Violation de données : la procédure des 72 heures pour PME

Que faire, heure par heure, dans les 72 heures qui suivent la découverte d'une fuite de données dans une PME, pour respecter l'obligation de notification à la CNIL ?

En 2025, la CNIL a reçu 6 167 notifications de violations de données personnelles selon son bilan annuel. Ce n'est donc pas un scénario d'école : c'est une procédure que la plupart des PME finiront par déclencher au moins une fois. La question n'est pas de savoir si le RGPD l'exige — l'article 33 le dit clairement — mais ce qu'un dirigeant sans juriste interne fait, concrètement, dans les 72 heures qui suivent la découverte d'un incident.

Heure 0 : qualifier l'incident, pas le confirmer

Le compteur des 72 heures démarre au moment où vous avez « connaissance » de la violation, pas au moment où elle s'est produite. Et « connaissance » ne veut pas dire certitude absolue : il suffit d'un degré de certitude raisonnable qu'un incident de sécurité a affecté des données personnelles. C'est le piège le plus fréquent en PME : attendre que l'équipe technique ait terminé son analyse forensique complète avant de considérer que l'horloge tourne. Ce réflexe est compréhensible — on ne veut pas alerter pour rien — mais il coûte des heures qui ne se rattrapent pas, puisque le délai court week-ends et jours fériés compris, sans suspension pour un vendredi soir ou un jour férié, comme le rappelle le guide CNIL sur la notification.

Autre point que les dirigeants de PME sous-estiment : c'est vous, responsable de traitement, qui devez notifier — même quand la faille vient d'un prestataire (hébergeur, éditeur de logiciel de paie, CRM en SaaS). La CNIL le rappelle explicitement dans son retour d'expérience sur une cyberattaque ayant touché un sous-traitant : celui-ci dispose de 72 heures depuis la découverte de l'incident pour notifier, mais la responsabilité de la notification à l'autorité de contrôle reste attachée au responsable de traitement, pas au sous-traitant qui a subi l'attaque techniquement. Si votre outil de paie externalisé est compromis, ce n'est pas lui qui notifie la CNIL à votre place : c'est vous.

À l'heure 0, la seule décision qui compte est donc : qualifier l'incident comme violation probable de données personnelles et déclencher la procédure interne, sans attendre d'avoir toutes les réponses.

Constituer la cellule de crise minimale d'une PME

Une PME de 20 à 200 salariés n'a généralement ni RSSI, ni DPO à temps plein, ni service juridique. La cellule de crise n'a donc pas besoin d'être une structure lourde ; elle a besoin d'être nommée à l'avance, avec un rôle par personne :

  • Un décideur — le dirigeant ou son représentant direct — qui tranche sur l'évaluation du risque et valide l'envoi de la notification. Sans ce rôle explicite, chaque étape attend une validation informelle qui n'arrive jamais assez vite.
  • Un référent technique (interne ou prestataire IT externalisé) qui isole les systèmes compromis et documente le périmètre : nature de l'incident, catégories de données touchées, nombre approximatif de personnes concernées.
  • Un rédacteur qui remplit le formulaire de notification pendant que le référent technique investigue encore — ces deux tâches doivent tourner en parallèle, pas en séquence.
  • Un point de contact désigné, dont les coordonnées figurent dans le formulaire même en l'absence de DPO.

Le mécanisme qui fait perdre des heures n'est pas technique, il est organisationnel : sans rôles distribués à l'avance, la première réaction d'une PME est de chercher qui doit s'en occuper avant de s'en occuper. La section « identification du responsable de traitement » du formulaire CNIL — raison sociale, SIREN, adresse, coordonnées du point de contact — peut et doit être pré-remplie dans un plan de réponse à incident avant qu'un incident survienne, exactement pour ne pas perdre de temps sur des champs qui ne dépendent d'aucune investigation.

La grille qui détermine si la CNIL doit être notifiée

Toutes les violations ne se valent pas, et la procédure se ramifie selon le niveau de risque pour les personnes concernées. La grille à trois paliers est la suivante :

  • Risque peu probable : le registre interne des violations suffit, la CNIL n'a pas besoin d'être notifiée. C'est le cas, par exemple, d'un fichier de données entièrement chiffré perdu alors que la clé de chiffrement reste sécurisée.
  • Risque probable : notification à la CNIL obligatoire sous 72 heures.
  • Risque élevé probable : notification à la CNIL et communication aux personnes concernées, sauf exception.

Ce découpage vient directement des textes et structure le mode d'emploi que suivent les cabinets spécialisés. Ce qui différencie un risque « probable » d'un risque « élevé » n'est pas le volume de données seul, mais leur nature et leur réversibilité : un fichier d'adresses email professionnelles exposé en interne pèse moins qu'un fichier contenant des IBAN, des mots de passe en clair ou des données de santé, où le préjudice (fraude bancaire, usurpation d'identité) est direct et difficile à annuler. La règle pratique tient en une phrase : en cas de doute sur le niveau de risque, on notifie — une notification qui s'avère non nécessaire n'expose à aucune sanction, alors qu'une non-notification injustifiée expose jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Remplir et envoyer la notification à la CNIL avant l'heure 72

La notification se fait exclusivement en ligne, via le téléservice notifications.cnil.fr — il n'existe pas de procédure papier. Le formulaire reprend les quatre éléments de l'article 33(3) : description de la violation (nature, catégories de données, nombre approximatif de personnes et d'enregistrements), coordonnées du point de contact, conséquences probables, mesures prises ou envisagées. Il est structuré en sections détaillées — identification du responsable de traitement, nature de la violation, catégories de données affectées, personnes concernées, conséquences probables, mesures prises — que le téléservice fait remplir pas à pas, et peut être sauvegardé en brouillon.

C'est ce dernier point qui désamorce l'objection la plus fréquente en PME : « on préfère attendre d'avoir un dossier complet plutôt que d'envoyer quelque chose à moitié rempli, ça fait plus sérieux face au régulateur ». Cette position semble responsable, mais elle est fausse sur le plan de la procédure. L'article 33(4) prévoit explicitement la notification échelonnée : vous déposez une notification initiale sous 72 heures avec ce que vous savez, vous la signalez comme incomplète, et vous la complétez « sans délai indu » ensuite. Le téléservice porte un indicateur dédié à cet effet. La CNIL attend précisément ce dépôt initial partiel — retenir la notification pour la « compléter avant d'envoyer » ne rend pas le dossier plus solide, cela transforme simplement un dépôt dans le délai en un dépôt hors délai, sanctionnable comme tel.

Sources