Une violation de données peut survenir à tout moment : piratage, perte de materiel, erreur humaine. Découvrez la procédure a suivre pour notifier la CNIL dans les 72 heures et limiter l'impact.
Une violation de données personnelles est une faille de sécurité entraînant la destruction, la perte, l'alteration, la divulgation non autorisee ou l'accès non autorisé à des données personnelles. L'article 33 du RGPD impose une notification à la CNIL dans un délai de 72 heures.
72 heures : le compte à rebours
Le délai de 72 heures commence dès que vous avez connaissance de la violation, pas des qu'elle s'est produite. Chaque minute compte. Un retard de notification peut constituer une infraction supplémentaire.
Étape 1 - Contenir la violation (0 à 4h) : Identifiez la faille et prenez des mesures immédiates pour stopper la violation : couper l'accès, isoler les systèmes compromis, changer les mots de passe. Préservez les preuves.
Étape 2 - Évaluer la gravité (4 à 24h) : Déterminez la nature des données affectees, le nombre de personnes concernées, les consequences potentielles et le caractère réversible ou non de la violation. Utilisez la matrice de risque de la CNIL.
Étape 3 - Notifier la CNIL (sous 72h) : Si la violation présente un risque pour les droits et libertés des personnes, notifiez la CNIL via le téléservice dédié. La notification doit inclure : la nature de la violation, les catégories et le nombre de personnes concernées, les consequences probables, les mesures prises ou envisagées.
Étape 4 - Informer les personnes concernées : Si le risque est eleve pour les personnes (usurpation d'identité, préjudice financier...), vous devez également les informer directement, dans un langage clair et simple.
Étape 5 - Documenter et tirer les leçons : Inscrivez la violation dans votre registre des violations (obligatoire même si pas de notification CNIL). Analysez les causes et mettez en place des mesures correctives.
Vous devez notifier la CNIL des qu'il existe un risque pour les droits et libertés des personnes. En pratique, la majorite des violations doivent être notifiées. Seules les violations sans risque (données deja publiques, données chiffrees avec clé non compromise) peuvent être dispensées de notification.
Registre obligatoire
Même si vous estimez que la violation ne nécessite pas de notification à la CNIL, vous DEVEZ la documenter dans votre registre des violations. Ce registre est obligatoire et doit être tenu à la disposition de la CNIL à tout moment.
Gérez vos incidents avec DPO Manager
Le module Incidents de DPO Manager vous guide à chaque étape : évaluation automatique de la gravité, aide à la décision notification CNIL, chronomètre 72h, génération du formulaire de notification, registre des violations et suivi des mesures correctives.
Registre des traitements, gestion des droits, DPIA, incidents, sous-traitants, cookies et formation : tout en un seul outil.
Démarrer l'essai gratuit 14 joursSans carte bancaire • Configuration en 15 minutes
Le télétravail multiplie les risques pour les données personnelles. Découvrez les mesures de sécurité à mettre en place et les bonnes pratiques pour rester conforme au RGPD à distance.
LireLe registre des traitements est la pierre angulaire de votre conformité RGPD. Découvrez comment le créer, le maintenir à jour et éviter les erreurs courantes conformément à l'article 30.
LireLe Délégué à la Protection des Données (DPO) est un acteur clé de la conformité RGPD. Découvrez ses missions, quand sa désignation est obligatoire et comment exercer ce rôle efficacement.
Lire