Une violation de données personnelles peut prendre des formes très banales : un ordinateur portable contenant un fichier clients volé dans une voiture, un email envoyé par erreur à la mauvaise liste de destinataires, une extension WordPress mal configurée qui rend une base de données accessible publiquement. Dans chacun de ces cas, le règlement général sur la protection des données impose des obligations précises, avec des délais serrés que beaucoup de PME découvrent seulement au moment où l'incident survient.

Ce que le RGPD qualifie de violation

Une violation de données, au sens de l'article 33 du RGPD, désigne tout incident de sécurité entraînant de manière accidentelle ou illicite la destruction, la perte, l'altération, la divulgation non autorisée, ou l'accès non autorisé à des données personnelles. Cette définition large couvre aussi bien une cyberattaque qu'une simple erreur humaine, comme un email de newsletter envoyé en copie visible plutôt qu'en copie cachée, exposant ainsi les adresses de tous les destinataires les uns aux autres.

Le compte à rebours de 72 heures

Lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, l'entreprise responsable du traitement doit notifier l'incident à la CNIL dans les meilleurs délais, et si possible dans un délai de soixante douze heures après en avoir pris connaissance. Ce délai ne démarre pas au moment où l'incident technique se produit, mais au moment où l'entreprise en acquiert une connaissance raisonnablement certaine, ce qui peut créer une ambiguïté lorsque la découverte elle même est progressive. La notification peut être réalisée en plusieurs étapes : une déclaration initiale dans les soixante douze heures, même incomplète, suivie de compléments d'information à mesure que l'investigation avance, plutôt que d'attendre une analyse exhaustive avant toute déclaration.

Toutes les violations ne se traitent pas de la même façon

La réponse attendue dépend du niveau de risque évalué pour les personnes concernées. Une violation jugée sans risque plausible pour les personnes, par exemple un fichier chiffré perdu sans clé de déchiffrement accessible, doit simplement être consignée dans un registre interne des violations, sans notification à la CNIL. Une violation présentant un risque doit en plus être notifiée à la CNIL dans le délai de soixante douze heures. Une violation présentant un risque élevé, par exemple l'exposition de données bancaires ou de données de santé, impose en plus d'informer individuellement chaque personne concernée, sans délai injustifié.

Ce que doit contenir la notification

La notification à la CNIL, déposée via le téléservice dédié, doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables de l'incident, ainsi que les mesures déjà prises ou envisagées pour y remédier et en limiter les effets. Une notification tardive reste possible mais doit alors être accompagnée des motifs justifiant ce retard, ce qui ne dispense pas de l'obligation mais en atténue potentiellement les conséquences si le retard est justifié.

Pourquoi les PME sont particulièrement concernées

Les petites structures représentent une part significative des violations déclarées chaque année en France, souvent parce qu'elles disposent de moyens de sécurité plus limités qu'une grande entreprise, sans pour autant être exemptées des mêmes obligations légales. Un site WordPress avec une extension obsolète, un mot de passe d'administration faible, ou un prestataire externe mal encadré sur le plan contractuel, représentent des points d'entrée fréquents pour ce type d'incident chez les indépendants et les PME.

Se préparer avant que l'incident ne survienne

Tenir à jour un registre des traitements de données, documenter les mesures de sécurité en place, et préparer à l'avance un modèle de notification type permettent de réagir plus rapidement le jour où un incident se produit réellement, plutôt que de découvrir la procédure dans l'urgence. Pour une PME sans délégué à la protection des données en interne, identifier à l'avance un contact juridique ou technique capable d'accompagner cette démarche évite de perdre un temps précieux sur un délai qui se compte en heures plutôt qu'en jours.

Points à vérifier avant publication : confirmer que le délai de soixante douze heures et les trois niveaux de risque décrits dans cet article correspondent toujours à la rédaction en vigueur des articles 33 et 34 du RGPD à la date de publication, et vérifier que l'adresse du téléservice de notification de la CNIL reste exacte et accessible.