Réponse courte
Toute violation de données personnelles doit être documentée en interne. Lorsqu’elle est susceptible d’engendrer un risque pour les droits et libertés, le responsable du traitement doit la notifier à la CNIL, si possible dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais, sous réserve des exceptions prévues.
À retenir
- ✓Une violation n’est pas seulement une cyberattaque
- ✓Les 72 heures commencent avec la connaissance
- ✓Le sous-traitant doit alimenter la décision du client
- ✓Préparer une matrice de décision
Une violation n’est pas seulement une cyberattaque
Une donnée peut être perdue, détruite, altérée, divulguée ou rendue accessible sans autorisation. Un courriel envoyé au mauvais destinataire, un dossier papier égaré, un compte partagé ou une suppression accidentelle peuvent constituer une violation. La première difficulté consiste donc à reconnaître l’événement et à le faire remonter.
Si les collaborateurs pensent que seuls les incidents informatiques graves doivent être signalés, l’organisation perd un temps précieux. Le canal d’alerte doit être simple et connu.
Les 72 heures commencent avec la connaissance
Le délai ne signifie pas que l’enquête doit être terminée en trois jours. La CNIL permet une notification initiale, puis des compléments lorsque toutes les informations ne sont pas disponibles. En cas de retard, il faut en expliquer les motifs.
Cette souplesse ne dispense pas de s’organiser. Il faut pouvoir identifier rapidement les données, les volumes, les personnes, les conséquences probables et les mesures déjà prises. Sans registre des traitements, contacts fournisseurs et journaux techniques accessibles, l’équipe de crise travaille à l’aveugle.
Le sous-traitant doit alimenter la décision du client
Lorsqu’un incident survient chez un prestataire, celui-ci doit informer le responsable du traitement dans les meilleurs délais et lui fournir les éléments nécessaires. Le responsable reste chargé d’évaluer le risque et, le cas échéant, de notifier.
Pour un MSP qui sert plusieurs clients, la crise devient une chaîne de décisions parallèles. Il doit distinguer ses propres traitements de ceux réalisés pour ses clients, déterminer les environnements touchés et transmettre des informations cohérentes. La CNIL a consacré en mai 2026 un cas pratique à cette situation.
Préparer une matrice de décision
Avant l’incident, l’organisation doit définir qui qualifie, qui décide, qui notifie, qui communique et qui coordonne les mesures techniques. Une fiche réflexe peut lister les informations minimales, les contacts, les délais et le circuit d’escalade.
Le registre des violations doit conserver les faits, les effets et les mesures prises, y compris lorsqu’aucune notification n’est requise. Il doit aussi garder la justification de la décision. Cette trace permet d’apprendre et de démontrer le raisonnement suivi.
Tester plutôt que supposer
Un exercice de table révèle souvent des lacunes simples : contrat introuvable, numéro obsolète, absence de suppléant, difficulté à extraire les personnes concernées. Corriger ces points avant une crise coûte peu. Attendre l’incident les transforme en obstacles critiques.
Ce que Lyopi apporte
Lyopi permet de rattacher l’incident aux traitements, aux fournisseurs, aux données, aux responsables et aux preuves existantes. La chronologie, les décisions et les actions correctives restent tracées. La plateforme facilite l’organisation ; l’évaluation du risque et la notification demeurent des décisions humaines.
Questions fréquentes
Les réponses essentielles
Toute violation doit-elle être notifiée à la CNIL ?
Non. Toute violation doit être documentée. La notification est requise lorsqu’elle est susceptible d’engendrer un risque pour les droits et libertés des personnes.
Que faire si toutes les informations ne sont pas disponibles sous 72 heures ?
Effectuer, si les conditions sont réunies, une notification initiale avec les éléments disponibles, puis compléter dès que possible. Tout retard doit être motivé.
Le prestataire peut-il notifier à la place du client ?
Le responsable du traitement porte l’obligation de notification, même si un mandataire peut intervenir selon l’organisation retenue. Le sous-traitant doit l’informer et l’assister sans délai indu.
Sources
Textes et ressources de référence
Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.
- lyopi.frCNIL - Violations de données : les règles à suivre
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- www.cnil.frCNIL - Notifier une violation de données personnelles
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frCNIL - Cyberattaque : le sous-traitant au centre de la crise
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frCNIL - Gérer les incidents et les violations
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.