrement tourné vers l'autorité. Il ne redémarre ni la prise de connaissance, ni le calcul des 72 heures, ni l'analyse du risque. Toute correction doit distinguer l'information inconnue au départ de celle qui était connue mais mal transmise.

La notification initiale est préparée à partir d'un jeu de données contrôlé, non d'une présentation reconstruite. Un propriétaire confirme l'identité du responsable et les contacts surveillés ; la sécurité fournit la nature, la cause, les systèmes et le confinement ; les métiers fournissent les personnes, enregistrements et vulnérabilités ; le DPO ou le rôle désigné relie ces faits aux conséquences et à la justification juridique. Chaque élément garde sa source, son statut et son heure.

Pour une notification nouvelle, le dossier indique clairement qu'aucune référence antérieure n'existe et précise si l'information est complète. Un suivi reprend la référence, liste seulement les faits nouveaux ou corrigés et montre leur effet sur le risque et les mesures. Une information manquante reçoit un responsable et une date, au lieu d'être masquée par « enquête en cours » ; une information complète est explicitement marquée comme telle après contrôle.

Un retrait n'est pas une suppression administrative du dépôt. Il expose le fait ou l'analyse qui rend la notification sans objet, conserve la référence et les versions précédentes, puis met à jour le registre interne avec le même motif et les mêmes preuves. L'équipe vérifie que le retrait ne résulte pas seulement d'une baisse du risque après des mesures postérieures, car une correction efficace n'efface pas nécessairement le seuil qui existait au moment pertinent.

Avant chaque envoi, comparez la chronologie interne, le formulaire national et la copie destinée à l'autorité. Les heures, nombres approximatifs, catégories et états doivent correspondre ou porter une explication ; une correction silencieuse créerait deux vérités concurrentes. Conservez l'accusé de réception, le canal, la personne qui a soumis et la prochaine action, puis alertez si le dépôt n'a pas produit la confirmation attendue.

La préparation au modèle commun peut être faite sans l'annoncer comme route actuelle. Alignez les rubriques internes sur la chronologie, les contacts, la nature, les personnes, les conséquences et les mesures, tout en maintenant une couche d'adaptation à la procédure nationale active. Lorsque l'autorité mettra le modèle en œuvre, cette structure réduira la ressaisie ; jusque-là, les champs nationaux supplémentaires et leur preuve demeurent obligatoires pour le dépôt réel.

Décider séparément de l'information des personnes

Le seuil de l'article 34 est le risque élevé. Le message doit utiliser des termes clairs et simples, décrire la nature de la violation, nommer un contact, présenter les conséquences probables et les mesures prises ou proposées ¹. Il doit aussi aider la personne à agir, par exemple en changeant un identifiant compromis ou en surveillant un paiement.

La communication peut ne pas être requise lorsque des protections rendaient les données inintelligibles, lorsque des mesures ultérieures ont écarté le risque élevé ou lorsqu'un effort disproportionné justifie une communication publique tout aussi efficace. Ces exceptions exigent des preuves ; un chiffrement mal géré ou une simple demande de suppression au destinataire ne suffit pas automatiquement.

Coordonnez le contenu avec la notification sans attendre une perfection paralysante. Le message individuel ne doit ni minimiser un risque établi ni présenter comme certain un scénario encore hypothétique. Conservez la version envoyée, les destinataires, le canal et l'heure, puis surveillez si les mesures recommandées restent adaptées aux faits nouveaux.

Attribuez un propriétaire distinct à la communication, avec l'autorité de suspendre un message juridiquement ou factuellement incohérent. Il transforme les données techniques en conséquences compréhensibles, fait vérifier les coordonnées et s'assure que les personnes savent quelles mesures leur reviennent ; il ne centre pas le texte sur la réputation de l'organisation. Une seconde personne compare le message aux faits notifiés afin d'éviter une divergence sur l'étendue ou la chronologie.

Testez le message auprès d'un lecteur qui ne connaît pas l'incident. Il doit pouvoir dire ce qui s'est passé, quelles données sont concernées, quel risque existe, ce qui a déjà été fait, quelle action entreprendre et comment obtenir de l'aide. Prévoyez un format accessible, des langues adaptées aux personnes concernées et une capacité suffisante du canal de réponse ; une boîte saturée rendrait l'instruction inexécutable.

La branche négative est documentée elle aussi. Si le risque reste sous le niveau élevé, le dossier explique quelles conséquences ont été examinées et pourquoi les garanties ou circonstances les réduisent, sans déduire automatiquement l'absence de communication de l'absence de notification. Tout fait nouveau rouvre cette décision séparément.

Appliquer le seuil à quatre cas ordinaires

Une facture contenant un nom, une adresse et un montant est envoyée à un seul client connu, qui confirme rapidement sa suppression sans copie. La confidentialité a été compromise ; les preuves de récupération peuvent toutefois rendre le risque improbable selon le contexte. Le dossier explique les données, l'ouverture éventuelle et la fiabilité de la confirmation.

Un ordinateur non chiffré contenant des pièces d'identité et des coordonnées bancaires disparaît. La possibilité d'usurpation et de fraude rend une notification vraisemblablement nécessaire, et le risque élevé peut imposer d'informer les personnes. Une politique disant que le disque « devait être chiffré » ne vaut pas preuve que le chiffrement était actif.

Un logiciel de rendez-vous médical devient indisponible, mais une sauvegarde récente et testée restaure le service avant toute conséquence pour les patients. L'indisponibilité constitue potentiellement une violation ; la courte durée, la récupération et l'absence d'effet plausible peuvent soutenir une non-notification, à condition que les faits soient vérifiés et consignés.

Un tableau d'adresses professionnelles est publié par erreur puis indexé. Même si les données paraissent ordinaires, la diffusion, la possibilité de copie, le contexte des personnes et les risques de hameçonnage doivent être évalués. Retirer la page réduit l'exposition future sans prouver que personne n'en a conservé une copie ⁴.

Ces exemples ne fixent pas des résultats automatiques. Ils montrent la méthode : données, contexte, personnes, conséquences, garanties effectives, incertitudes, puis seuil. L'organisation doit appliquer la même logique aux faits qu'elle peut démontrer.

Pour chaque cas, écrivez aussi le fait qui inverserait la conclusion. La facture change de profil si le destinataire refuse de coopérer ou si elle révèle un service sensible ; l'ordinateur perdu change si un chiffrement robuste et des clés séparées sont prouvés ; l'indisponibilité change si le retard prive un patient d'un soin ; la publication change si les journaux démontrent une consultation et une copie massives. Ces bascules empêchent l'exemple de devenir une règle automatique.

Le propriétaire de l'analyse compare ensuite les faits aux exemples du Comité européen sans leur donner valeur de barème ⁴. Il nomme les ressemblances et différences, demande la preuve manquante et conserve sa conclusion. Une revue croisée entre sécurité et métier évite que l'efficacité technique ou l'effet humain soit évalué par une seule fonction.

Enfin, traduisez le résultat en actions datées. Même lorsque le risque est improbable, corrigez le partage, la sauvegarde ou le contrôle ayant permis l'événement ; lorsqu'une notification est requise, séparez le dépôt urgent de la correction durable. La preuve de clôture montre que les deux flux ont un propriétaire et un test.

Documenter l'absence de notification avec autant de soin

L'article 33, paragraphe 5, exige de documenter toutes les violations, leurs effets et les mesures prises ¹. Le registre doit permettre à l'autorité de vérifier le respect du règlement, y compris lorsque l'organisation conclut que le risque était improbable.

Une case « non notifiable » sans raisonnement ne suffit pas. Évitez aussi de réécrire le dossier pour qu'il paraisse linéaire : la qualité de la décision se voit dans la manière dont l'équipe a traité les incertitudes, corrigé ses hypothèses et gardé le délai visible.

Le registre alimente ensuite la prévention. Si trois violations proviennent du même partage par défaut, la mesure durable concerne la configuration et le contrôle, pas seulement un rappel général. Reliez chaque action à une preuve d'exécution et à une date de vérification.

Anticiper ce qui suit la notification

La notification ouvre souvent des questions complémentaires. L'autorité peut demander des précisions sur la prise de connaissance, les catégories de personnes, le niveau de risque, les mesures, les retards ou la communication individuelle. Un dossier contrôlé permet de répondre sans créer une seconde version des faits.

Maintenez un interlocuteur surveillé et conservez les références de dépôt. Les compléments partent par la voie prévue par l'autorité, avec une distinction nette entre correction et information nouvelle. Si l'autorité demande une action, attribuez-la, fixez son échéance et rattachez la preuve au dossier plutôt qu'à une boîte personnelle.

L'article 83 prévoit des amendes administratives pouvant atteindre, selon la catégorie d'infraction, 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, ou 20 millions d'euros ou 4 %, le montant le plus élevé étant retenu ¹. Ces plafonds ne remplacent pas l'analyse du cas ; ils rappellent que la gouvernance, la documentation et l'exécution des mesures font partie du respect du règlement.

La logique britannique ordinaire est matériellement équivalente concernant la prise de connaissance, le seuil de risque, les 72 heures, le signalement par phases et le risque élevé. Cette équivalence justifie une page européenne unique, tandis que la voie de dépôt et l'autorité restent celles qui sont compétentes pour l'organisation au sein de l'Union.

Après clôture, vérifiez l'efficacité des mesures : restauration réellement testée, droits d'accès réduits, destinataire supprimé, formation ciblée ou configuration corrigée. Fermer le ticket parce que la notification a été envoyée laisserait intacte la cause qui exposera les prochaines personnes.

Préparez les réponses probables avant la demande de l'autorité. Le dossier doit produire la preuve du point de connaissance, la méthode de comptage, les catégories, les scénarios de risque, les protections effectives, la justification d'un retard et les versions de la communication ; chaque pièce possède un propriétaire et une date de vérification. Une liste de pièces attendues réduit le risque qu'un collaborateur absent soit le seul à pouvoir expliquer le dépôt.

Les mesures correctives suivent trois niveaux. Le confinement ferme l'exposition immédiate ; la correction retire la cause technique ou organisationnelle ; la prévention vérifie que le même mécanisme ne réapparaît pas ailleurs. Pour un mauvais destinataire suggéré automatiquement, rappeler le message ne suffit pas : l'équipe examine la conception du champ, les droits d'envoi, l'avertissement, l'historique et les autres systèmes utilisant la même logique.

Chaque action reçoit un résultat observable. Une restauration est chronométrée sur une copie testée, un retrait de droits est comparé à la matrice attendue, une règle de partage est testée depuis un compte sans privilège et une formation est évaluée sur un scénario concret. Le propriétaire joint la preuve et un réviseur confirme le résultat, au lieu de fermer l'action sur la seule déclaration de la personne qui l'a réalisée.

Surveillez également les conséquences différées pour les personnes. Des tentatives de fraude, plaintes, demandes d'assistance ou nouvelles copies peuvent modifier le niveau de risque et exiger un suivi à l'autorité ou une communication ; le dossier définit la période de surveillance, les signaux et la personne qui décide. La fermeture administrative ne doit pas couper cette remontée.

Après la revue, partagez seulement les enseignements nécessaires. Un retour anonymisé explique le mécanisme, les signaux et la correction sans exposer de nouveau les personnes concernées. Reliez l'enseignement au registre des risques, au contrôle fournisseur et au prochain exercice afin que l'incident modifie durablement l'exploitation.