Notification de fuite de données RGPD : conformité aux articles 33 et 34 et délai de 72 heures

La notification de violation de données à caractère personnel est l’une des obligations les plus opérationnelles du Règlement général sur la protection des données. Depuis le 25 mai 2018, le délai de 72 heures imposé par l’article 33 du RGPD a transformé la manière dont les DPO, RSSI et directions juridiques gèrent les incidents touchant les données personnelles. Pour les organisations qui n’ont jamais déclaré de violation, le sujet reste théorique. Pour celles qui ont franchi le pas, c’est une mécanique exigeante qui mobilise sécurité, juridique, communication, métiers et direction générale en quelques heures.

Le RGPD en 50 mots. Le règlement (UE) 2016/679 impose au responsable de traitement de notifier à la CNIL toute violation de données personnelles dans un délai de 72 heures (article 33), et d’informer les personnes concernées en cas de risque élevé (article 34). Sanctions jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour défaut de notification.

Ce guide détaille le mécanisme de notification RGPD 72h, les règles de l’article 33 et de l’article 34, les modalités pratiques du téléservice CNIL, les sanctions encourues et l’articulation avec NIS2 et DORA. Il s’adresse aux DPO, RSSI, directions juridiques et équipes conformité qui pilotent ou contribuent à la gestion des violations de données.

RGPD : pourquoi notifier en 72 heures

Le règlement (UE) 2016/679, dit RGPD, dote l’Union européenne d’un cadre harmonisé de protection des données personnelles. Parmi ses obligations les plus visibles, la notification de violation de données introduite aux articles 33 et 34 a profondément modifié les pratiques. Avant 2018, seules quelques législations sectorielles (télécoms via la directive ePrivacy, santé) imposaient une déclaration. Depuis l’entrée en application du RGPD, toute violation de données personnelles peut potentiellement déclencher l’obligation, indépendamment du secteur.

L’article 33 dispose qu’en cas de violation de données à caractère personnel, le responsable de traitement notifie l’autorité de contrôle compétente (la CNIL pour la France) dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Si la notification intervient plus de 72 heures après la prise de connaissance, elle doit être motivée.

Le point de départ du chronomètre est précisément délimité par les lignes directrices 9/2022 du Comité européen de la protection des données (EDPB) sur la notification de violation : il s’agit du moment où le responsable a une connaissance suffisante de l’existence d’une violation, c’est-à-dire un degré raisonnable de certitude qu’un incident de sécurité a entraîné une atteinte aux données personnelles. Une simple suspicion ne déclenche pas le délai, mais une investigation interne rapide doit être menée pour qualifier la situation. À l’inverse, dès que la qualification est posée, le compteur tourne, y compris pendant un week-end ou une période de fermeture.

La notion de violation de données est elle-même large. L’article 4 paragraphe 12 du RGPD la définit comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles, ou l’accès non autorisé à de telles données. Trois catégories émergent : violation de confidentialité (divulgation, accès non autorisé), violation d’intégrité (altération non autorisée), violation de disponibilité (perte, destruction, indisponibilité). Un ransomware qui chiffre des bases clients peut cumuler les trois.

Qui est tenu de notifier

L’obligation de notification pèse en premier lieu sur le responsable de traitement, défini à l’article 4 paragraphe 7 comme la personne qui détermine les finalités et les moyens du traitement. Pour une entreprise utilisatrice classique, c’est elle qui notifie à la CNIL. Le DPO, lorsqu’il est désigné, joue un rôle central de coordination et figure en point de contact dans le formulaire CNIL, mais il ne se substitue pas au responsable de traitement, dont la responsabilité juridique reste pleine et entière.

Le sous-traitant, au sens de l’article 4 paragraphe 8 et de l’article 28, n’a pas d’obligation de notifier directement la CNIL. Il a une obligation différente, fixée à l’article 33 paragraphe 2 : informer le responsable de traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Cette obligation est cruciale dans les chaînes contractuelles modernes où un éditeur SaaS, un hébergeur cloud ou un prestataire d’infogérance peut détecter le premier une compromission. Les contrats de sous-traitance article 28 doivent expressément prévoir cette obligation et un délai contractuel court (souvent 24 à 48 heures) pour permettre au responsable de tenir le délai de 72 heures côté CNIL.

En cas de coresponsabilité de traitement (article 26), les coresponsables doivent définir entre eux, par accord, lequel notifie. La CNIL recommande une notification unique consolidée plutôt que des doublons. Pour les groupes internationaux, le mécanisme du guichet unique (one-stop-shop) prévu par le RGPD désigne une autorité chef de file lorsque l’établissement principal du responsable est dans un État membre, ce qui simplifie la notification multi-pays. La CNIL agit alors en autorité concernée mais n’est pas nécessairement chef de file.

Que notifier à la CNIL : le contenu de l’article 33

L’article 33 paragraphe 3 du RGPD énumère le contenu minimal de la notification. Quatre rubriques structurent le formulaire de la CNIL et tout document interne de qualification de violation.

Nature de la violation et données concernées. Il faut décrire la nature de la violation (confidentialité, intégrité, disponibilité ou combinaison) et indiquer, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d’enregistrements concernés. Les catégories de personnes peuvent être clients, prospects, salariés, mineurs, patients, bénéficiaires sociaux. Les catégories de données couvrent les données d’identification, de contact, bancaires, de santé, de connexion, biométriques, ou les catégories particulières au sens de l’article 9 (santé, opinions, orientation sexuelle, données biométriques, etc.). La présence de données sensibles ou de mineurs est un facteur d’aggravation directe du risque.

Coordonnées du DPO ou point de contact. Le nom et les coordonnées du DPO ou, à défaut, d’un autre point de contact où des informations supplémentaires peuvent être obtenues. Pour une organisation soumise à l’obligation de désignation d’un DPO (article 37), c’est cette personne qui figure dans le formulaire. Pour les autres, un référent doit être nommé, en pratique souvent le RSSI ou le responsable juridique.

Conséquences probables. L’article impose de décrire les conséquences probables de la violation pour les personnes concernées. Il s’agit d’une analyse d’impact rapide : risque d’usurpation d’identité, fraude bancaire, perte financière directe, atteinte à la réputation, discrimination, perte de contrôle sur des données sensibles, conséquences psychologiques. Les lignes directrices EDPB 9/2022 fournissent une grille de gravité (faible, moyen, élevé, très élevé) construite sur la nature des données, la facilité d’identification, la circonstance de la violation et les caractéristiques particulières des personnes concernées.

Mesures prises ou proposées. Les mesures déjà prises ou que le responsable propose de prendre pour remédier à la violation et en atténuer les effets : confinement de l’incident, restauration depuis sauvegarde, réinitialisation forcée des mots de passe, révocation de tokens, blocage de comptes, communication aux personnes concernées, dépôt de plainte pénale, mobilisation d’un prestataire de réponse à incident.

La notification peut être faite en plusieurs étapes. L’article 33 paragraphe 4 autorise expressément une notification successive lorsque toutes les informations ne sont pas disponibles dans le délai initial. Le formulaire CNIL prévoit un mécanisme de complément : notification initiale à 72 heures, complément à 30 jours ou plus si la situation l’exige.

Que notifier aux personnes concernées : l’article 34

L’article 34 du RGPD introduit une seconde obligation, distincte et plus restrictive : informer les personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. Le seuil est plus élevé que pour la notification CNIL (qui se déclenche dès qu’il y a un risque, même non élevé).

Le risque élevé n’est pas défini de manière limitative dans le RGPD. Les lignes directrices EDPB 9/2022 et la doctrine des autorités convergent sur quelques scénarios typiques : compromission d’identifiants permettant l’accès à des comptes (notamment bancaires, santé, ou comptes professionnels), exposition de données financières directement utilisables (numéros de carte avec cryptogramme, IBAN avec données d’identification), exposition de données de catégorie particulière (santé, opinions politiques, orientation sexuelle), risque concret de fraude, d’usurpation d’identité ou d’atteinte physique. Une fuite massive d’identifiants login + password en clair pour un service B2C sera quasi systématiquement qualifiée à risque élevé.

Trois exceptions à l’information des personnes sont prévues à l’article 34 paragraphe 3 :

• les données concernées étaient protégées par des mesures de protection technique appropriées (typiquement chiffrement robuste avec clés non compromises) qui les rendent incompréhensibles pour toute personne non autorisée ;
• des mesures ultérieures du responsable garantissent que le risque élevé ne se concrétisera pas (par exemple révocation immédiate de tokens, réinitialisation systématique de mots de passe, neutralisation de comptes) ;
• l’information aux personnes représenterait des efforts disproportionnés, auquel cas une communication publique ou une mesure équivalente est mise en œuvre.

La CNIL peut, en application de l’article 34 paragraphe 4, exiger du responsable qu’il informe les personnes concernées, même si le responsable estimait l’information non requise. Cette possibilité n’est pas théorique : plusieurs décisions publiques de la CNIL ont enjoint à des responsables d’informer leurs clients après requalification du risque. La communication doit être faite dans des termes clairs et simples, décrire la nature de la violation, les conséquences probables et les mesures prises, et indiquer le DPO comme point de contact. Email, courrier, message in-app ou notification SMS sont des canaux acceptables selon le contexte.

Le téléservice CNIL : modalités pratiques

La CNIL met à disposition un téléservice dédié à la notification des violations de données, accessible depuis son site institutionnel. Le formulaire reprend la structure de l’article 33 paragraphe 3 et permet une notification initiale, une notification complémentaire et une clôture du dossier. Les pièces jointes (rapport interne, courrier d’information aux personnes, captures d’écran) peuvent être ajoutées.

Quelques points opérationnels méritent attention. La création d’un compte CNIL pour le téléservice prend quelques minutes ; il est recommandé de le faire en amont et non pendant un incident pour ne pas perdre de temps. La notification peut être déposée par le DPO mais reste juridiquement attribuable au responsable de traitement. Les déclarations sont enregistrées avec horodatage, ce qui établit la preuve du respect du délai de 72 heures.

La notification peut être révisée. Si une qualification initiale conduit à déclarer une violation et qu’une investigation ultérieure démontre l’absence d’atteinte aux données, le dossier peut être clos avec un mémoire explicatif. À l’inverse, si la qualification initiale était trop optimiste et qu’un complément d’enquête révèle un périmètre plus large, le complément doit être adressé sans délai.

Toutes les violations doivent faire l’objet d’une trace interne, même celles qui ne font pas l’objet d’une notification CNIL. L’article 33 paragraphe 5 impose au responsable de tenir un registre interne des violations, accessible à l’autorité de contrôle pour vérification de la conformité. Ce registre interne est l’un des dossiers vérifiés en cas de contrôle CNIL et son absence ou ses lacunes pèsent lourd dans une procédure de sanction. Il documente la décision de notifier ou de ne pas notifier, avec sa motivation, ce qui protège le responsable de traitement en cas de contestation ultérieure.

Sanctions CNIL pour défaut de notification

Le défaut de notification ou la notification tardive sont sanctionnés par l’article 83 paragraphe 4 du RGPD : amendes administratives jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Ce niveau est inférieur au plafond le plus haut du RGPD (20 millions ou 4 % pour les manquements aux principes de licéité, loyauté, finalité, etc.) mais reste très significatif en valeur absolue.

La CNIL prononce ces amendes via sa formation restreinte. Elle peut les cumuler avec d’autres mesures correctrices prévues à l’article 58 paragraphe 2 : avertissement, mise en demeure, injonction de mise en conformité sous astreinte, limitation temporaire ou définitive du traitement, suspension de flux de données vers un pays tiers, retrait d’une certification, publicité de la décision. La publication de la décision sur le site de la CNIL et au Journal officiel reste une sanction redoutée pour son impact réputationnel.

Les décisions publiques de la CNIL des dernières années ont confirmé la sévérité du régime. Les motifs récurrents sont : qualification trop tardive de l’incident en violation, sous-évaluation du risque pour les personnes (et donc absence d’information article 34), insuffisance des mesures techniques préalables (chiffrement absent ou faible, défaut de cloisonnement, mots de passe stockés en clair), défaut de coordination entre responsable et sous-traitants. La conjonction d’un manquement aux articles 32 (sécurité du traitement) et 33-34 (notification) augmente mécaniquement le niveau de sanction.

D’un point de vue quantitatif, le Verizon Data Breach Investigations Report 2025 recense plusieurs milliers de violations confirmées dans le monde, avec une tendance continue à la hausse des incidents impliquant des identifiants compromis comme vecteur initial (environ un quart des intrusions). Le délai médian entre la compromission et sa détection reste mesuré en semaines pour les cas les plus complexes, ce qui laisse comprendre la pression opérationnelle qui pèse sur le délai de 72 heures du RGPD : sans capacité de détection rapide, le compteur démarre déjà avec retard sur l’attaquant.

Articulation avec NIS2 et DORA

Une violation de données personnelles est rarement seule. Elle s’inscrit en général dans un incident cyber plus large qui peut déclencher d’autres régimes de notification. Les responsables conformité doivent connaître ces régimes pour produire les bonnes notifications, dans les bons délais, vers les bonnes autorités.

RGPD vs NIS2. La directive (UE) 2022/2555 dite NIS2 impose aux entités essentielles et importantes de notifier à l’autorité compétente (l’ANSSI en France) tout incident significatif selon un schéma 24 heures (alerte précoce) / 72 heures (notification d’incident) / 1 mois (rapport final). Le périmètre est différent (cyber au sens large, pas uniquement données personnelles) et le destinataire aussi (ANSSI au lieu de CNIL). Pour un incident qui combine compromission de système et exfiltration de données personnelles, les deux notifications cohabitent. L’EDPB et l’ENISA ont publié des éléments de doctrine pour clarifier cette articulation, et le pilotage opérationnel se fait souvent en cellule de crise unique avec une cartographie claire des destinataires. Voir le guide NIS2 sur la notification d’incident cyber pour le détail des seuils et délais.

RGPD vs DORA. Pour les entités financières, le règlement (UE) 2022/2554 dit DORA introduit un régime de notification d’incident ICT majeur à l’autorité compétente (ACPR ou AMF en France) avec des délais 4 heures (notification initiale) / 72 heures (rapport intermédiaire) / 1 mois (rapport final). DORA est lex specialis pour les entités financières : si une exigence est traitée par DORA, elle prévaut sur l’équivalent NIS2. Mais le RGPD reste pleinement applicable en parallèle dès qu’il y a violation de données personnelles. Une banque victime d’un ransomware avec exfiltration de données clients devra notifier la CNIL (RGPD 72h), l’ACPR (DORA 4h initiale, 72h intermédiaire) et potentiellement l’ANSSI dans le cadre des dispositifs de coopération. Le guide DORA conformité cybersécurité détaille ce régime sectoriel.

Vue d’ensemble. Pour cartographier l’ensemble des obligations de notification applicables à une organisation, le guide RGPD NIS2 DORA des obligations de notification compare les régimes en parallèle. La règle pratique est de construire une procédure d’incident unique qui produit, à partir des mêmes données opérationnelles, les notifications attendues par chaque autorité. Cela suppose une bibliothèque de modèles, des points de contact à jour, des comptes téléservice provisionnés et une cellule de qualification capable de basculer en mode multirégime sans perdre de temps.

Stealed et la conformité RGPD

Stealed est une plateforme française de détection de fuites d’identifiants qui surveille plus de 500 millions de credentials par jour issus de logs d’infostealers, forums underground et canaux Telegram privés. Pour les DPO, RSSI et directions juridiques, Stealed apporte une brique de détection rapide qui contribue directement à la tenue du délai RGPD de 72 heures.

Détection en quelques minutes pour démarrer le compteur au plus tôt. L’alerte Stealed se déclenche en quelques minutes lorsqu’un identifiant lié à un domaine surveillé apparaît dans une nouvelle fuite. Cette latence courte rapproche le moment de prise de connaissance de la compromission elle-même, ce qui maximise la marge dont dispose le DPO pour qualifier la violation, mobiliser les équipes et préparer la notification CNIL avant l’expiration des 72 heures. Voir comment détecter une fuite d’identifiants pour les bonnes pratiques de détection.

External Insight pour la chaîne de sous-traitance article 28. Le RGPD impose au responsable de traitement de s’assurer que ses sous-traitants présentent des garanties suffisantes (article 28). Le module External Insight permet de surveiller les domaines de fournisseurs critiques et d’identifier les fuites d’identifiants des collaborateurs de ces fournisseurs sur des sites où ils interviennent au nom du responsable. Cette visibilité étendue alimente la documentation des contrôles article 28 et fournit, en cas d’incident côté sous-traitant, un signal en parallèle de la notification contractuelle attendue, ce qui réduit le risque de découvrir une violation par hasard plusieurs semaines après les faits.

L’hébergement Scaleway en France (région fr-par) apporte par ailleurs un point de localisation des données qui simplifie l’analyse de risque pour les organisations attentives à la souveraineté et aux clauses de localisation des sous-traitants.

Évaluez votre dispositif

Réservez 30 minutes avec notre CTO pour échanger sur votre dispositif actuel de détection de fuites d’identifiants et son alignement avec vos obligations RGPD de notification. Si vous préférez tester la plateforme avant tout échange, créez un compte gratuitement pour démarrer la surveillance d’un domaine et évaluer la valeur opérationnelle de Stealed sur vos propres flux.

Questions fréquentes sur la notification RGPD

Quel est le délai de notification d’une fuite de données au titre du RGPD ? L’article 33 du RGPD impose au responsable de traitement de notifier toute violation de données à caractère personnel à l’autorité de contrôle compétente (la CNIL en France) dans un délai maximal de 72 heures à compter du moment où il en a eu connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Si la notification dépasse 72 heures, elle doit être motivée. Le point de départ n’est pas la détection technique mais la prise de connaissance qualifiée par le responsable.

Faut-il toujours informer les personnes concernées ? Non. L’article 34 du RGPD ne déclenche l’information aux personnes que lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés (usurpation d’identité, fraude, perte financière, atteinte à la réputation, discrimination, etc.). Trois exceptions sont prévues : données déjà rendues incompréhensibles aux tiers (chiffrement robuste), mesures ultérieures qui neutralisent le risque élevé, ou efforts disproportionnés justifiant une communication publique. La CNIL peut toutefois imposer cette communication si elle l’estime nécessaire.

Que doit contenir la notification à la CNIL ? L’article 33 paragraphe 3 du RGPD liste quatre éléments minimaux : la nature de la violation (catégories et nombre approximatif de personnes et d’enregistrements concernés), le nom et les coordonnées du DPO ou du point de contact, les conséquences probables de la violation, les mesures prises ou proposées pour y remédier et en atténuer les effets. La notification peut être faite en plusieurs temps si toutes les informations ne sont pas disponibles dans le délai initial de 72 heures.

Quelles sanctions en cas de défaut de notification ? L’article 83 paragraphe 4 du RGPD prévoit pour les manquements aux articles 33 et 34 des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. La CNIL peut cumuler ces sanctions avec une mise en demeure, une injonction sous astreinte, une limitation temporaire ou définitive de traitement, voire la publication de la décision. Les manquements aux principes du traitement (article 5, 6, 7) sont sanctionnés plus lourdement encore (20 millions ou 4 % du CA).

Comment articuler RGPD, NIS2 et DORA en cas d’incident ? Un même incident peut déclencher plusieurs notifications cumulatives. Le RGPD vise les violations de données personnelles auprès de la CNIL (72h). NIS2 vise les incidents cyber significatifs auprès de l’ANSSI selon le régime 24h / 72h / 1 mois. DORA vise les incidents ICT majeurs auprès de l’ACPR ou de l’AMF selon 4h / 72h / 1 mois pour les entités financières. Pour une banque victime d’un ransomware exfiltrant des données clients, les trois régimes s’appliquent en parallèle. Il faut une procédure d’incident unique qui produit les trois notifications avec les bonnes données dans les bons délais.

Pour aller plus loin

• DORA : guide de conformité cybersécurité pour le secteur financier : régime sectoriel applicable aux entités financières, articulé avec le RGPD pour les incidents touchant des données personnelles.
• NIS2 et la notification d’incident cyber : le régime cyber transversal applicable aux entités essentielles et importantes, complémentaire du RGPD.
• RGPD, NIS2, DORA : cartographier les obligations de notification : tableau comparatif des trois régimes et logique de procédure unique.
• Comment détecter une fuite d’identifiants : sources, outils et bonnes pratiques pour démarrer le compteur RGPD au plus tôt.