Mis à jour le 2 juillet 2026 · 6 min de lecture
Qu'est-ce qu'une violation de données ?
Une violation de données personnelles est un incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données. Un ordinateur volé, un e-mail envoyé au mauvais destinataire, un piratage ou un rançongiciel sont des violations.
Le compte à rebours des 72 heures
Dès que vous prenez connaissance d'une violation susceptible d'engendrer un risque, vous disposez de 72 heures pour la notifier à la CNIL. Le délai démarre à la prise de connaissance, pas à la résolution de l'incident.
Les 4 réflexes immédiats
- 1
Contenir
Isoler les systèmes touchés, couper les accès compromis.
- 2
Préserver
Conserver les traces et journaux pour l'analyse.
- 3
Évaluer
Identifier les données et les personnes concernées.
- 4
Alerter
Prévenir la direction et le DPO sans délai.
Faut-il notifier la CNIL ?
Toute violation ne se notifie pas : cela dépend du risque pour les personnes. Si la violation est susceptible d'engendrer un risque pour leurs droits et libertés, elle doit être notifiée à la CNIL sous 72 heures via le téléservice dédié. En cas de doute, rapprochez-vous de votre DPO sans attendre.
En cas de rançongiciel
Une attaque par rançongiciel constitue presque toujours une violation de données. Ne payez pas la rançon sans avis, déposez plainte, et enclenchez la procédure de notification.
Faut-il informer les personnes concernées ?
Oui, lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes (vol de coordonnées bancaires, de données de santé…). Vous devez alors les informer sans délai, en termes clairs, sur la nature de l'incident et les mesures qu'elles peuvent prendre. Exception : si les données étaient chiffrées et inexploitables, ou si le risque élevé a été neutralisé.
Documenter, même sans notification
Toute violation, même non notifiée, doit être consignée dans un registre interne des violations : faits, effets et mesures correctives. Ce registre peut être demandé par la CNIL pour vérifier le respect de vos obligations.