Notification CNIL sous 72 heures : le guide pratique pour les PME

L'Article 33 du Règlement Général sur la Protection des Données impose à toute organisation qui subit une violation de données personnelles de la notifier à l'autorité de contrôle compétente — la CNIL en France — dans un délai maximal de 72 heures après en avoir pris connaissance.

Cette règle est connue. Ce qui l'est moins, c'est ce qui se passe concrètement quand une fuite est détectée un vendredi soir, que personne ne sait par où commencer, et que le compteur tourne. Ce guide décrit une méthode simple pour être prêt avant l'incident — et y survivre pendant.

Ce que dit exactement le texte

« Le responsable du traitement notifie à l'autorité de contrôle compétente la violation de données à caractère personnel dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. »

— Article 33, paragraphe 1 — RGPD

Trois éléments clés : (1) le délai court à partir du moment où vous avez pris connaissance de l'incident — pas du jour de la violation elle-même ; (2) vous pouvez dépasser les 72h, mais à condition de justifier le retard ; (3) toutes les violations ne se notifient pas, uniquement celles qui présentent un risque pour les personnes concernées.

Qu'est-ce qu'une "violation de données" ?

Le RGPD définit la violation comme toute destruction, perte, altération, divulgation non autorisée, ou accès non autorisé à des données personnelles. En pratique, cela couvre :

• Le vol ou la perte d'un ordinateur portable contenant des données personnelles non chiffrées
• Un ransomware qui bloque l'accès aux fichiers clients
• Un mot de passe salarié retrouvé dans une base de fuite publique (avec accès possible à des données clients)
• Une erreur d'envoi de mail avec fichier client joint au mauvais destinataire
• Une faille permettant à un tiers de lire les fiches RH d'autres salariés
• Une fuite par un sous-traitant avec impact sur vos données

Les 5 étapes à enchaîner en moins de 72 heures

Étape 1 — Qualifier (heures 0-4)

Rassembler les informations essentielles : qu'est-ce qui a été compromis, quand, comment, qui est concerné, combien de personnes, quelles catégories de données. Si vous ne savez pas tout — c'est normal —, notez ce que vous savez et ce que vous devez encore déterminer. L'incertitude doit être documentée.

Étape 2 — Stopper (heures 4-12)

Contenez la fuite. Changez les mots de passe compromis, révoquez les sessions actives, isolez le système touché, alertez votre prestataire IT. Conservez les logs et traces techniques — ils serviront à la notification et à toute enquête ultérieure.

Étape 3 — Décider de notifier (heures 12-24)

Toute violation n'exige pas une notification CNIL. Le critère est le risque pour les droits et libertés des personnes. En cas de doute, notifiez — la CNIL préfère largement une notification précautionneuse à un silence qu'elle découvre six mois plus tard.

Étape 4 — Rédiger et transmettre (heures 24-72)

La notification se fait en ligne via le téléservice CNIL (notifications.cnil.fr). Elle exige : l'identité de votre organisation, la description de la violation, les catégories et nombre de personnes concernées, les conséquences probables, les mesures prises. Une notification complémentaire est possible si vous ne savez pas encore tout.

Étape 5 — Informer les personnes concernées (Article 34)

Si la violation présente un risque élevé, vous devez également informer directement les personnes concernées, dans les meilleurs délais. La communication doit être rédigée en termes clairs, expliquer la nature de la violation, les conséquences possibles, et les mesures prises et recommandées (changement de mot de passe, surveillance des comptes, etc.).

Comment se préparer avant l'incident

La seule façon de tenir le délai de 72h est d'avoir tout préparé en amont. Voici une checklist minimale :

1. Nommer une personne responsable de la gestion des violations (DPO si vous en avez un, dirigeant sinon).
2. Rédiger un modèle de notification CNIL pré-rempli avec vos informations d'organisation, prêt à compléter avec les détails spécifiques de l'incident.
3. Tenir à jour un registre des violations, même en l'absence d'incident — c'est une obligation permanente (Art. 33.5).
4. Identifier vos sous-traitants et leur demander de vous notifier immédiatement toute violation de leur côté.
5. Mettre en place une surveillance continue des fuites de mots de passe et de données — c'est souvent par là que commencent les incidents en PME.
6. Tester votre procédure au moins une fois par an, même de manière informelle.

Ce qu'il ne faut pas faire

• Attendre pour en savoir plus — il vaut mieux notifier sous 72h avec des informations incomplètes et compléter ensuite, que de dépasser le délai en cherchant la perfection.
• Minimiser — la CNIL évalue au regard du risque pour les personnes, pas de l'impact sur votre image. Sous-qualifier un incident est une circonstance aggravante.
• Oublier les personnes concernées — la notification CNIL (Art. 33) ne remplace jamais l'information des personnes (Art. 34) quand le risque est élevé.
• Ne rien documenter — même si vous décidez de ne pas notifier, tracez votre raisonnement par écrit. C'est ce qui vous protégera en cas de contrôle ultérieur.