Violation de données personnelles : comment notifier la CNIL en 72 heures et prévenir ses clients

Le 2 octobre 2026, les clients de LDLC ont reçu un courriel les prévenant qu’un acte malveillant avait permis un accès non autorisé à l’un des systèmes d’information du distributeur. Noms, adresses, téléphones et codes clients ont pu être consultés, la CNIL a été notifiée de l’incident et l’entreprise a mis ses clients en garde contre l’hameçonnage. Une séquence devenue banale, que toute entreprise doit savoir dérouler en quelques jours.

Une violation de données personnelles désigne la perte de confidentialité, d’intégrité ou de disponibilité de données relatives à des personnes physiques. Le règlement général sur la protection des données encadre ce qui doit être fait dans les 72 heures qui suivent sa découverte, et la CNIL a enregistré un nombre record de notifications en 2025. Comment une PME doit-elle s’y prendre pour notifier la violation et prévenir les personnes touchées ?

Qu’est-ce qu’une violation de données personnelles au sens du RGPD ?

Une violation de données personnelles existe dès qu’un incident compromet, par accident ou par malveillance, des données personnelles traitées par l’entreprise. L’article 4 du RGPD retient trois atteintes : la confidentialité, avec un accès ou une fuite, l’intégrité, avec une modification, et la disponibilité, avec une perte ou un chiffrement par rançongiciel.

La définition dépasse donc largement la cyberattaque. Un ordinateur portable volé avec un fichier clients non chiffré, un courriel envoyé au mauvais destinataire ou une sauvegarde effacée entrent dans le champ de l’obligation, dès lors qu’ils exposent des personnes à un risque. Encore faut-il savoir quand ce constat déclenche le chronomètre.

Dans quel délai faut-il notifier une violation de données à la CNIL ?

La notification doit parvenir à la CNIL dans les 72 heures après la prise de connaissance de la violation, selon l’article 33 du RGPD. Le délai court à partir du moment où l’entreprise a une certitude raisonnable qu’un incident touche des données personnelles, et tout dépassement doit être motivé dans la déclaration.

La CNIL admet une notification en plusieurs temps. Une déclaration initiale part dans le délai, puis une notification complémentaire arrive dès que l’enquête progresse. Attendre d’avoir mesuré l’ampleur exacte de l’incident pour se déclarer est donc la principale erreur à éviter, d’autant que la déclaration elle-même suit un parcours précis.

Les étapes de la notification sur le téléservice de la CNIL

La notification se fait exclusivement en ligne, par le responsable du traitement et non par son prestataire, en suivant cinq étapes :

1. qualifier l’incident en vérifiant qu’il touche des données personnelles et présente un risque pour les personnes ;
2. préparer les réponses grâce au document préparatoire proposé par la CNIL au format texte ;
3. décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
4. exposer les conséquences probables et les mesures prises ou envisagées pour limiter les effets ;
5. compléter la déclaration initiale par une notification complémentaire lorsque l’enquête technique livre ses conclusions.

En cas de cyberattaque, la CNIL recommande en parallèle de déposer plainte et de conserver les preuves techniques, journaux de connexion compris. La directive NIS2 prévoit en outre, pour les entités qu’elle couvre, une alerte précoce sous 24 heures auprès de l’autorité de cybersécurité, une obligation qui inscrit durablement la cybersécurité dans les arbitrages des dirigeants.

Quand faut-il informer les personnes concernées par une violation de données ?

L’entreprise doit prévenir directement les personnes touchées lorsque la violation présente un risque élevé pour leurs droits et libertés, selon l’article 34 du RGPD. Une fuite de coordonnées bancaires, de données de santé ou d’identifiants exploitables pour une usurpation relève de ce cas, et le message part sans délai injustifié.

Le courriel doit expliquer en termes clairs ce qui s’est passé, les conséquences possibles et les gestes de protection. LDLC a ainsi précisé que les coordonnées bancaires et les mots de passe n’étaient pas concernés et rappelé qu’il ne demanderait jamais de changement de RIB. En cas de doute sur le niveau de risque, la CNIL indique elle-même si l’information est requise, à condition d’avoir été notifiée.

La pression monte du côté des volumes. D’après la CNIL, 6 167 violations lui ont été notifiées en 2025, soit 9,5 % de plus qu’en 2024, et plus de 2 730 au seul premier trimestre 2026, dont environ la moitié liées à des piratages.

C’est 50 % de plus sur ces trois dernières années.

Marie-Laure Denis, présidente de la CNIL, à propos des notifications de violations de données, dans des propos tenus à l’AFP le 22 mai 2026

Ce que coûte une procédure mal tenue

L’absence de notification ou d’information expose l’entreprise à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486,8 millions d’euros, contre 55,2 millions d’euros l’année précédente.

Le cas de Free illustre la sévérité du régulateur. Après une intrusion qui avait exposé 24 millions de contrats d’abonnés en octobre 2024, Free Mobile et Free ont écopé de 42 millions d’euros en janvier 2026. La formation restreinte a notamment jugé que le courriel adressé aux abonnés ne leur permettait pas de comprendre directement les conséquences de la violation. La qualité de l’information compte donc autant que sa rapidité, comme l’avait montré la brèche de la DGFiP de l’été 2026.

Faut-il documenter une violation qui n’est pas notifiée à la CNIL ?

Oui, chaque violation doit être consignée en interne, même lorsqu’elle ne présente aucun risque et n’appelle aucune notification, selon l’article 33.5 du RGPD. Le registre décrit les faits, leurs effets et les mesures correctives, et la CNIL peut le réclamer lors d’un contrôle pour vérifier les décisions prises.

Ce registre sert aussi de mémoire. Un incident jugé mineur en mars peut révéler une faille récurrente lorsqu’un second survient quelques mois plus tard, et la trace écrite permet de justifier qu’aucune notification n’était due. La CNIL a annoncé pour 2026 des contrôles ciblant en priorité les organismes ayant déjà subi une violation, au même titre que ses vérifications sur les pixels de suivi dans les emails.

Les prestataires, maillon décisif de la chaîne de notification

La présidente de la CNIL observe que les violations impliquent souvent des prestataires, généralement plus petits et moins bien protégés que leurs clients. Le RGPD impose au sous-traitant de prévenir son client dans les meilleurs délais, mais c’est ce dernier qui reste comptable des 72 heures face au régulateur.

La clause de notification inscrite dans les contrats d’hébergement, de logiciel ou de maintenance devient alors un outil de gestion du risque à part entière. Un délai contractuel de 24 ou 48 heures, un contact désigné et une liste des informations à transmettre conditionnent la capacité de l’entreprise à tenir l’échéance le jour où l’incident survient chez un tiers.