{
    "slug": "violation-donnees-notification-cnil-72h",
    "titre": "Violation de données personnelles : notifier la CNIL sous 72 heures",
    "domaine": "protection-donnees",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Une violation présentant un risque doit être notifiée à la CNIL, si possible sous 72 heures après sa connaissance. Documentation interne, contenu, information des personnes et exceptions.",
    "resume_court": "Toute violation de données personnelles doit être documentée en interne. Sauf s\u0027il est peu probable qu\u0027elle engendre un risque pour les droits et libertés, le responsable du traitement la notifie à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance. Un retard doit être motivé et les informations peuvent être transmises par étapes sans retard indu. En cas de risque élevé, les personnes concernées sont informées dans les meilleurs délais, sauf notamment si des mesures de protection appropriées rendent les données incompréhensibles, si des mesures ultérieures écartent le risque élevé ou si l\u0027information exigerait des efforts disproportionnés, auquel cas une communication publique est requise.",
    "faits": [
        {
            "point": "Base juridique",
            "valeur": "RGPD, article 33 (notification à l\u0027autorité de contrôle)",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Délai de notification à la CNIL",
            "valeur": "dans les meilleurs délais, au plus tard 72 heures",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Dépassement du délai",
            "valeur": "la notification doit être accompagnée des motifs du retard",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Modalité",
            "valeur": "téléservice de notification de violations de la CNIL",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Notification en deux temps",
            "valeur": "notification initiale puis notification complémentaire",
            "autorite": "B",
            "source": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles"
        },
        {
            "point": "Information des personnes concernées",
            "valeur": "obligatoire en cas de risque élevé (RGPD art. 34)",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Amende administrative encourue",
            "valeur": "jusqu\u0027à 10 millions d\u0027euros ou 2 % du chiffre d\u0027affaires annuel mondial (montant le plus élevé retenu)",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Documentation interne",
            "valeur": "Obligatoire pour toute violation, même sans notification à la CNIL",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        },
        {
            "point": "Exceptions à la communication individuelle",
            "valeur": "Mesures de protection, risque élevé écarté, ou efforts disproportionnés avec communication publique",
            "autorite": "A",
            "source": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra"
        }
    ],
    "sources": [
        {
            "titre": "EUR-Lex – Règlement (UE) 2016/679, articles 4, 33, 34 et 83",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/oj/fra",
            "autorite": "A"
        },
        {
            "titre": "CNIL – Violations de données personnelles : les règles à suivre",
            "url": "https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Notifier une violation de données personnelles",
            "url": "https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Sécurité : gérer les incidents et les violations",
            "url": "https://www.cnil.fr/fr/securite-gerer-les-incidents-et-les-violations",
            "autorite": "B"
        },
        {
            "titre": "CEPD – Lignes directrices 9/2022 sur la notification des violations",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_en",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Sous quel délai faut-il notifier une violation de données à la CNIL ?",
            "reponse": "Dans les meilleurs délais et, si possible, au plus tard 72 heures après que le responsable du traitement en a pris connaissance, via le téléservice de la CNIL."
        },
        {
            "question": "Faut-il notifier toutes les violations ?",
            "reponse": "Non. Toute violation doit être documentée en interne, mais la notification à la CNIL n\u0027est pas requise s\u0027il est peu probable qu\u0027elle engendre un risque pour les droits et libertés. En cas de doute, la CNIL recommande de notifier."
        },
        {
            "question": "Que faire si le délai de 72 heures est dépassé ?",
            "reponse": "Il faut tout de même notifier, en exposant les motifs du retard dans la notification."
        },
        {
            "question": "Faut-il informer les personnes concernées ?",
            "reponse": "En principe oui, dans les meilleurs délais, lorsque le risque pour les droits et libertés est élevé. L\u0027article 34, paragraphe 3, prévoit toutefois des exceptions liées aux mesures de protection, à la disparition du risque élevé ou aux efforts disproportionnés ; dans ce dernier cas, une communication publique est requise."
        },
        {
            "question": "Quelle sanction en cas de non-notification ?",
            "reponse": "Le manquement relève des amendes prévues à l\u0027article 83, §4 du RGPD : jusqu\u0027à 10 millions d\u0027euros ou 2 % du chiffre d\u0027affaires annuel mondial, le montant le plus élevé étant retenu."
        }
    ],
    "wikidata": [
        {
            "qid": "Q1172506",
            "label": "RGPD"
        }
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-09-01",
    "derniere_verification": "2026-09-01",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.fr/fait/violation-donnees-notification-cnil-72h"
}