Violation de données CNIL : notifier l'incident en 72 heures
Fuite de données sur votre site ? Découvrez quand et comment faire une notification à la CNIL sous 72 heures, prévenir les personnes concernées et tenir le registre.
CNIL - violation : de quoi parle-t-on exactement ?
Le règlement général sur la protection des données (RGPD) définit la violation comme une faille de sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération ou la divulgation de données à caractère personnel. Un accès non autorisé suffit aussi. Le texte vise tous les organismes qui traitent ces informations, privés comme publics.
On distingue trois atteintes. La confidentialité est touchée quand un tiers lit des fichiers qu'il ne devrait pas voir. L'intégrité est atteinte quand les données sont modifiées. La disponibilité est perdue quand elles sont effacées ou chiffrées par un rançongiciel.
Des exemples courants sur un site d'entreprise
- un formulaire de contact détourné qui laisse fuiter les messages reçus
- une sauvegarde de la base clients laissée en accès public
- un e-mail envoyé à tous les clients avec les adresses visibles
- un ordinateur portable volé contenant un export de commandes
La plupart de ces fuites viennent de failles simples. Un formulaire de contact mal sécurisé ou une base de données mal protégée suffisent souvent.
Les obligations des responsables de traitement
Les responsables de traitement doivent agir vite et garder une trace. Le RGPD prévoit trois obligations, dont la portée dépend du niveau de risque pour les droits et libertés des personnes.
Documenter chaque incident
Toute violation, même bénigne, entre dans un registre interne. Vous y notez les faits, leurs conséquences probables et les mesures prises. La CNIL peut demander ce registre lors d'un contrôle.
Notifier une violation à la CNIL
Si un risque existe pour les personnes, la notification à la CNIL est obligatoire dans les 72 heures. Le délai court dès que vous avez connaissance de l'incident, pas à partir de la fin de l'enquête. Votre sous-traitant, l'hébergeur ou l'agence web par exemple, doit vous prévenir sans délai pour que vous puissiez tenir ce délai.
Informer les personnes concernées
Si le risque est élevé, par exemple pour des mots de passe en clair ou des données bancaires, il faut aussi prévenir les personnes concernées par la violation. Le message doit être clair et indiquer ce qu'elles peuvent faire pour se protéger.
La notification d'une violation pas à pas
- Contenir la fuite : couper l'accès, changer les identifiants, isoler le serveur.
- Évaluer le risque : type de données, nombre de personnes, facilité d'identification.
- Remplir le téléservice de notification auprès de la CNIL, accessible depuis son site.
- Envoyer une notification initiale si l'enquête n'est pas finie, puis la compléter.
- Prévenir les personnes si le risque est élevé.
- Inscrire l'incident au registre et corriger la cause.
La déclaration décrit la nature de la violation, les catégories et le nombre approximatif de personnes touchées, les conséquences probables et les mesures prises. Indiquez aussi le contact de votre délégué à la protection des données, si vous en avez un.
Où trouver les ressources officielles
Le site de la CNIL propose un formulaire de recherche pour retrouver ses fiches pratiques et le téléservice de notification. Tapez simplement « violation de données » pour y accéder. Le Comité européen de la protection des données (CEPD) publie aussi des lignes directrices sur la notification, avec de nombreux cas concrets classés par niveau de risque.
Prévenir plutôt que notifier
La meilleure notification reste celle qu'on n'a pas à faire. Une checklist de sécurité pour site web, des mots de passe stockés avec un hash robuste et des sauvegardes testées réduisent fortement l'exposition. Si l'attaque a déjà eu lieu, notre guide site piraté : que faire détaille la remise en état technique.
Le coût d'une mise en conformité dépend de la taille du site, du volume de données collectées et de l'état du code existant : il se chiffre sur devis. Pour un nouveau projet, notre création de site internet intègre la sécurité dès le départ, avec un site vitrine sur-mesure dès 19,90 € par mois en abonnement.
Questions fréquentes
C'est un incident de sécurité qui expose, modifie, détruit ou rend indisponibles des données personnelles. Il peut être volontaire, comme un piratage, ou accidentel, comme un mauvais destinataire d'e-mail. Il n'y a pas besoin qu'un fichier soit volé : un accès non autorisé suffit.
Le délai est de 72 heures après la découverte de l'incident. Si vous n'avez pas encore tous les éléments, envoyez une notification initiale puis complétez-la. Un retard reste possible, à condition de le justifier.
Non. La notification n'est pas requise si la violation ne présente pas de risque probable pour les personnes, par exemple des données chiffrées dont la clé n'a pas fui. En revanche, l'inscription au registre interne reste obligatoire dans tous les cas.
