Numerique
Une violation de données vient d'être détectée chez vous. Deux délais de 72 heures courent déjà, celui de la CNIL et celui de votre assurance. Qualifiez avant de notifier.
Contexte
Une violation de données n'est pas seulement une fuite vers l'extérieur. L'article 4.12 du RGPD couvre aussi la destruction, la perte et l'altération de données, accidentelles ou illicites. Un serveur rendu illisible par un rançongiciel est une violation même si rien n'est sorti de chez vous. Une sauvegarde supprimée sans copie en est une également. Cette définition large explique la plupart des erreurs de qualification : beaucoup d'incidents que la DSI traite comme un problème d'exploitation ouvrent en réalité un dossier de conformité.
À partir de la prise de connaissance, deux obligations distinctes s'ouvrent. L'article 33 impose la notification à la CNIL dans les 72 heures, sauf lorsque la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. L'article 34 impose en plus d'informer les personnes concernées lorsque ce risque est élevé, avec trois cas de dispense : des données protégées par un chiffrement robuste, des mesures postérieures qui écartent le risque, ou des efforts disproportionnés qui justifient une communication publique. Une violation qui ne se notifie pas doit malgré tout être inscrite au registre interne des violations, et ce registre est l'une des premières pièces que réclame un contrôleur.
Un troisième délai, souvent ignoré, court en parallèle. L'article L. 12-10-1 du code des assurances subordonne l'indemnisation des pertes causées par une atteinte à un système de traitement automatisé de données au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. Passé ce délai, l'assureur peut refuser sa garantie. S'y ajoutera la notification d'incident à l'ANSSI au titre de NIS2 pour les entités qui y seront soumises : la directive n'est pas transposée en droit français à ce jour, le projet de loi relatif à la résilience des infrastructures critiques restant en cours d'examen parlementaire. Anticiper cette échéance relève de la mise en conformité NIS2.
Problematique
Le délai de 72 heures ne démarre pas quand vous comprenez l'incident, mais dès que vous avez une certitude raisonnable que des données personnelles sont touchées. La DSI cherche encore le point d'entrée, l'éditeur ne répond pas, et l'horloge tourne. La CNIL relève que la moitié seulement des notifications lui parviennent dans le délai. Or un retard sans motif légitime constitue un manquement autonome, distinct de la faille elle-même, sanctionnable jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
Notifier vite et mal se paie tout autant. Le 13 janvier 2026, la CNIL a sanctionné Free Mobile et Free à hauteur de 27 et 15 millions d'euros après la compromission de données relatives à 24 millions de contrats d'abonnés. Au-delà du défaut de sécurité de l'article 32, elle a retenu un manquement à l'article 34 : le message adressé aux personnes ne leur permettait de comprendre ni les conséquences de la violation, ni les mesures à prendre. Neuf jours plus tard, France Travail était sanctionné de 5 millions d'euros, la CNIL relevant que les mesures de sécurité manquantes avaient été identifiées dans ses propres analyses d'impact sans jamais être déployées.
Le reste se joue sur des pièces que vous produisez vous-même pendant la crise. Comptes rendus de cellule de crise, messages échangés avec le prestataire, rapport d'investigation numérique : tout cela sera lu par la CNIL, par votre assureur et par les conseils des parties adverses. Le défaut de sécurité expose par ailleurs à cinq ans d'emprisonnement et 300 000 euros d'amende au titre de l'article 226-17 du code pénal, et les personnes concernées bénéficient depuis la loi du 30 avril 2025 d'un régime d'action de groupe élargi. La responsabilité du dirigeant ne se discute pas pendant l'attaque, elle se discute six mois plus tard sur la base de ce qui a été écrit pendant.
Solutions
J'interviens dès l'appel, sans attendre la fin de l'investigation. Ma première tâche n'est pas de rédiger, c'est de qualifier : y a-t-il violation au sens du RGPD, quelles catégories de données, quel volume, quel risque pour les personnes. Cette qualification commande tout le reste et elle se prend avec les informations disponibles à l'instant, pas avec celles que vous aurez dans une semaine. Je documente le raisonnement au fur et à mesure, parce que c'est ce document qui justifiera votre décision si elle est contestée.
Je place ensuite les échanges sensibles sous le régime de l'article 66-5 de la loi du 31 décembre 1971, qui couvre du secret professionnel les consultations, les correspondances et les pièces du dossier. Concrètement, je structure la cellule de crise pour que les analyses juridiques et les hypothèses de responsabilité ne circulent pas dans des fils de discussion qui deviendront des preuves. C'est une différence de fond avec une gestion purement technique de l'incident, que je détaille dans mon article sur le rôle de l'avocat dans la gestion de crise.
Je rédige la notification à la CNIL et le message aux personnes concernées, je dépose la plainte dans le délai qui conditionne votre indemnisation, et j'ouvre le dossier d'assurance. Je regarde ensuite vers l'extérieur : ce que votre hébergeur, votre infogérant ou votre éditeur doivent contractuellement assumer, et ce que leurs conditions générales tentent de leur faire échapper. Mon double profil d'avocat et de développeur me permet de lire un rapport d'investigation sans intermédiaire et d'en discuter le fond avec vos équipes.
Une fois la crise refermée, je reprends le dossier à froid pour transformer l'incident en dispositif : procédure de notification écrite, registre tenu, clauses de sécurité renégociées. C'est le passage de la réaction à la prévention, qui relève de mon accompagnement en droit de la cybersécurité. Si votre incident est en cours, contactez-moi maintenant : les 72 heures ont déjà commencé.
Je détermine si l'événement constitue une violation au sens de l'article 4.12 du RGPD, j'identifie les catégories de données et les personnes touchées, et j'évalue le risque encouru. Cette analyse tranche trois questions : faut-il notifier la CNIL, faut-il informer les personnes, et que faut-il inscrire au registre. Je fixe également l'heure de prise de connaissance, qui est le point de départ opposable de tous les délais qui suivent.
Je rédige la notification et je la dépose dans les 72 heures, quitte à la compléter ensuite si l'investigation apporte des éléments nouveaux. Lorsque le risque est élevé, je rédige le message aux personnes concernées pour qu'il décrive les conséquences probables et les mesures à prendre, exigence sur laquelle la CNIL sanctionne. Je prépare en parallèle les éléments de langage destinés aux clients, aux salariés et, s'il le faut, à la presse.
Je fais sécuriser les traces techniques avant qu'elles ne soient écrasées par la remise en production, je dépose plainte dans les 72 heures exigées par l'article L. 12-10-1 du code des assurances, et je constitue le dossier d'indemnisation. J'analyse ensuite vos contrats d'hébergement, d'infogérance et de licence pour établir la part de responsabilité de chaque prestataire et engager les recours qui le méritent.
Je reprends le dossier après la crise pour produire ce qui manquait : une procédure de notification écrite, un registre des violations réellement tenu, des clauses de sécurité et de réversibilité renégociées avec vos prestataires. Ce travail sert deux fois. Il réduit le risque d'un second incident, et il démontre votre diligence si la CNIL ouvre un contrôle dans les mois qui suivent.
FAQ
L'article 4.12 du RGPD vise toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles, ainsi que l'accès non autorisé à ces données. La notion dépasse donc largement la fuite vers l'extérieur. Un serveur rendu illisible par un rançongiciel relève de la perte de disponibilité et constitue une violation, même sans exfiltration. Un fichier client envoyé au mauvais destinataire, une sauvegarde supprimée sans copie, un ordinateur portable volé non chiffré entrent dans la même catégorie. Cette définition est le point de départ de toutes les obligations qui suivent.
Non. L'article 33 du RGPD impose la notification sauf lorsque la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Cette dispense est une exception : elle se justifie, elle ne se présume pas. L'obligation de documentation, en revanche, ne connaît aucune exception. Chaque violation, notifiée ou non, doit être consignée dans un registre interne avec ses effets et les mesures prises. Ce registre figure parmi les premières pièces réclamées lors d'un contrôle, et un registre vide dans une entreprise qui a connu des incidents constitue en soi un signal défavorable. Le détail figure dans mon article sur les obligations des entreprises en cas de violation.
Le retard de notification constitue un manquement autonome, distinct du défaut de sécurité qui a permis l'attaque. Sans motif légitime, il expose à une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Une notification déposée dans les temps mais insuffisante est sanctionnée de la même façon : le 13 janvier 2026, la CNIL a retenu contre Free un manquement à l'article 34 parce que le message adressé aux abonnés ne leur permettait pas de comprendre les conséquences de la violation ni les mesures à prendre. Les deux sociétés du groupe ont été sanctionnées à hauteur de 42 millions d'euros au total.
Les amendes administratives de la CNIL frappent l'entreprise, pas son représentant légal. Mais l'article 226-17 du code pénal punit de cinq ans d'emprisonnement et 300 000 euros d'amende le fait de traiter des données sans mettre en œuvre les mesures de sécurité exigées, et il s'agit d'une infraction imputable à une personne physique. S'y ajoutent l'action en responsabilité pour faute de gestion et le régime d'action de groupe élargi par la loi du 30 avril 2025. Le facteur aggravant le plus fréquent reste l'inaction documentée : un risque identifié dans un audit ou une analyse d'impact, puis jamais traité.
Le délai part de la prise de connaissance, c'est-à-dire du moment où vous disposez d'une certitude raisonnable qu'un incident de sécurité a affecté des données personnelles. Ce n'est ni la date de l'intrusion, souvent bien antérieure, ni la fin de l'investigation. Une alerte crédible remontée par un prestataire, une revendication publique sur un forum ou la découverte du chiffrement d'un serveur suffisent à déclencher le compte à rebours. Vous n'avez pas besoin de tout savoir pour notifier : le RGPD prévoit expressément une notification complétée par étapes. Attendre d'avoir un tableau complet est l'erreur la plus coûteuse de la phase initiale.
Je réponds le jour même, week-end compris, parce qu'un incident détecté un vendredi soir n'attend pas le lundi matin. Le premier échange sert à qualifier : nature de l'incident, données touchées, volume, personnes exposées. J'en tire une décision de notification et un calendrier précis des échéances, celle de la CNIL et celle de la plainte. Je rédige ensuite les documents, je structure la cellule de crise pour protéger les échanges sensibles et je prends contact avec vos prestataires. Vous gardez la décision, je porte le raisonnement juridique et sa traçabilité.
Les deux métiers ne traitent pas le même problème. Le prestataire endigue l'attaque, identifie le vecteur et restaure le système. L'avocat décide de ce qui doit être déclaré, à qui, dans quel délai, et avec quelles conséquences. La distinction compte aussi sur les écrits : l'article 66-5 de la loi du 31 décembre 1971 couvre du secret professionnel les consultations, les correspondances et les pièces du dossier de l'avocat, ce qui n'est pas le cas d'un rapport technique commandé directement par l'entreprise. Organiser la crise en tenant compte de cette différence limite le nombre de documents qui se retourneront contre vous.
Elle peut le couvrir, mais sous condition. L'article L. 12-10-1 du code des assurances subordonne le versement de l'indemnité au dépôt d'une plainte auprès des autorités compétentes au plus tard 72 heures après la connaissance de l'atteinte. La règle vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle. En pratique, c'est le délai le plus souvent manqué, parce que la plainte passe après la restauration technique dans l'ordre des priorités. Sur l'opportunité même de payer, je traite la question comme une décision documentée et non comme un réflexe : le paiement ne garantit ni la restitution des données, ni l'absence de publication.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
