Cyberattaque ou simple maladresse interne, le RGPD impose, dans les deux cas, des démarches précises et des délais très courts, dont le non-respect est devenu l’un des tout premiers motifs de sanction de la CNIL.
Le phénomène n’a rien d’anecdotique. En 2025, la CNIL a enregistré près de 6 200 notifications de violations de données, en hausse de 9,5 % sur un an. Les TPE et PME, moins outillées que les grands groupes, y sont d’autant plus vulnérables qu’elles découvrent souvent leurs obligations le jour où l’incident survient.
1. Ce que recouvre vraiment une « violation de données »
Le RGPD définit cette notion comme toute violation de sécurité entraînant, de façon accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles (article 4).
Trois types de situations sont visées :
– La perte de disponibilité : un serveur rendu inaccessible par un rançongiciel, un fichier effacé sans sauvegarde.
– La perte d’intégrité lorsque des données sont modifiées ou corrompues sans autorisation.
– La perte de confidentialité, qui est la plus fréquente en entreprise : un e-mail parti au mauvais destinataire, un ordinateur portable volé, une base consultée par une personne qui n’aurait pas dû y accéder.
La conséquence est importante à saisir : une simple maladresse humaine déclenche exactement les mêmes obligations qu’une cyberattaque élaborée.
2. La notification à la CNIL sous 72 heures
L’obligation centrale figure à l’article 33 du RGPD. Dès que l’entreprise a connaissance de la violation, elle doit la signaler à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard ». Le point de départ n’est pas la survenance des faits, mais le moment où le responsable en prend connaissance.
Cependant, la notification n’est pas requise lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes, cette appréciation ne se présume pas. C’est à l’entreprise de pouvoir justifier, pièces à l’appui, pourquoi elle a estimé pouvoir s’en dispenser. En pratique, il est préférable de documenter ce raisonnement.
La démarche elle-même passe par un formulaire en ligne sur le site de la CNIL, qui appelle une description de la nature de l’incident, de son origine, du volume de données et de personnes touchées, et des mesures déjà engagées pour y remédier.
3. Faut-il prévenir les personnes concernées ?
Lorsque la violation est susceptible d’engendrer un risque élevé pour les clients ou les salariés dont les données ont fuité, l’article 34 du RGPD impose de les informer directement, sans délai, dans des termes clairs et compréhensibles.
Trois hypothèses dispensent toutefois de cette communication : lorsque les données étaient protégées par des mesures rendant leur exploitation impossible, un chiffrement robuste par exemple ; lorsque des mesures prises après coup ont écarté le risque ; ou lorsque prévenir chaque personne individuellement supposerait des efforts disproportionnés, auquel cas une communication publique prend le relais.
Le caractère « élevé » du risque s’apprécie au cas par cas, en croisant plusieurs facteurs. La nature des données pèse lourd : des coordonnées bancaires ou des informations de santé n’ont pas la même sensibilité qu’une simple adresse e-mail. S’y ajoutent le volume de personnes touchées, la facilité à les identifier, et surtout l’existence d’une sauvegarde permettant une restauration rapide. Un fichier chiffré, sauvegardé et rétabli en quelques heures ne se situe pas sur le même plan qu’une base non protégée, exfiltrée puis diffusée par un attaquant.
Qu’elle soit notifiée ou non, chaque violation doit être consignée dans un registre dédié, prévu par l’article 33.5 du RGPD. C’est la première pièce que la CNIL réclamera en cas de contrôle.
4. Le réflexe assurance : dépôt de plainte sous 72 heures
Depuis la loi LOPMI du 24 janvier 2023, l’article L12-10-1 du code des assurances subordonne l’indemnisation des pertes causées par une cyberattaque au dépôt d’une plainte pénale dans les 72 heures suivant la connaissance de l’atteinte. Passé ce délai, l’assureur est fondé à refuser sa garantie, quand bien même le contrat couvrait le sinistre.
Cette règle ne concerne que les personnes morales et les professionnels, et vise les atteintes aux systèmes de traitement automatisé de données (articles 323-1 à 323-3-1 du code pénal).
Pour une PME dotée d’une assurance cyber, le dépôt de plainte n’est pas une option morale mais une condition d’indemnisation. Il faut donc conserver soigneusement la preuve du dépôt de plainte et la transmettre à l’assureur.
***
Les manquements liés aux violations de données figurent parmi les motifs de sanction les plus fréquents de la CNIL, qui peut prononcer une amende allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial (article 83 du RGPD).
Les décisions récentes donnent la mesure du risque : 600 000 euros pour une chaîne de télévision qui n’avait pas notifié la violation ; 42 millions pour Free et Free Mobile, sanctionnés notamment pour défaut d’information des personnes concernées ; 475 000 euros pour Booking par l’équivalent hollandais de la CNIL, pour un retard de vingt-deux jours dans sa notification.
Le cabinet Boulet Avocat accompagne les dirigeants de TPE et PME dans la gestion de leurs incidents de sécurité, la conduite de leurs démarches déclaratives auprès de la CNIL et la préservation de leurs droits à indemnisation. Contactez-nous pour un premier échange confidentiel.
