Violation de données personnelles : définition et premiers réflexes

Une violation de données personnelles peut commencer par un geste ordinaire : un fichier partagé avec le mauvais fournisseur, un dossier papier oublié ou une sauvegarde devenue illisible. Le RGPD s'intéresse à l'effet sur les données et les personnes, pas au caractère spectaculaire de la cause ¹.

Réponse rapide — Une violation de données personnelles est un incident de sécurité qui détruit, perd, altère ou divulgue des données personnelles, ou permet un accès non autorisé. Elle touche la confidentialité, l'intégrité ou la disponibilité. Le responsable doit la contenir, établir les faits, évaluer le risque et documenter sa décision.

La qualification ouvre l'analyse, mais ne décide pas encore si l'autorité ou les personnes doivent être informées. Ces seuils dépendent ensuite du risque établi à partir des circonstances réelles.

Dernière mise à jour : 26 août 2026.

La définition couvre trois types d'atteinte

Le critère décisif est la conséquence de la violation de sécurité. L'article 4, point 12, inclut les actes accidentels comme illicites ; il n'exige ni intrusion externe, ni vol, ni exploitation avérée ¹.

Une même situation peut toucher plusieurs dimensions. Une copie exfiltrée puis effacée compromet la confidentialité et la disponibilité ; une base restaurée à partir d'une version ancienne peut aussi altérer l'intégrité. L'équipe doit donc décrire chaque effet au lieu de choisir une seule catégorie par commodité.

La donnée doit être personnelle, c'est-à-dire se rapporter à une personne identifiée ou identifiable. Une indisponibilité limitée à des données réellement anonymes ne relève pas de cette définition, mais l'affirmation d'anonymat doit résister à la possibilité de recouper les éléments avec d'autres informations accessibles.

Identifier une violation n'achève pas l'analyse. Les articles 33 et 34 ouvrent ensuite deux questions différentes : notification à l'autorité lorsque le risque ne peut pas être considéré comme improbable, puis communication aux personnes lorsque le risque devient élevé ¹.

La cause peut être parfaitement ordinaire

Les erreurs humaines, les procédures mal conçues et les défaillances matérielles produisent autant de violations que les attaques. Une adresse saisie automatiquement, une règle de partage héritée ou une sauvegarde jamais restaurée en test peuvent suffire. Chercher d'abord un pirate retarde alors le confinement du problème réel.

Reconstituez la chaîne sans chercher immédiatement un responsable individuel. Qui a déclenché l'opération, quelle interface a proposé le mauvais choix, quelles validations manquaient et quelles protections auraient limité l'effet ? Une culture qui sanctionne le premier signalement pousse les témoins à attendre, alors que le délai juridique dépend précisément du moment où l'organisation acquiert un degré raisonnable de certitude.

Le responsable doit aussi organiser l'information provenant de ses sous-traitants. L'article 33, paragraphe 2, impose au sous-traitant d'informer le responsable dans les meilleurs délais après avoir pris connaissance de la violation ¹. Un contrat utile nomme un canal surveillé, un remplaçant et les premiers faits attendus, tout en autorisant les compléments successifs.

Préparez le signalement pour les activités ordinaires, pas seulement pour une attaque. Le personnel doit pouvoir transmettre une pièce jointe erronée, un dossier introuvable, une modification suspecte ou un appareil perdu sans devoir choisir lui-même la catégorie juridique. Le propriétaire de permanence enregistre le message original, protège les preuves, attribue le confinement et fixe l'heure de la prochaine revue ; il ne ferme pas le dossier parce que le destinataire promet oralement de supprimer le fichier.

La recherche de cause vient après les premières mesures et distingue la faute immédiate des conditions qui l'ont rendue possible. Une sélection manuelle peut expliquer l'envoi, tandis qu'une suggestion automatique, l'absence de double contrôle et des droits trop larges expliquent son étendue. Le plan correctif attribue ces causes, exige une preuve d'exécution et teste de nouveau le scénario, au lieu de limiter la réponse à un rappel général adressé à l'employé.

Conservez aussi la branche négative. Si l'enquête démontre qu'aucune donnée personnelle n'a été touchée, le dossier nomme les journaux, versions ou témoins qui soutiennent cette conclusion et la personne qui l'a validée. Une absence d'effet démontrée peut fermer la qualification ; une simple absence de plainte ne le peut pas.

Quatre violations et deux situations qui n'en sont pas encore

Les catégories deviennent plus claires lorsqu'on les applique à des événements modestes. Les lignes directrices européennes insistent sur les circonstances réelles, les garanties et les conséquences possibles plutôt que sur l'étiquette technique ³.

Une situation d'abord classée comme quasi-incident peut changer lorsque de nouveaux journaux montrent un accès, une extraction ou une altération. Conservez donc l'hypothèse initiale, la preuve disponible et l'heure de la requalification ; ne remplacez pas silencieusement le premier récit par le dernier.

Une violation ne se confond pas avec un incident cyber

Un incident de cybersécurité décrit un problème touchant des systèmes ou des informations. Une violation de données personnelles est une catégorie juridique plus étroite, définie par l'effet sur des données liées à des personnes. Les deux ensembles se recoupent sans être identiques.

Une attaque par déni de service contre une page publique peut interrompre le service sans toucher de donnée personnelle. À l'inverse, un document papier remis au mauvais visiteur peut constituer une violation sans événement informatique. Cette distinction ne crée pas deux équipes concurrentes : la réponse technique contient et conserve les preuves, tandis que la réponse protection des données détermine la qualification, le risque et les obligations.

Adoptez une porte d'entrée commune pour que l'employé n'ait pas à qualifier l'événement avant de le signaler. Le formulaire interne peut demander ce qui a été vu, quand, où, par qui et quelle action immédiate a été prise. Un responsable formé établit ensuite la catégorie, sans retarder la récupération des preuves ni les mesures de sécurité.

Les deux chantiers conservent pourtant des sorties différentes. L'équipe de sécurité peut clôturer un incident lorsque le système est restauré, alors que le responsable de la protection des données doit encore évaluer le risque, les notifications et le registre ; inversement, une violation papier exige une décision RGPD même si aucun ticket informatique n'existe. Un identifiant commun relie les dossiers sans confondre leurs critères de fermeture.

Définissez les propriétaires avant l'événement. La sécurité conserve les journaux et confirme les mesures techniques ; le métier explique les personnes, la finalité et l'effet opérationnel ; le DPO ou le rôle désigné challenge la chronologie et les seuils ; le responsable du traitement approuve la décision. Si une fonction manque, une suppléance explicite empêche que chaque équipe attende la conclusion de l'autre.

Testez la distinction avec deux exercices : une tentative bloquée sans donnée touchée et une enveloppe nominative remise au mauvais foyer. Le premier doit produire une preuve de non-violation et une correction de sécurité, le second un dossier de violation et une analyse du risque. Le compte rendu mesure le temps de signalement, les faits manquants et les actions restées sans propriétaire.

La première heure sert aux faits et au confinement

La priorité consiste à arrêter l'exposition sans effacer la chronologie. Couper un lien public, rappeler un message lorsque cela reste possible ou isoler un appareil peut réduire le risque ; supprimer les journaux, réinitialiser un système sans image ou promettre trop tôt qu'aucune donnée n'a été vue détruit au contraire la capacité de décider.

Les sept rubriques suivantes donnent une structure de préparation commune. Elles reflètent le modèle version 1.0 adopté par le Comité européen de la protection des données le 8 juin 2026 pour une consultation publique tenue du 10 juin au 5 août 2026 ⁴. La consultation est close, mais le calendrier de mise en œuvre nationale reste à décider : ces rubriques ne sont donc pas encore un formulaire universel obligatoire.

Une rubrique utile n'est pas nécessairement exigée sous la même forme par toutes les autorités nationales. Jusqu'à une mise en œuvre nationale du modèle commun, le responsable suit la voie courante de l'autorité compétente. En France, la Commission nationale de l'informatique et des libertés (CNIL) présente la route actuelle permettant d'effectuer la notification.

Le dossier reste vivant. Une information complémentaire alimente la même chronologie ; elle ne redémarre ni le moment de prise de connaissance, ni le délai de 72 heures, ni l'analyse juridique. Si l'événement concerne plusieurs pays, consignez les établissements, les personnes touchées et les décisions pertinentes afin de déterminer l'autorité compétente ou chef de file.

La question suivante porte sur le risque, pas sur le vocabulaire

Une fois la violation établie, l'équipe doit évaluer les conséquences pour les personnes : fraude, usurpation, discrimination, perte financière, atteinte à la réputation, secret révélé ou impossibilité d'accéder à un service essentiel. La sensibilité, le volume, l'identifiabilité, la vulnérabilité et l'efficacité du chiffrement modifient le résultat ².

Le responsable notifie l'autorité compétente dans les meilleurs délais et, si possible, dans les 72 heures après la prise de connaissance, sauf si le risque pour les droits et libertés est improbable. Un retard doit être motivé. Un risque élevé déclenche séparément l'examen de la communication aux personnes, avec les exceptions prévues à l'article 34 ¹.

Documentez chaque violation, y compris celle qui ne part pas à l'autorité. Le registre doit permettre de vérifier les faits, les effets, les mesures correctives et la justification de chaque seuil. Une conclusion courte comme « risque faible » n'est pas exploitable ; indiquez les scénarios envisagés, les preuves et la personne qui a validé le raisonnement.

La règle britannique ordinaire est matériellement équivalente sur cette définition, la prise de connaissance, le délai et le partage entre risque et risque élevé. Cette équivalence explique qu'une page européenne unique puisse répondre à la question, sans importer une autorité ni une voie de dépôt britanniques dans la procédure appliquée au sein de l'Union.