Mis à jour le mercredi 11 novembre 2026
Réponse courte : en cas de fuite de données personnelles présentant un risque pour les personnes, une PME doit notifier la CNIL dans les 72 heures après en avoir pris connaissance, via le téléservice « Notifier une violation de données personnelles ». Si le risque est élevé, elle prévient aussi les personnes concernées. Tout incident est consigné dans un registre interne.
Points clés
- Le délai de 72 heures court dès que l’entreprise a une certitude raisonnable qu’un incident touche des données personnelles, pas à partir de la fin de l’enquête.
- Trois niveaux : pas de risque (registre seul), risque (registre et notification CNIL), risque élevé (registre, CNIL et information des personnes).
- La CNIL a reçu 6 167 notifications de violations en 2025, soit 9,5 % de plus qu’en 2024 ; une sur deux est un piratage.
- Oublier de notifier expose à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83 du RGPD).
- Une notification initiale incomplète est acceptée : on la complète ensuite dès que les informations sont disponibles.
Une fuite de données dans une PME n’arrive pas qu’aux autres : boîte mail piratée, fichier clients envoyé au mauvais destinataire, ordinateur portable volé, rançongiciel sur le serveur. Dans chacun de ces cas, la question de la notification à la CNIL se pose, avec un délai très court. Ce guide explique quand notifier, comment déclarer, quoi dire aux clients et comment s’organiser.
Qu’est-ce qu’une violation de données personnelles au sens du RGPD ?
Une violation de données personnelles est un incident de sécurité, accidentel ou malveillant, qui entraîne la perte de confidentialité, d’intégrité ou de disponibilité de données concernant des personnes physiques.
Le RGPD (Règlement général sur la protection des données, en vigueur depuis mai 2018) la définit à son article 4.12 : destruction, perte, altération, divulgation non autorisée ou accès non autorisé à des données personnelles. La CNIL (Commission nationale de l’informatique et des libertés), autorité française de protection des données, retient deux conditions : un traitement de données personnelles existe, et ces données ont subi l’une de ces atteintes.
Les trois familles d’incidents
- Confidentialité : des données sont vues ou copiées par quelqu’un qui n’aurait pas dû y accéder (piratage de messagerie, export d’une base clients, mail envoyé au mauvais destinataire).
- Intégrité : des données sont modifiées sans autorisation (intrusion qui change des coordonnées bancaires, des notes ou des dossiers).
- Disponibilité : des données deviennent inaccessibles ou sont détruites (rançongiciel, suppression accidentelle sans sauvegarde, perte d’une clé USB).
Un rançongiciel, logiciel malveillant qui chiffre les fichiers et réclame une rançon, cumule souvent les trois : données bloquées, parfois exfiltrées puis publiées.
Quand faut-il notifier une fuite de données à la CNIL ?
Il faut notifier la CNIL dès que la violation présente un risque pour les droits et libertés des personnes concernées ; s’il n’y a aucun risque, une simple inscription au registre interne suffit.
La CNIL distingue trois situations. Le tableau ci-dessous les résume avec les obligations correspondantes.
| Niveau de risque | Registre interne | Notification CNIL (72 h) | Information des personnes | Exemple type |
|---|---|---|---|---|
| Aucun risque | Oui | Non | Non | Perte d’un disque chiffré dont la clé n’est pas compromise |
| Risque | Oui | Oui | Non | Fichier de contacts professionnels envoyé à un mauvais destinataire |
| Risque élevé | Oui | Oui | Oui, au plus tôt | Vol d’une base clients non chiffrée avec IBAN ou données de santé |
Parmi les exemples sans risque cités par la CNIL figurent des données déjà publiques ou des données supprimées puis restaurées immédiatement depuis une sauvegarde. À l’inverse, la perte d’une clé USB non chiffrée contenant une base clients ou la suppression de données médicales non sauvegardées sont des violations à traiter.
Comment évaluer le risque ?
Le risque dépend de la nature des données (une adresse mail pèse moins qu’un numéro de sécurité sociale ou un IBAN), du volume de personnes touchées, de la facilité à les identifier et des conséquences possibles : usurpation d’identité, hameçonnage ciblé, fraude, atteinte à la réputation. En cas de doute, la CNIL recommande de notifier : c’est elle qui indiquera ensuite s’il faut prévenir les personnes.
Quand commence le délai de 72 heures ?
Le délai de 72 heures commence au moment où l’entreprise a une certitude raisonnable qu’un incident a touché des données personnelles, et non au moment où l’enquête technique est terminée.
La CNIL donne des exemples concrets : pour une clé USB perdue, le compteur démarre dès que la perte est constatée ; pour un signalement par un tiers, dès qu’il apporte un élément de preuve ; pour un cybercriminel qui revendique un vol de données, dès que l’entreprise a vérifié sa revendication. Les 72 heures incluent le week-end : un incident découvert le vendredi soir doit être notifié le lundi soir au plus tard.
Si le délai est dépassé, la notification reste obligatoire, mais elle doit expliquer les raisons du retard. Il est aussi possible d’envoyer une notification initiale incomplète dans les 72 heures, puis une notification complémentaire dès que les informations manquantes sont connues.
Et si c’est mon prestataire qui subit la fuite ?
Le sous-traitant (hébergeur, éditeur de logiciel, prestataire informatique) doit alerter son client, le responsable de traitement, dans les meilleurs délais. Il peut notifier la CNIL pour son compte, mais la décision et le registre restent sous la responsabilité de l’entreprise cliente. D’où l’intérêt de prévoir une clause de notification d’incident dans chaque contrat.
Comment notifier une violation de données à la CNIL, étape par étape ?
La notification se fait en ligne sur le téléservice « Notifier une violation de données personnelles » du site de la CNIL, réservé aux responsables de traitement ; voici la procédure à suivre dès la découverte de l’incident.
- Contenir l’incident : isoler le poste ou le serveur touché du réseau, bloquer le compte compromis, changer les mots de passe et révoquer les sessions actives, sans effacer les traces.
- Noter l’heure de découverte : consigner la date et l’heure de la certitude raisonnable, qui fixent le départ des 72 heures.
- Conserver les preuves : journaux de connexion, mails suspects, captures d’écran, message de rançon. La CNIL recommande aussi de porter plainte en cas de cyberattaque.
- Qualifier la violation : quelles données, combien de personnes, combien d’enregistrements, quelles conséquences probables. Une estimation approximative suffit au départ.
- Évaluer le risque : aucun risque, risque ou risque élevé, selon le tableau ci-dessus.
- Notifier la CNIL avant la 72e heure via le téléservice, en indiquant la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements, les conséquences probables, les coordonnées d’un contact (délégué à la protection des données ou autre) et les mesures prises ou envisagées.
- Informer les personnes concernées si le risque est élevé : nature de l’incident, conséquences, contact, mesures prises et recommandations concrètes (changer de mot de passe, surveiller ses comptes, se méfier des faux mails).
- Compléter la notification dès que l’enquête apporte de nouveaux éléments.
- Mettre à jour le registre des violations et corriger la cause : faille non corrigée, mot de passe faible, absence de double authentification, sauvegarde manquante.
Que se passe-t-il après la notification ?
La CNIL envoie un accusé de réception et analyse la déclaration. Elle ne revient vers l’entreprise que si c’est nécessaire, par exemple pour exiger l’information des personnes. Sans retour de sa part sous deux mois, l’entreprise peut considérer qu’il n’y a pas de remarque.
Faut-il prévenir les clients et salariés concernés ?
Oui, dès que la violation présente un risque élevé pour les personnes, l’entreprise doit les informer directement et au plus tôt, en termes clairs (article 34 du RGPD).
Trois exceptions sont prévues : les données étaient rendues incompréhensibles par un chiffrement solide, des mesures prises ensuite écartent le risque élevé, ou contacter chaque personne demanderait des efforts disproportionnés. Dans ce dernier cas, une communication publique (site web, presse) remplace les messages individuels.
Le message doit être utile : expliquer ce qui s’est passé, ce qui a été volé, ce que l’entreprise a fait et ce que la personne doit faire. Les données volées servent souvent à des mails frauduleux ciblés : si vos équipes ou vos clients risquent de cliquer sur ces faux messages, rappelez-leur notre guide que faire après avoir cliqué sur un lien de phishing.
Que risque une PME qui ne notifie pas une violation de données ?
Une PME qui ne notifie pas une violation alors qu’elle y était tenue s’expose à une amende administrative pouvant atteindre 10 millions d’euros ou 2 % de son chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Ce plafond figure à l’article 83, paragraphe 4, du RGPD, qui vise les obligations des articles 25 à 39, dont la notification (article 33) et l’information des personnes (article 34). En pratique, les amendes infligées aux petites structures sont bien plus faibles, mais la tendance est claire : la CNIL a prononcé 83 sanctions en 2025 pour un total d’environ 487 millions d’euros, et les manquements de sécurité représentent près de 30 % de ses sanctions.
Des contrôles qui se renforcent
| Indicateur CNIL | 2024 | 2025 |
|---|---|---|
| Violations de données notifiées | 5 629 | 6 167 |
| Évolution annuelle | +20 % | +9,5 % |
| Sanctions prononcées | 87 | 83 |
| Montant total des amendes | plus de 55 M€ | environ 487 M€ |
La CNIL a annoncé qu’elle consacrerait en 2026 la moitié de ses contrôles et actions répressives à la sécurité des données.
Comment préparer sa PME avant une fuite de données ?
La meilleure façon de tenir les 72 heures est de préparer à froid une procédure écrite, un registre des violations et une liste de contacts, puis de réduire le risque avec des sauvegardes, des correctifs à jour et la double authentification.
Une PME bien préparée dispose de quatre éléments.
- Une fiche réflexe d’une page : qui prévenir (dirigeant, prestataire, assureur, délégué à la protection des données), dans quel ordre, avec les numéros.
- Un registre des violations à jour, y compris pour les incidents sans risque, avec la justification de l’absence de notification.
- Une cartographie simple des données : quelles données personnelles, sur quels postes, serveurs et services cloud. C’est la base d’une démarche de conformité RGPD pour PME.
- Des mesures qui suppriment le risque : chiffrement des portables, sauvegarde informatique PME testée, mises à jour appliquées et double authentification sur la messagerie, comme expliqué dans notre article sur la double authentification Microsoft 365.
Erreurs à éviter
- Attendre la fin de l’enquête pour notifier : le délai de 72 heures court dès la certitude raisonnable ; une notification initiale incomplète vaut mieux qu’une notification tardive.
- Effacer les traces en réinstallant tout : sans journaux, impossible d’estimer quelles données ont fui, ni de prouver le contraire.
- Payer la rançon en pensant éviter la fuite : payer ne supprime ni la violation ni l’obligation de notifier, et rien ne garantit la suppression des données volées.
- Ne rien consigner pour un « petit » incident : même sans risque, l’inscription au registre est obligatoire.
- Oublier le prestataire : un contrat sans clause d’alerte en cas d’incident fait perdre de précieuses heures.
L’avis de l’expert
Dans les grands comptes où j’ai piloté le patch management, la gestion d’incident ne reposait jamais sur l’improvisation : une procédure, un responsable désigné, une horloge qui démarre dès la détection. Dans les PME que j’accompagne, je constate l’inverse : on découvre la fuite un vendredi soir, on passe le week-end à réparer, et on pense à la CNIL le mardi, quand le délai est déjà dépassé.
Ma méthode est simple. Je fais rédiger une fiche réflexe d’une page, je crée un registre des violations vide mais prêt, et j’organise chaque année un exercice de 30 minutes : « la boîte mail de la comptable vient d’être piratée, que faites-vous ? ». Ce test révèle presque toujours un trou : personne ne sait qui décide.
Mon conseil concret : réduisez le nombre d’incidents qui méritent une notification. La plupart des fuites que je vois en PME viennent d’une faille connue non corrigée ou d’un compte sans double authentification. Une gestion des correctifs rigoureuse et des portables chiffrés font passer beaucoup d’incidents de la case « risque élevé » à la case « registre seulement ».
Et pour les PME du 92 ?
Pour une TPE ou une PME de La Garenne-Colombes, Courbevoie, Nanterre, Colombes, Puteaux, Rueil-Malmaison ou Levallois-Perret, le facteur critique est le temps : il faut contenir l’incident et réunir les éléments de la notification en moins de 72 heures, week-end compris.
Prenons un exemple type : un cabinet de 12 personnes à Colombes découvre un samedi matin qu’une boîte Microsoft 365 a envoyé des centaines de faux mails à ses clients. Il faut bloquer le compte, vérifier les règles de transfert créées par le pirate, identifier les données accessibles dans la boîte (factures, RIB, pièces d’identité) et décider avant le mardi matin s’il faut notifier.
SOSPC82 intervient sur place 24 h/24 et 7 j/7 dans les Hauts-de-Seine pour la réponse à incident cyber : confinement, conservation des preuves, analyse de l’étendue de la fuite et aide à la rédaction des éléments techniques de la notification. Consultez nos zones d’intervention pour le détail des communes couvertes. Pour éviter que l’incident ne se reproduise, une infogérance PME et TPE assure la supervision, les mises à jour et les sauvegardes au quotidien. Si l’incident est un rançongiciel, suivez aussi notre guide que faire en cas d’attaque par rançongiciel dans une PME, et pensez à couper les accès des anciens salariés, comme détaillé dans notre article sur le départ d’un salarié et la sécurisation des accès.
Questions fréquentes
Combien de temps ai-je pour déclarer une fuite de données à la CNIL ?
Vous avez 72 heures à partir du moment où vous avez une certitude raisonnable que des données personnelles sont touchées. Ce délai inclut les week-ends et jours fériés. En cas de retard, il faut quand même notifier en expliquant les motifs.
Un mail envoyé au mauvais destinataire est-il une violation de données ?
Oui, s’il contient des données personnelles, c’est une violation de confidentialité. Elle doit au minimum être inscrite au registre interne. La notification à la CNIL dépend du risque : un fichier avec des IBAN ou des données de santé justifie une notification, un simple nom souvent non.
Faut-il notifier la CNIL si les données étaient chiffrées ?
Si les données étaient chiffrées avec un algorithme solide et que la clé n’a pas été compromise, la CNIL considère généralement qu’il n’y a pas de risque. L’incident doit tout de même être consigné dans le registre, avec la justification de l’absence de notification.
Une TPE sans délégué à la protection des données doit-elle notifier ?
Oui, l’obligation de notifier concerne tout responsable de traitement, quelle que soit sa taille. Le dirigeant ou une personne désignée remplit le téléservice et indique ses coordonnées comme contact. L’absence de délégué ne dispense d’aucune obligation.
Que faire si je ne connais pas encore l’ampleur de la fuite ?
Envoyez une notification initiale dans les 72 heures avec les informations disponibles et des estimations. Vous la compléterez par une notification complémentaire dès que l’enquête technique aura progressé.
Faut-il porter plainte en plus de la notification CNIL ?
Oui, en cas de cyberattaque, la CNIL recommande de déposer plainte et de conserver les preuves techniques. La plainte et la notification sont deux démarches distinctes : l’une vise l’auteur, l’autre répond à votre obligation RGPD.
En résumé
- Toute violation de données personnelles va au registre interne ; si elle présente un risque, la CNIL doit être notifiée sous 72 heures, et les personnes prévenues si le risque est élevé.
- Le délai court dès la certitude raisonnable de l’incident : une notification initiale incomplète vaut mieux qu’un retard.
- Chiffrement, sauvegardes testées, correctifs à jour et double authentification réduisent à la fois le nombre de fuites et leur gravité.
Une fuite de données en cours ou un doute sur la conduite à tenir ? Faites appel à notre service de réponse à incident cyber ou appelez le 07 69 36 92 60, 24 h/24 et 7 j/7 dans les Hauts-de-Seine. Pour vous préparer à froid, un audit de cybersécurité PME fait le point sur vos données et vos protections ; devis gratuit sous 24 h.
K.A, fondateur SOSPC82
Sources
- Notifier une violation de données personnelles, CNIL, mai 2018 (page de service en ligne)
- Violations de données personnelles : les règles à suivre, CNIL, juin 2018
- Rapport annuel : le bilan et les actions marquantes de la CNIL en 2025, CNIL, 18 mai 2026
- RGPD, chapitre VIII, article 83 : conditions générales pour imposer des amendes administratives, CNIL
- Violations de données : 2024, une année record selon la CNIL, Blog du Modérateur, 29 avril 2025