Le délai de 72 heures vise la CNIL, pas vous. Deux obligations distinctes se déclenchent à des seuils différents, avec trois exemptions. Voici ce qu’un message de notification doit contenir.
Le RGPD impose deux obligations différentes. La première vise l’autorité de contrôle : l’organisme déclare la violation à la CNIL dans les 72 heures, sauf si le risque pour les personnes est improbable. La seconde vise les personnes concernées : l’organisme ne doit vous prévenir que si le risque est élevé, sans délai chiffré, et trois exemptions le dispensent de le faire. Le compte à rebours démarre à la prise de connaissance, pas à l’intrusion, ce qui explique des annonces qui arrivent des mois après les faits.
Le courriel tient en huit lignes. « Un incident de sécurité », « certaines données », « nos équipes mobilisées », « aucune action n’est requise de votre part ». Aucune date, aucune liste de données, aucun nom de contact. Le lendemain, un article de presse annonce que l’incident remonte à quatre mois.
La réaction habituelle consiste à s’indigner du délai, en citant « la règle des 72 heures ». Cette règle existe, mais elle ne dit pas ce qu’on croit : elle fixe le temps dont dispose l’organisme pour prévenir la CNIL, et elle démarre à un moment qui n’est pas celui de l’intrusion. L’information des personnes concernées obéit à une tout autre logique.
Distinguer ces deux obligations change la question à poser. On ne demande plus « pourquoi si tard ? », mais « à quelle date avez-vous eu connaissance des faits, et pourquoi le risque n’a-t-il pas été jugé élevé ? ».
Le RGPD organise deux mouvements successifs. Le premier remonte vers l’autorité de contrôle, le second descend vers les personnes. Ils n’ont ni le même déclencheur, ni le même délai, ni le même contenu.
| Notification à la CNIL | Communication aux personnes | |
|---|---|---|
| Déclencheur | Tout risque pour les droits et libertés | Risque élevé seulement |
| Délai | 72 heures après la prise de connaissance | Dans les meilleurs délais, sans durée chiffrée |
| Dispense | Si le risque est improbable | Trois exemptions prévues par le règlement |
| Contenu | Nature, catégories et volume approximatif, conséquences, mesures | Nature, contact du délégué, conséquences probables, mesures |
| Forme | Formulaire en ligne de la CNIL | Message individuel, en termes clairs et simples |
| Si rien n’est fait | Manquement sanctionnable | La CNIL peut ordonner la communication |
Une conséquence pratique découle du tableau : un organisme peut parfaitement avoir respecté la loi en déclarant la violation à la CNIL sans jamais vous écrire, s’il a estimé que le risque pour vous n’était pas élevé. Cette estimation lui appartient d’abord, mais elle est contrôlable, et c’est sur ce terrain que se joue la contestation.
Notez aussi la dissymétrie du volume. La CNIL reçoit de l’ordre de plusieurs milliers de notifications par an, quand le nombre d’annonces publiques se compte en dizaines. L’écart n’est pas un scandale : il mesure la proportion de violations réelles qui n’atteignent jamais le seuil du risque élevé, un ordinateur portable perdu, une pièce jointe envoyée au mauvais destinataire, une erreur de publipostage.
Le règlement fait courir le délai à partir du moment où le responsable de traitement a connaissance de la violation, avec un degré raisonnable de certitude. Ce n’est ni la date de l’attaque, ni celle du premier soupçon.
Cette précision explique la plupart des cas qui paraissent scandaleux. Une intrusion discrète peut rester invisible des semaines ou des mois, jusqu’à ce qu’un audit, un signalement extérieur ou la mise en vente du fichier la révèle. La déclaration faite trois jours après cette découverte est régulière, même si les faits sont anciens. Ce qui serait fautif, c’est la négligence organisée : une journalisation absente ou jamais relue empêche de découvrir quoi que ce soit, et ce défaut de surveillance est lui-même un manquement.
Deux mécanismes complètent le dispositif. Le responsable de traitement peut notifier par étapes quand tout n’est pas connu, en envoyant un premier signalement puis des compléments. Et le sous-traitant, l’hébergeur ou l’éditeur qui subit l’incident n’a pas de délai propre de 72 heures : il doit alerter son donneur d’ordre dans les meilleurs délais, c’est ce dernier qui déclare. Une chaîne de trois prestataires ajoute donc mécaniquement du temps.
Quand la communication aux personnes est due, son contenu est imposé et ne se limite pas à des excuses. Quatre éléments doivent y figurer, en termes clairs et simples.
Un message qui ne nomme pas les catégories de données exposées ne vous permet pas de trier votre exposition. C’est pourtant ce tri qui commande tout le reste, comme le montre la grille des gestes à faire selon le type de donnée.
Le règlement dispense d’informer les personnes dans trois situations, et une seule suffit.
Les données étaient incompréhensibles. Le cas type est le chiffrement robuste dont la clé n’a pas été compromise. La nuance technique est décisive : des mots de passe hachés avec une fonction ancienne ne sont pas incompréhensibles, puisqu’ils se cassent hors ligne, alors qu’une empreinte produite par une fonction moderne et salée résiste. C’est le même raisonnement que celui qui fonde la solidité d’un mot de passe, transposé du côté de l’organisme.
Des mesures postérieures ont écarté le risque élevé. Un accès frauduleux détecté en quelques minutes, une session coupée, des identifiants invalidés d’office : le risque existait, il n’existe plus.
L’effort serait disproportionné. Quand les coordonnées des personnes ne sont pas exploitables ou que leur nombre rend l’envoi individuel impossible, l’organisme procède à une communication publique d’effet équivalent, communiqué, bandeau sur le site, message dans l’application. Cette exemption n’autorise pas le silence, elle change le canal.
Dans tous les cas, la CNIL garde le dernier mot : si elle estime que le risque est élevé, elle peut enjoindre à l’organisme de communiquer, y compris après coup.
Indépendamment de toute notification, chaque violation doit être documentée en interne : faits, effets, mesures prises. Ce registre couvre aussi les incidents jugés sans risque, donc jamais déclarés.
Son intérêt pour vous est indirect mais réel. En cas de litige, il constitue la preuve que l’organisme a analysé la situation. Son absence, ou une entrée rédigée après coup, se retourne contre lui devant la CNIL comme devant un juge. Pour une petite structure, tenir ce registre est la partie la moins coûteuse du socle de sécurité minimal : un tableau et une procédure suffisent, à condition qu’ils existent avant l’incident.
Le RGPD n’est pas le seul texte à imposer une déclaration, et c’est une source de malentendus quand une organisation communique. Trois régimes coexistent, avec des destinataires et des horloges distincts.
Le régime des données personnelles. Il vise la CNIL et les personnes concernées, selon la mécanique décrite plus haut. Son critère est le risque pour les droits et libertés des individus.
Le régime des communications électroniques. Les opérateurs et fournisseurs de services de communications électroniques relèvent en plus d’un texte européen spécifique, hérité de la directive sur la vie privée dans ce secteur. Il impose une notification à l’autorité dans un délai plus court que celui du règlement général, et une information des abonnés dès que la violation est susceptible de porter atteinte à leurs données ou à leur vie privée.
Le régime de la sécurité des réseaux. La directive européenne dite NIS 2, transposée en droit français, oblige un large ensemble d’entités essentielles et importantes, énergie, transports, santé, administrations, fournisseurs numériques, à signaler leurs incidents significatifs à l’ANSSI, avec une alerte précoce dans les 24 heures puis une notification circonstanciée dans les 72 heures. Ce régime ne parle pas de vos données mais de la continuité du service : un incident peut y être déclarable sans qu’aucune donnée personnelle ne soit touchée, et inversement.
Le secteur de la santé ajoute encore une couche : les établissements et certains professionnels signalent leurs incidents de sécurité des systèmes d’information par un portail dédié du ministère chargé de la santé, en parallèle de la CNIL. Un incident sur un dossier hospitalier peut donc être déclaré trois fois, à trois autorités, sans que le patient reçoive quoi que ce soit si le risque n’est pas jugé élevé. Cela explique des annonces publiques dissonantes, l’une centrée sur le rétablissement du service, l’autre sur les données, et cela justifie de vérifier soi-même son espace personnel, y compris sur Mon espace santé, plutôt que d’attendre un courrier.
Les recours existent et ne coûtent rien, à condition de les enclencher dans le bon ordre. Chacun prépare le suivant.
Sur le versant répressif, les manquements aux obligations de notification relèvent du plafond de sanction le plus bas prévu par le RGPD : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux principes fondamentaux, eux, relèvent du plafond double. Cette hiérarchie dit quelque chose d’utile : le régulateur sanctionne plus lourdement la collecte illégitime que le silence après un incident.
La question revient dans chaque fuite massive : puis-je réclamer de l’argent ? La Cour de justice de l’Union européenne a tranché deux points en mai 2023, dans une affaire visant la poste autrichienne.
Premier point : la simple violation du règlement ne suffit pas, il faut établir un dommage. Second point : aucun seuil de gravité minimal ne s’applique, donc un préjudice modeste reste indemnisable. Entre les deux, la jurisprudence admet que la perte de contrôle sur ses données et la crainte fondée d’un usage abusif constituent un préjudice moral, à condition d’être étayées par autre chose qu’une inquiétude générale.
En pratique, un dossier solide relie la fuite à un fait daté : une vague d’appels frauduleux citant votre numéro de contrat, un paiement frauduleux survenu après l’incident, des démarches administratives imposées. Les montants obtenus en France dans les affaires individuelles restent modestes au regard du temps investi, ce qui explique le recours croissant aux actions collectives.
Ne jugez pas le message à son ton ni à sa promptitude. Cherchez quatre choses : la date de découverte, la liste nommée des catégories de données concernées, un contact identifié, et une consigne concrète. Si les quatre y sont, l’organisme a fait son travail et le vôtre commence : trier votre exposition, puis vérifier si votre adresse circule ailleurs. Si l’une manque, écrivez au délégué à la protection des données avant toute autre démarche : c’est la question écrite, et non l’indignation, qui fait bouger un dossier. Le vocabulaire employé dans ces courriers est repris dans notre glossaire du numérique, et la double authentification reste le seul geste qui protège pendant que la procédure suit son cours.
Pas nécessairement. Le délai de 72 heures s’applique à la déclaration à la CNIL et démarre à la prise de connaissance de la violation, pas à l’intrusion. Une intrusion découverte en mars lors d’un audit peut légalement être déclarée en mars, même si elle date de janvier. Ce qui serait fautif, c’est d’avoir su et d’avoir attendu, ou d’avoir organisé son ignorance en ne surveillant rien. La date de découverte est donc l’information à demander en premier.
Écrivez au délégué à la protection des données de l’organisme et demandez trois choses : si vous figurez parmi les personnes concernées, quelles catégories de données vous concernant ont été exposées, et à quelle date la violation a été déclarée à la CNIL. Cette demande relève du droit d’accès et appelle une réponse sous un mois. Sans réponse, une plainte en ligne auprès de la CNIL est gratuite et ne demande pas d’avocat.
Oui, et c’est fréquent après une fuite médiatisée. Le faux message de notification reprend le logo de l’organisme, la tonalité de l’annonce officielle, et propose un lien de « vérification de compte » ou de « réinitialisation obligatoire ». Une vraie notification ne demande jamais votre mot de passe ni vos coordonnées bancaires, et elle n’impose pas d’agir dans l’heure. Passez par le site tapé à la main ou l’application déjà installée.
C’est possible mais pas automatique. La Cour de justice de l’Union européenne a jugé en mai 2023, dans une affaire visant la poste autrichienne, que la seule violation du règlement n’ouvre pas droit à réparation : un dommage doit être démontré. Elle a aussi écarté tout seuil de gravité minimal, et admis que la crainte d’un usage abusif puisse constituer un préjudice moral si elle est étayée. En pratique, il faut relier un préjudice concret à la fuite.
Oui, les obligations ne dépendent pas de la taille. Une association, un cabinet libéral ou un commerce qui perd un fichier d’adhérents ou de clients est responsable de traitement et doit la même déclaration sous 72 heures en cas de risque. La CNIL propose un formulaire en ligne conçu pour des structures sans juriste. L’absence de délégué à la protection des données ne dispense de rien, et le registre interne des violations reste obligatoire même sans notification.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.