Violation de données personnelles : notifier la CNIL sous 72 heures En vigueur
Faits essentiels
| Point | Valeur |
|---|---|
| Base juridique | RGPD, article 33 (notification à l'autorité de contrôle) |
| Délai de notification à la CNIL | dans les meilleurs délais, au plus tard 72 heures |
| Dépassement du délai | la notification doit être accompagnée des motifs du retard |
| Modalité | téléservice de notification de violations de la CNIL |
| Notification en deux temps | notification initiale puis notification complémentaire |
| Information des personnes concernées | obligatoire en cas de risque élevé (RGPD art. 34) |
| Amende administrative encourue | jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (montant le plus élevé retenu) |
Quand la notification est-elle obligatoire
Trois conditions cumulatives :
- un traitement de données personnelles a été mis en œuvre ;
- ces données ont fait l'objet d'une violation — perte de disponibilité, d'intégrité ou de confidentialité, de manière accidentelle ou illicite ;
- l'incident constitue un risque au regard de la vie privée des personnes concernées.
En cas de doute, la CNIL recommande de notifier : elle indique ensuite s'il est nécessaire d'informer les personnes.
Délai
La notification doit intervenir dans les meilleurs délais et au plus tard dans les 72 heures, via le téléservice de notification de violations de la CNIL. Si ce délai est dépassé, la notification doit être accompagnée des motifs du retard.
Une notification en deux temps est possible : une notification initiale dès la constatation de la violation, puis une notification complémentaire une fois toutes les informations réunies.
Contenu de la notification
- la nature de la violation ;
- si possible, les catégories et le nombre approximatif de personnes concernées ;
- les catégories et le nombre approximatif d'enregistrements de données concernés ;
- les coordonnées du délégué à la protection des données (DPO) ou du point de contact ;
- les conséquences probables de la violation ;
- les mesures prises ou envisagées pour remédier à la violation et en atténuer les conséquences.
Information des personnes concernées
Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci doivent également être informées (RGPD, art. 34).
Sanction encourue
Le manquement à l'obligation de notification relève des amendes administratives prévues à l'article 83, paragraphe 4, du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
Questions fréquentes
Sous quel délai faut-il notifier une violation de données à la CNIL ?
Dans les meilleurs délais et au plus tard 72 heures après avoir pris connaissance de la violation, via le téléservice de notification de la CNIL.
Faut-il notifier toutes les violations ?
La notification s'impose lorsque l'incident constitue un risque au regard de la vie privée des personnes concernées. En cas de doute, la CNIL recommande de notifier.
Que faire si le délai de 72 heures est dépassé ?
Il faut tout de même notifier, en exposant les motifs du retard dans la notification.
Faut-il informer les personnes concernées ?
Oui, lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (RGPD, art. 34).
Quelle sanction en cas de non-notification ?
Le manquement relève des amendes prévues à l'article 83, §4 du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Sources
- EUR-Lex – Règlement (UE) 2016/679, articles 4, 33, 34 et 83: https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra
- CNIL – Règlement européen : quand faut-il notifier une violation de données à la CNIL ?: https://www.cnil.fr/fr/cnil-direct/question/reglement-europeen-quand-faut-il-notifier-une-violation-de-donnees-la-cnil
- CNIL – Violations de données personnelles : les règles à suivre: https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre
- CNIL – Notifier une violation de données personnelles (téléservice): https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles
- CNIL – RGPD, chapitre IV : Responsable du traitement et sous-traitant (articles 24 à 43): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4