Fuite de données : RGPD, CNIL et votre responsabilité

Qu'est-ce qu'une violation de données au sens du RGPD ?

Le RGPD définit une violation de données personnelles comme tout incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Cela couvre un champ large : un email envoyé au mauvais destinataire, un ordinateur volé contenant des fichiers clients non chiffrés, une cyberattaque avec exfiltration de données, ou un rançongiciel qui a chiffré une base contenant des informations clients.

Toutes les violations ne se valent pas : la notification à la CNIL n'est obligatoire que si l'incident est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. En pratique, la grande majorité des violations franchit ce seuil, seules les violations mineures et sans risque avéré (données déjà intégralement chiffrées avec une clé non compromise, par exemple) peuvent en être exemptées.

Vos données sont externalisées ? Vous restez responsable. 

Le RGPD distingue deux rôles. Le responsable de traitement décide pourquoi et comment les données personnelles sont collectées et utilisées, c'est l'entreprise elle-même dans l'immense majorité des cas. Le sous-traitant traite ces données pour le compte du responsable, sur ses instructions : c'est le rôle d'un hébergeur cloud, d'un éditeur de logiciel RH ou comptable, ou d'un prestataire de maintenance informatique ayant accès aux systèmes.

Le sous-traitant a ses propres obligations, l'article 28 du RGPD l'oblige à agir sur instruction écrite, à garantir un niveau de sécurité adapté et à prouver sa conformité, et il peut lui-même être sanctionné en cas de manquement. Mais cela ne décharge pas le responsable de traitement de la sienne. En cas de fuite chez un prestataire, c'est l'entreprise cliente qui reste tenue de qualifier le risque, de notifier la CNIL si nécessaire, et qui s'expose aux sanctions en cas de manquement, pas seulement son prestataire. Le choix d'un prestataire et la solidité du contrat qui l'encadre font donc partie intégrante de la sécurité de l'entreprise, au même titre que ses propres systèmes.

Le délai de 72 heures : ce qu'il faut savoir

L'article 33 du RGPD impose de notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation. Trois précisions changent concrètement la façon de gérer ce délai.

Le compteur démarre à la connaissance de l'incident. Une intrusion qui a eu lieu plusieurs semaines avant sa détection ne fait courir le délai qu'à partir du moment où vous en prenez connaissance, mais démontrer une détection tardive peut, en soi, être questionné par la CNIL. Le délai court en jours calendaires, week-ends et jours fériés compris, ce n'est pas un délai de 72 heures ouvrées. Une notification initiale incomplète est acceptée, et même recommandée : la CNIL n'attend pas une analyse exhaustive avant la première notification, indiquez ce que vous savez avec certitude, ce qui est encore en cours d'investigation, et le délai prévu pour compléter. Attendre d'avoir une vision complète de l'incident avant de notifier est l'une des erreurs les plus fréquentes et les plus coûteuses, elle conduit presque systématiquement à dépasser le délai légal, sanctionnable indépendamment de la gravité de l'incident initial.

Si le risque pour les personnes concernées est qualifié d'élevé, une obligation supplémentaire s'ajoute au titre de l'article 34 : informer directement les personnes concernées, pas seulement la CNIL.

Le vrai risque au-delà de l'amende : la fraude qui suit la fuite

Une violation de données ne s'arrête pas au moment où elle est découverte et notifiée. Les données volées, noms, adresses, informations fiscales ou bancaires, deviennent ensuite une matière première pour des fraudes secondaires, souvent bien après l'incident initial.

L'actualité récente en offre une illustration directe. La Direction générale des finances publiques a confirmé en août 2026 deux accès frauduleux à ses systèmes, survenus en juin et en juillet, ayant exposé les données fiscales d'au moins 678 000 particuliers et professionnels. Le ministère a précisé que ces accès reposaient sur l'usurpation des identifiants d'un agent de la DGFiP et d'un tiers habilité. Sa directrice générale a indiqué que la première intrusion n'avait été rendue possible que par une combinaison de comptes compromis, et que les investigations menées après la fermeture de l'accès en juin n'avaient pas détecté le vol de données à l'époque.

Deux leçons s'en dégagent. La première rejoint le point de responsabilité ci-dessus : l'un des accès compromis appartenait à un tiers habilité, ce qui rappelle que le point d'entrée d'une fuite ne se limite jamais à vos propres équipes. La seconde porte sur l'après : ces données pourraient être réutilisées pour usurper l'identité de l'administration fiscale et tromper les contribuables concernés, un scénario qui rejoint directement le mécanisme de la fraude au président ou de la fraude au changement de RIB car plus un fraudeur dispose d'informations authentiques sur sa cible, plus son message paraît légitime.

Ce type d'incident doit renforcer un réflexe précis : toute demande de changement de coordonnées bancaires, qu'elle vienne d'un fournisseur, d'un salarié, ou même d'un organisme public comme l'administration fiscale, mérite une vérification par un canal indépendant avant tout paiement. Le dispositif VoP de sécurisation des virements SEPA renforce ce contrôle.

Pour une entreprise victime d'une fuite de données clients ou fournisseurs, cette dimension mérite d'être anticipée dans la communication post-incident : prévenir les personnes concernées qu'elles pourraient être ciblées par des tentatives d'usurpation dans les semaines suivantes réduit concrètement le risque qu'une seconde fraude ne s'ajoute à la première.

Ce que risque une entreprise qui ne notifie pas

Le défaut de notification, lorsqu'elle était obligatoire, est sanctionnable en tant que tel par la CNIL, indépendamment de la faute de sécurité ayant causé la violation initiale. Les sanctions pour manquement aux obligations de notification (article 33) et d'information (article 34) peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel.

Un exemple récent illustre l'ampleur que peuvent atteindre ces sanctions : en janvier 2026, la CNIL a prononcé deux sanctions totalisant 42 millions d'euros à l'encontre d’un grand acteur de la téléphonie mobile, notamment pour insuffisance des mesures de sécurité (absence d'authentification multi-facteurs sur des accès critiques) et conservation excessive de données. Ce dossier concerne un grand groupe, mais le principe qui le sous-tend, l'insuffisance de mesures de sécurité de base aggrave la sanction, s'applique à toute taille d'entreprise.

Au-delà de l'amende, la CNIL peut rendre publique sa décision de sanction : un risque réputationnel souvent aussi redouté que le montant financier, qui rejoint les enjeux traités dans notre article sur l'e-réputation.

Ce qu'il faut vérifier avant de signer avec un prestataire

Un contrat avec un prestataire qui traite des données personnelles pour le compte de l'entreprise doit prévoir l'obligation pour le prestataire de notifier toute violation dans un délai permettant à l'entreprise de respecter ses propres 72 heures, l'encadrement de toute sous-traitance ultérieure par le prestataire lui-même, un droit d'audit ou a minima la fourniture de garanties de sécurité documentées, et la localisation des données ainsi que les conditions de leur transfert hors de l'Union européenne le cas échéant. Ce point rejoint les exigences portées par la directive NIS2 sur la sécurisation de la chaîne de prestataires, dans une logique plus large que la seule protection des données personnelles.

Comment se préparer avant qu'un incident ne survienne

1. Rédigez une procédure de gestion des violations en amont, avec les rôles et responsabilités clairement identifiés : qui qualifie le risque, qui rédige la notification, qui valide l'envoi.
2. Désignez une cellule de crise, en cohérence avec votre Plan de Continuité d'Activité.
3. Préparez des modèles de notification pour les scénarios les plus probables selon votre activité (fuite de données clients, de données RH, de données bancaires), pour ne pas avoir à rédiger à froid en pleine gestion de crise.
4. Tenez votre registre des violations à jour, même pour les incidents non notifiés à la CNIL, c'est une obligation distincte, l'absence de registre est sanctionnable indépendamment du reste.
5. Si un prestataire vous informe d'une fuite, demandez-lui le détail de l'incident, nature des données concernées, nombre de personnes touchées, cause identifiée, pour pouvoir qualifier vous-même le risque plutôt que de vous reposer sur son analyse.
6. Vérifiez le délai qui s'est écoulé entre sa découverte de l'incident et son information à votre égard, un délai trop long peut déjà compromettre votre propre respect des 72 heures.

FAQ

Faut-il notifier même une violation mineure, comme un email envoyé au mauvais destinataire interne ?

En principe non, si l'incident reste interne à l'entreprise et ne présente pas de risque réel pour les personnes concernées. En cas de doute, la CNIL recommande de notifier plutôt que de s'abstenir.

Si mes données sont piratées chez mon hébergeur cloud, est-ce lui qui doit notifier la CNIL ?

Non. Le sous-traitant doit informer l'entreprise cliente de l'incident, mais c'est l'entreprise, en tant que responsable de traitement, qui doit notifier la CNIL si le risque le justifie.

Un sous-traitant peut-il être sanctionné directement par la CNIL ?

Oui, le RGPD lui impose ses propres obligations de sécurité et de conformité, et il peut être sanctionné pour leur manquement. Cela s'ajoute à la responsabilité de l'entreprise cliente.

Combien de temps ai-je pour compléter une notification initiale incomplète ? 

Le RGPD impose une transmission sans délai indu pour les informations complémentaires. En pratique, la CNIL attend généralement une complétion sous deux à quatre semaines, sauf complexité technique particulière justifiant un délai plus long.

La notification à la CNIL suffit-elle, ou dois-je aussi prévenir mes clients ? 

Cela dépend du niveau de risque. Si le risque pour les personnes concernées est qualifié d'élevé, données bancaires ou de santé, mots de passe non chiffrés, possibilité d'usurpation d'identité, vous devez les informer directement, en plus de la notification à la CNIL.

Le piratage de la DGFiP concernait-il des entreprises ou seulement des particuliers ?

Les deux. Le ministère a confirmé que les données exposées concernaient à la fois des particuliers et des professionnels, pour un total d'au moins 678 000 personnes concernées.