{
    "question": "Violation de données personnelles : notifier la CNIL sous 72 heures",
    "answer": "Toute violation de données personnelles doit être documentée en interne. Sauf s\u0027il est peu probable qu\u0027elle engendre un risque pour les droits et libertés, le responsable du traitement la notifie à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance. Un retard doit être motivé et les informations peuvent être transmises par étapes sans retard indu. En cas de risque élevé, les personnes concernées sont informées dans les meilleurs délais, sauf notamment si des mesures de protection appropriées rendent les données incompréhensibles, si des mesures ultérieures écartent le risque élevé ou si l\u0027information exigerait des efforts disproportionnés, auquel cas une communication publique est requise.",
    "legal_status": "in_force",
    "valid_from": "2018-05-25",
    "valid_to": null,
    "verified_at": "2026-09-01",
    "authority": "A",
    "facts": [
        {
            "point": "Base juridique",
            "valeur": "RGPD, article 33 (notification à l\u0027autorité de contrôle)",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Délai de notification à la CNIL",
            "valeur": "dans les meilleurs délais, au plus tard 72 heures",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Dépassement du délai",
            "valeur": "la notification doit être accompagnée des motifs du retard",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Modalité",
            "valeur": "téléservice de notification de violations de la CNIL",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Notification en deux temps",
            "valeur": "notification initiale puis notification complémentaire",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Information des personnes concernées",
            "valeur": "obligatoire en cas de risque élevé (RGPD art. 34)",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Amende administrative encourue",
            "valeur": "jusqu\u0027à 10 millions d\u0027euros ou 2 % du chiffre d\u0027affaires annuel mondial (montant le plus élevé retenu)",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Documentation interne",
            "valeur": "Obligatoire pour toute violation, même sans notification à la CNIL",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Exceptions à la communication individuelle",
            "valeur": "Mesures de protection, risque élevé écarté, ou efforts disproportionnés avec communication publique",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        }
    ],
    "sources": [
        {
            "titre": "EUR-Lex – Règlement (UE) 2016/679, articles 4, 33, 34 et 83",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra",
            "autorite": "A"
        },
        {
            "titre": "CNIL – Violations de données personnelles : les règles à suivre",
            "url": "https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Notifier une violation de données personnelles",
            "url": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Sécurité : gérer les incidents et les violations",
            "url": "https://www.cnil.fr/fr/securite-gerer-les-incidents-et-les-violations",
            "autorite": "B"
        },
        {
            "titre": "CEPD – Lignes directrices 9/2022 sur la notification des violations",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_en",
            "autorite": "A"
        }
    ],
    "canonical_url": "https://nexvyra.fr/fait/violation-donnees-notification-cnil-72h",
    "full_topic": "https://nexvyra.fr/fait/violation-donnees-notification-cnil-72h.json",
    "license": "CC-BY-4.0",
    "language": "fr-FR",
    "jurisdiction": "FR"
}