L'essentiel
- Toute violation de données doit être documentée en interne (article 33.5 du RGPD), mais toutes ne se notifient pas à la CNIL.
- La notification à la CNIL intervient sous 72 heures après la prise de connaissance, si la violation présente un risque pour les personnes (article 33).
- L'information des personnes concernées n'est due qu'en cas de risque élevé, avec des exceptions (article 34).
- Le sous-traitant piraté doit alerter le responsable de traitement dans les meilleurs délais (article 33.2) ; c'est le responsable qui notifie la CNIL.
- Une indemnisation des personnes suppose un dommage démontré, même moral : elle n'est jamais automatique (CJUE, C-300/21).
Un avocat en violation de données personnelles vous aide à qualifier l'incident, à décider s'il faut notifier la CNIL et informer les personnes, puis à gérer les suites. Contrairement à une idée reçue, la notification n'est pas automatique : elle dépend du risque créé pour les personnes concernées. Hashtag Avocats accompagne à Paris les dirigeants et les DPO dans ces décisions, sous la pression du délai de 72 heures.
Qualifier la violation de données
Une violation de données ne se réduit pas au piratage. Elle recouvre trois types d'atteintes : la confidentialité (accès ou divulgation non autorisés, exfiltration), l'intégrité (altération des données) et la disponibilité (perte d'accès ou destruction, y compris par rançongiciel). Un courriel envoyé au mauvais destinataire, un ordinateur volé ou une base chiffrée par un attaquant constituent autant de violations potentielles.
La qualification commande tout le reste : nature des données touchées, volume, personnes concernées, conséquences possibles. Cette analyse fonde l'évaluation du risque, dont dépendent les obligations de notification. Elle se mène à chaud, avec les constats des équipes techniques, et se documente précisément.
Trois obligations distinctes, trois seuils différents
Documenter en interne : toujours
L'article 33.5 du RGPD impose de documenter toute violation : faits, effets, mesures prises. Cette obligation vaut même quand aucune notification n'est due. Le registre des violations est exigible par la CNIL lors d'un contrôle ; sa tenue rigoureuse démontre la maîtrise de l'incident.
Notifier la CNIL : en cas de risque
La notification à la CNIL s'impose « dans les meilleurs délais et, si possible, 72 heures au plus tard » après la prise de connaissance (article 33.1). Elle n'est pas due si la violation n'est « pas susceptible d'engendrer un risque » pour les droits et libertés des personnes. Ce critère de risque, apprécié au cas par cas, constitue le cœur de l'analyse juridique : notifier à tort expose inutilement, ne pas notifier à raison d'une sous-évaluation du risque expose davantage.
Informer les personnes : en cas de risque élevé
L'information des personnes concernées obéit à un seuil distinct : le « risque élevé » (article 34.1). L'article 34.3 prévoit trois exceptions : mesures de protection appropriées, comme un chiffrement rendant les données incompréhensibles ; mesures ultérieures écartant le risque élevé ; efforts disproportionnés, auquel cas une communication publique est admise. Notifier la CNIL ne dispense donc pas d'informer les personnes, et inversement : les deux obligations se traitent séparément.
Le délai de 72 heures : point de départ et notification échelonnée
Le délai court à compter de la prise de connaissance de la violation, pas de la date de l'attaque. Une intrusion découverte des semaines après les faits ouvre un délai de 72 heures à la découverte. Un dépassement reste possible s'il est motivé auprès de la CNIL.
Toutes les informations ne sont jamais disponibles en 72 heures. L'article 33.4 autorise une notification échelonnée : une déclaration initiale avec les éléments connus, complétée au fil de l'investigation. Attendre d'avoir tout compris pour notifier constitue une erreur fréquente. Ne confondez pas ce délai avec celui de l'article L. 12-10-1 du Code des assurances, qui impose aux professionnels une plainte sous 72 heures pour préserver l'indemnisation d'assurance : deux obligations, deux destinataires.
Sous-traitant piraté : qui fait quoi ?
Quand la violation survient chez un sous-traitant – hébergeur, éditeur SaaS, prestataire RH – le RGPD répartit clairement les rôles. Le sous-traitant notifie le responsable de traitement « dans les meilleurs délais » après en avoir pris connaissance (article 33.2) ; le délai de 72 heures ne pèse pas sur lui. C'est le responsable de traitement qui notifie la CNIL. Le contrat de sous-traitance doit organiser l'assistance du sous-traitant pour ces obligations (article 28.3 f)).
La CNIL a illustré cette double obligation du sous-traitant – notifier pour ses propres traitements et assister ses clients – dans sa fiche « Cyberattaque : le sous-traitant au centre de la crise ». Un retard d'alerte du sous-traitant peut engager sa responsabilité : nos analyses sur les responsabilités du sous-traitant en cas de violation détaillent ce point, et notre page avocat contentieux cyber couvre les recours.
Après la notification : contrôle CNIL et demandes d'indemnisation
La notification n'épuise pas le sujet. La CNIL peut ouvrir un contrôle sur la conformité des mesures de sécurité à l'article 32. Les sanctions de janvier 2026 contre Free et Free Mobile (42 M€ au total, articles 32, 34 et 5-1-e) et contre France Travail (5 M€, article 32) montrent que l'autorité examine aussi la qualité de l'information délivrée aux personnes après l'incident.
Les personnes concernées peuvent demander réparation sur le fondement de l'article 82. La CJUE exige un dommage démontré et un lien de causalité (C-300/21) ; la crainte d'un usage abusif des données peut constituer un dommage moral réparable (C-340/21). La CNIL alerte enfin sur les arnaques secondaires visant les victimes de violations, avec usurpation de son propre numéro : la communication de crise doit prévenir ce risque de sur-victimisation.
Ce que fait l'avocat, ce que font les experts techniques
L'investigation de la compromission, le confinement et la restauration des systèmes relèvent d'experts techniques indépendants. L'avocat, lui, prend en charge le volet juridique : qualification du risque pour les personnes, décision de notifier, rédaction de la notification et de l'information des personnes, échanges avec la CNIL, sécurisation de la communication et préparation des suites contentieuses. Les deux interventions se coordonnent heure par heure pendant la crise. Ce travail s'inscrit dans notre pratique globale de conformité RGPD et de cybersécurité.
FAQ : violation de données personnelles
Toute violation de données doit-elle être notifiée à la CNIL ?
Non. La notification n'est pas due si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33.1 du RGPD). En revanche, toute violation, notifiée ou non, doit être documentée dans le registre interne (article 33.5). L'évaluation du risque doit pouvoir être justifiée.
Quel est le délai pour notifier ?
Dans les meilleurs délais et, si possible, 72 heures au plus tard après la prise de connaissance de la violation. Le point de départ est la découverte, pas l'attaque. Un retard doit être motivé. Une notification initiale peut être complétée ensuite, de manière échelonnée (article 33.4).
Que contient une notification à la CNIL ?
La description de la violation et, dans la mesure du possible, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées du contact, les conséquences probables et les mesures prises ou envisagées (article 33.3 du RGPD). Sa rédaction engage : elle fixe la version des faits qu'examinera la CNIL.
Faut-il prévenir les clients ou les salariés concernés ?
Uniquement si la violation est susceptible d'engendrer un risque élevé pour eux (article 34.1). Des exceptions existent, notamment quand un chiffrement rend les données incompréhensibles (article 34.3). Quand elle est due, l'information doit être claire et complète : la CNIL a sanctionné une information incomplète des personnes.
Que risque une entreprise qui ne notifie pas ?
Un défaut de notification ou une information défaillante des personnes s'ajoute au manquement de sécurité éventuel. Les sanctions CNIL de janvier 2026 – 42 M€ pour Free et Free Mobile, 5 M€ pour France Travail – illustrent l'ampleur des montants en jeu après une violation. S'y ajoutent les demandes d'indemnisation des personnes concernées, à démontrer au cas par cas.
Sources officielles
- Règlement (UE) 2016/679 (RGPD), articles 28, 32, 33, 34 et 82 : texte consolidé sur EUR-Lex
- CJUE, 4 mai 2023, C-300/21, Österreichische Post : EUR-Lex
- CJUE, 14 décembre 2023, C-340/21 : EUR-Lex
- CNIL, « Cyberattaque : le sous-traitant au centre de la crise » (27 mai 2026) : cnil.fr
- CNIL, sanctions Free et Free Mobile du 13 janvier 2026 : cnil.fr
- CNIL, sanction France Travail du 22 janvier 2026 : cnil.fr
- CNIL, alerte « Vigilance » sur les arnaques visant les victimes de violations (24 juin 2026) : cnil.fr
- Article L. 12-10-1 du Code des assurances : Légifrance
État du droit en vigueur au 21 août 2026. Ce contenu présente une information générale et ne constitue pas une consultation juridique. Chaque situation est particulière : contactez notre équipe pour faire analyser l'incident.
