Violation de données, notification et sanctions de la CNIL

Une violation de données personnelles est un incident de sécurité qui entraîne, de façon accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à ces données (article 4 du RGPD). Le responsable de traitement doit la documenter, la notifier à la CNIL dans les 72 heures si elle présente un risque, et prévenir les personnes si le risque est élevé. Ce chapitre détaille cette procédure, les autres obligations de signalement d'un incident (NIS 2, Cyber Resilience Act, plainte), puis les contrôles et sanctions de la CNIL.

Reconnaître une violation de données

Une violation n'est pas forcément un piratage. Les autorités distinguent trois types, qui reprennent les trois critères de la sécurité de l'information :

Un même incident cumule souvent les types : un rançongiciel moderne chiffre les données (disponibilité) et les a d'abord copiées pour faire chanter la victime (confidentialité).

Les trois obligations du responsable

1. Documenter, toujours. Toute violation est inscrite dans un registre des violations (article 33, paragraphe 5), même si elle n'est pas notifiée : les faits, leurs effets, les mesures prises. C'est ce registre qui permet à la CNIL de vérifier, lors d'un contrôle, que la décision de ne pas notifier était justifiée.

2. Notifier la CNIL, sauf absence de risque. Le responsable notifie la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33), sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. La notification se fait par le téléservice de la CNIL et contient :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• les coordonnées du DPO ou d'un autre point de contact ;
• les conséquences probables ;
• les mesures prises ou envisagées pour remédier à la violation et en limiter les effets.

Si tout n'est pas connu au bout de 72 heures, on notifie ce qu'on sait et on complète ensuite : une notification initiale puis une notification complémentaire. Une notification au-delà de 72 heures doit être accompagnée des motifs du retard.

3. Informer les personnes si le risque est élevé. Quand la violation est susceptible d'engendrer un risque élevé (usurpation d'identité, fraude financière, atteinte à la réputation, discrimination, données sensibles…), le responsable la communique aux personnes concernées dans les meilleurs délais (article 34), en termes clairs : la nature de la violation, le contact, les conséquences probables, les mesures prises, et les conseils pour se protéger (changer son mot de passe, surveiller ses comptes, se méfier des messages frauduleux). Cette communication n'est pas exigée dans trois cas :

• les données étaient rendues incompréhensibles pour toute personne non autorisée, par exemple par un chiffrement solide dont la clé n'a pas été compromise ;
• des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus ;
• elle exigerait des efforts disproportionnés : on fait alors une communication publique.

Le sous-traitant qui découvre une violation (l'hébergeur, l'éditeur SaaS) n'a pas à notifier la CNIL à la place de son client : il doit prévenir le responsable dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2), en lui donnant les éléments dont il dispose. C'est le responsable qui décide de la notification. Le contrat fixe souvent un délai précis, par exemple 24 heures. Manquer à cette obligation est aussi un délit pour le sous-traitant (article 226-17-1 du Code pénal, alinéa 2 : 5 ans d'emprisonnement et 300 000 € d'amende).

Évaluer le risque. On croise la nature des données (une adresse électronique n'expose pas autant qu'un relevé d'identité bancaire ou un dossier médical), le volume, la facilité d'identification des personnes, la gravité des conséquences possibles, la vulnérabilité des personnes, et les mesures qui limitent l'exposition (chiffrement, récupération des données, absence de copie). La CNIL publie des exemples et un outil d'aide à l'évaluation.

Ne pas notifier une violation à la CNIL ou aux personnes, quand c'est obligatoire, est une infraction pénale (article 226-17-1 du Code pénal : 5 ans d'emprisonnement et 300 000 € d'amende), en plus de la sanction administrative. Ne pas avoir sécurisé les données en est une autre (article 226-17, mêmes peines).

Les autres obligations de signalement

La notification RGPD protège les personnes. D'autres textes imposent de signaler un incident pour d'autres raisons : la sécurité collective, la sécurité des produits, l'assurance.

NIS 2 : la cybersécurité des entités essentielles et importantes

La directive NIS 2 (directive 2022/2555, qui remplace la directive NIS de 2016) impose des obligations de cybersécurité à des milliers d'organisations de dix-huit secteurs : énergie, transports, banque, santé, eau, infrastructures numériques (fournisseurs de cloud, de centres de données, de DNS), services TIC gérés (infogérants, fournisseurs de services de sécurité managés), administrations publiques, poste, gestion des déchets, industrie chimique et agroalimentaire, fabrication de produits informatiques, fournisseurs de services numériques (places de marché, moteurs de recherche, réseaux sociaux)…

Elle distingue les entités essentielles et les entités importantes, selon le secteur et la taille. En règle générale, seules les entreprises moyennes (au moins 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires et de total de bilan) et grandes sont concernées, mais certaines le sont quelle que soit leur taille (registres de noms de domaine, fournisseurs de DNS, certaines administrations).

Ses obligations :

• gouvernance : les dirigeants approuvent les mesures de cybersécurité, suivent une formation et peuvent être tenus responsables de leur manquement ;
• mesures de gestion des risques (article 21) : analyse de risques et politiques de sécurité, gestion des incidents, continuité d'activité et sauvegardes, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, cryptographie, contrôle d'accès, authentification multifacteur, formation…
• notification des incidents importants à l'autorité (en France, l'ANSSI) : une alerte précoce dans les 24 heures, une notification dans les 72 heures avec une première évaluation, un rapport final dans un mois ;
• sanctions : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante.

Le Cyber Resilience Act : les fabricants de produits numériques

Depuis le 11 septembre 2026, le règlement européen sur la cyber-résilience oblige les fabricants de produits comportant des éléments numériques (logiciels, objets connectés) à signaler les vulnérabilités activement exploitées et les incidents graves affectant leurs produits, par la plateforme unique de l'ENISA : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours après la mise à disposition d'un correctif (vulnérabilité) ou sous un mois (incident). Le reste du règlement s'appliquera en décembre 2027 (chapitre 15).

La plainte et l'assurance

Une organisation victime d'une cyberattaque peut porter plainte auprès de la police, de la gendarmerie ou directement du procureur de la République. Ce n'est pas qu'une formalité : depuis le 24 avril 2023, le Code des assurances (article L12-10-1) subordonne l'indemnisation d'une entreprise par son assurance cyber, au titre d'une atteinte à un système d'information, au dépôt d'une plainte au plus tard 72 heures après qu'elle a eu connaissance de l'attaque. La plainte n'empêche pas de demander de l'aide : cybermalveillance.gouv.fr, le 17Cyber, le CERT-FR de l'ANSSI ou un prestataire qualifié (PRIS, prestataires de réponse aux incidents de sécurité).

La CNIL : contrôles et sanctions

La CNIL est l'autorité de contrôle française du RGPD. Elle a quatre missions : informer et protéger les personnes (elle reçoit et instruit leurs plaintes), accompagner les organismes (guides, référentiels, recommandations), anticiper (veille sur l'IA, les objets connectés) et contrôler et sanctionner.

Les contrôles. Elle contrôle de sa propre initiative, sur plainte ou après une notification de violation, de quatre façons : sur place dans les locaux, sur pièces par questionnaire, en ligne sur les sites et applications accessibles au public, et sur audition. L'organisme contrôlé doit coopérer : faire obstacle à un contrôle est un délit.

Les sanctions. Après un contrôle, la présidente de la CNIL peut mettre l'organisme en demeure de se mettre en conformité dans un délai. La formation restreinte, organe distinct qui juge, peut prononcer :

Pour les dossiers simples, une procédure simplifiée existe depuis 2022 : l'amende y est plafonnée à 20 000 € et la décision n'est pas publiée. Elle sert surtout pour l'absence de réponse aux demandes d'accès, les défauts de sécurité élémentaires, la vidéosurveillance excessive. Les décisions de la formation restreinte peuvent être contestées devant le Conseil d'État.

Quelques sanctions marquantes :

En 2025, la CNIL a prononcé plus de 486 millions d'euros d'amendes, un record dû surtout aux deux décisions de septembre sur les cookies. La sécurité des données et les cookies sont les deux premiers motifs de sanction : exactement les sujets d'un service informatique.

Pour aller plus loin. Le côté technique de la violation (détecter, confiner, préserver les preuves) est traité dans le cours Journalisation et réponse à incident, en particulier le chapitre Notifier un incident, qui réunit la CNIL, l'ANSSI, NIS 2 et la plainte.

Exercices

Exercice 1 sur 4 Notifier ou pas ? Réussi À revoir

Pour chaque incident survenu chez Cèdre Habitat, indique s'il faut le documenter, le notifier à la CNIL, et informer les personnes.

1. Un courriel contenant le fichier Excel des 300 locataires d'une résidence (noms, adresses, téléphones, montants des impayés) est envoyé par erreur à un fournisseur, qui confirme l'avoir supprimé sans l'ouvrir.
2. Un ordinateur portable d'une conseillère est volé dans le train ; son disque est chiffré avec BitLocker et la clé n'était pas avec l'ordinateur.
3. Un rançongiciel chiffre le serveur des demandes de logement ; les données des 1 200 candidats (dont des justificatifs de revenus et de handicap) ont été exfiltrées et publiées sur le site des attaquants.
4. Une coupure de courant rend le portail indisponible pendant 40 minutes, sans perte de données.

Voir la réponseMasquer la réponse de l'exercice 1

1. Documenter : oui. Notifier : pas nécessairement. Le destinataire est un fournisseur identifié, lié à Cèdre Habitat par contrat, qui confirme avoir supprimé le fichier sans l'ouvrir : cette confiance peut écarter le risque, et donc la notification. Cèdre Habitat obtient une attestation écrite de suppression et inscrit au registre sa décision motivée. Si un doute subsiste (fichier ouvert, transféré, destinataire non tenu à la confidentialité), elle notifie la CNIL. Pas d'information des locataires : le risque n'est pas élevé.
2. Documenter : oui. Notifier : non en principe : le chiffrement solide, clé non compromise, rend les données incompréhensibles ; il n'y a pas de risque pour les personnes. On le note au registre avec la justification.
3. Documenter, notifier la CNIL dans les 72 heures et informer les 1 200 candidats : le risque est élevé (données financières et de santé, publication avérée, risque d'escroquerie). Porter plainte sous 72 heures pour l'assurance, préserver les traces.
4. Documenter la violation de disponibilité ; pas de notification, elle ne présente pas de risque pour les personnes.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Le compte à rebours Réussi À revoir

Le samedi 6 mars 2027 à 10 h, l'hébergeur de Cèdre Habitat détecte un accès anormal à la base du portail. Il prévient Thomas Royer le samedi à 15 h. Le dimanche 7 mars à 9 h, après analyse, Thomas confirme que des données de locataires ont été copiées.

1. Qui doit notifier la CNIL ?
2. À partir de quand court le délai, et quand expire-t-il ?
3. L'hébergeur a-t-il respecté ses obligations ?

Voir la réponseMasquer la réponse de l'exercice 2

1. Cèdre Habitat, responsable de traitement. L'hébergeur, sous-traitant, n'a pas à notifier la CNIL.
2. Le délai court à partir de la prise de connaissance d'une violation par le responsable, c'est-à-dire du moment où il a une certitude raisonnable que des données personnelles sont compromises : le dimanche 7 mars à 9 h. Il expire le mercredi 10 mars 2027 à 9 h. Prudence : si l'alerte du samedi 15 h donnait déjà des éléments suffisants, la CNIL pourrait retenir cette date ; mieux vaut notifier tôt et compléter ensuite.
3. Oui : il a prévenu son client dans les meilleurs délais (cinq heures après la détection, un samedi), comme l'exige l'article 33, paragraphe 2. Le contrat de sous-traitance peut fixer un délai plus précis.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Quelle amende maximale ? Réussi À revoir

Une entreprise réalise un chiffre d'affaires annuel mondial de 2 milliards d'euros. Calcule l'amende maximale qu'elle encourt :

1. pour ne pas avoir notifié une violation à la CNIL ;
2. pour avoir traité des données sans base légale.

Voir la réponseMasquer la réponse de l'exercice 3

1. Manquement à une obligation (article 33) : le plus élevé entre 10 millions d'euros et 2 % du chiffre d'affaires, soit 2 % × 2 000 000 000 = 40 millions d'euros.
2. Manquement à un principe (licéité) : le plus élevé entre 20 millions d'euros et 4 % du chiffre d'affaires, soit 4 % × 2 000 000 000 = 80 millions d'euros.

Ce sont des plafonds : la CNIL fixe le montant selon la gravité, la durée, le nombre de personnes, la coopération, les mesures prises et les antécédents. Les deux manquements peuvent être sanctionnés ensemble, mais le total ne peut pas dépasser le plafond du manquement le plus grave quand ils portent sur le même traitement.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 NIS 2 ou RGPD ? Réussi À revoir

Un infogérant de 120 salariés, qui administre les systèmes de plusieurs hôpitaux, subit une intrusion qui interrompt ses services pendant deux jours. Quelles obligations de signalement s'appliquent, une fois NIS 2 transposée ?

Voir la réponseMasquer la réponse de l'exercice 4

• NIS 2 : un fournisseur de services TIC gérés de taille moyenne entre dans le champ de la directive. L'interruption de deux jours de services fournis à des hôpitaux est un incident important : alerte précoce à l'ANSSI sous 24 heures, notification sous 72 heures, rapport final sous un mois.
• RGPD : l'infogérant est sous-traitant des hôpitaux pour les données qu'il administre. S'il y a violation de données personnelles (des données de patients rendues indisponibles ou consultées), il doit prévenir chaque hôpital dans les meilleurs délais ; chaque hôpital, responsable de traitement, évalue puis notifie la CNIL dans les 72 heures.
• Plainte sous 72 heures s'il veut être indemnisé par son assurance cyber.

Les deux régimes se cumulent : un même incident peut appeler une notification à l'ANSSI et une notification à la CNIL.

Tu avais trouvé ?

Oui, j'avais bonPas encore