L’article 33 du RGPD impose au responsable de notifier une violation à l’autorité compétente sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d’engendrer un risque pour les droits et libertés. La première décision consiste donc à qualifier la violation, fixer le moment de prise de connaissance et évaluer ce risque. Toute violation doit être documentée, y compris lorsqu’elle n’est pas notifiée.
La bonne application de l’article 33 repose sur une collaboration étroite avec le délégué à la protection des données et sur des contrats clairs avec les sous-traitants.
Points Clés
- L’article 33 impose une notification à l’autorité de contrôle sans retard injustifié, si possible dans les 72 heures après prise de connaissance ; un dépassement doit être motivé.
- Seules les violations présentant un risque pour les droits et libertés des personnes physiques doivent être notifiées.
- La notification doit contenir la nature de la violation, les catégories de données concernées, le nombre approximatif de personnes affectées et les mesures correctives.
- Le responsable de traitement doit documenter toute violation dans un registre interne des incidents, y compris celles non notifiées.
Définition de la violation de données au sens du RGPD
L’article 33 s’applique à toute violation de la sécurité entraînant la destruction, la perte, l’altération ou la divulgation non autorisée de données personnelles. Cette définition, issue de l’article 4 du RGPD, couvre un spectre large d’incidents.
On distingue trois catégories de violations. La violation de confidentialité correspond à un accès ou une divulgation non autorisés. La violation d’intégrité survient lorsque des données sont altérées, par exemple suite à un rançongiciel. La violation de disponibilité concerne la perte d’accès aux données, temporaire ou définitive.
Point de départ du délai de notification
Le délai de 72 heures court non pas depuis la violation elle-même, mais depuis le moment où le responsable de traitement en prend connaissance. Selon les lignes directrices 9/2022 du CEPD, version finale, cette prise de connaissance s’entend du moment où l’organisation dispose d’un degré raisonnable de certitude qu’un incident a compromis des données personnelles.
Une alerte de sécurité non investiguée ne reporte pas indéfiniment le délai. Si un responsable reçoit une alerte le lundi mais ne l’examine que le jeudi, la CNIL pourra considérer que la prise de connaissance aurait dû intervenir plus tôt.
Le délai de 72 heures commence dès qu’il existe un degré raisonnable de certitude que des données personnelles ont été compromises.
Évaluation du risque et décision de notification
L’article 33 précise que la notification n’est pas requise lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Ce seuil impose une évaluation rigoureuse et documentée.
Critères d’évaluation du risque
Plusieurs facteurs entrent en jeu. La nature et la sensibilité des données compromises constituent le premier critère : des données de santé présentent un risque intrinsèquement plus élevé que des coordonnées professionnelles publiques. Le volume de données et le nombre de personnes concernées influencent l’ampleur du risque. La facilité d’identification des personnes est déterminante : un chiffrement robuste dont la clé n’est pas compromise peut réduire le risque de divulgation, mais pas nécessairement les conséquences d’une indisponibilité. Si les données étaient réellement anonymes avant l’incident, leur qualification doit être distinguée de celle des données personnelles.
Le registre des traitements à jour facilite cette évaluation en fournissant une cartographie des données traitées et des mesures de sécurité en place.
Contenu obligatoire de la notification
L’article 33, paragraphe 3, énumère les informations obligatoires de la notification. Celle-ci doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés. Elle doit communiquer les coordonnées du DPO ou d’un point de contact. Elle doit exposer les conséquences probables et décrire les mesures prises ou proposées pour remédier à la violation.
L’article 33, paragraphe 4, autorise une notification échelonnée lorsque toutes les informations ne sont pas disponibles dans les 72 heures. La CNIL met à disposition un téléservice qui facilite cette approche progressive. Les informations manquantes sont communiquées sans retard indu. L’absence de chiffres définitifs ne justifie pas d’attendre la fin de l’investigation.
Obligations du sous-traitant en cas de violation
L’article 33, paragraphe 2, impose au sous-traitant de notifier le responsable de traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Le sous-traitant ne notifie pas directement la CNIL, mais doit transmettre l’information sans retard injustifié.
Cette obligation doit être formalisée dans le contrat de sous-traitance conformément à l’article 28. Prévoyez une alerte initiale rapide, les contacts de remplacement et des compléments. Un maximum contractuel de 24 heures peut organiser l’escalade, mais ne donne pas au sous-traitant le droit d’attendre s’il peut alerter plus tôt.
Une fiche de décision pour les premières heures
| Élément | Contenu à renseigner |
|---|---|
| Prise de connaissance | Date, heure, fuseau, faits donnant une certitude raisonnable et auteur du constat |
| Périmètre | Applications, personnes, catégories de données et volumes connus ou estimés |
| Effets | Confidentialité, intégrité, disponibilité ; conséquences possibles pour les personnes |
| Incertitudes | Questions encore ouvertes et investigations affectées à un responsable |
| Décision | Notification requise ou risque improbable, avec justification et approbation |
| Suite | Autorité compétente, heure d’envoi, numéro de dossier et prochain complément |
Exemple fictif : un prestataire confirme vendredi à 18 h UTC qu’un lien public a exposé des dossiers clients. Le responsable dispose alors d’éléments suffisants sur la violation. Une échéance de 72 heures conduit au lundi à 18 h UTC ; le week-end ne suspend pas le calcul. Il doit toutefois notifier plus tôt si cela est possible sans retard injustifié, et ne pas attendre lundi pour commencer l’analyse.
Le nombre exact de dossiers peut rester incertain. L’annonce initiale distingue l’estimation disponible du chiffre confirmé et explique les mesures déjà prises. La fermeture du lien réduit l’exposition future, mais ne prouve pas que personne n’a consulté les données pendant son ouverture.
Pour choisir l’autorité, examinez l’établissement et les traitements concernés. Une entreprise sans établissement dans l’EEE ne bénéficie pas du guichet unique du seul fait qu’elle a nommé un représentant. Une activité également soumise à la loi suisse demande une analyse séparée des conditions d’annonce au PFPDT.
Documentation des violations dans le registre interne
L’article 33, paragraphe 5, impose de documenter toute violation de données dans un registre interne, en indiquant les faits, ses effets et les mesures prises. Ce registre est distinct du registre des traitements mais complémentaire.
Pour chaque incident, il faut consigner la date de découverte, la description des faits, les catégories de données et de personnes concernées, les conséquences probables, les mesures correctives et la décision de notifier ou non avec sa justification. La mise en place d’une procédure de gestion des incidents, intégrée à la démarche de conformité, garantit la réactivité exigée.
Toute violation doit être documentée, même si elle ne nécessite pas de notification à l’autorité de contrôle.
Sanctions applicables en cas de manquement
Le non-respect de l’article 33 expose à des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Les sanctions pour défaut de notification peuvent accompagner le constat d’autres manquements, notamment à la sécurité, selon les faits et les règles de l’article 83.
Au-delà des amendes, le défaut de notification engendre des conséquences réputationnelles majeures. L’adoption d’une checklist de conformité et la collecte via un formulaire conforme contribuent à réduire le risque de violation en amont.
FAQ
La notification à la CNIL est-elle obligatoire pour toute violation ?
Non. La notification n’est obligatoire que lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. Le chiffrement et la protection de la clé peuvent réduire le risque de divulgation. Examinez aussi les effets d’une perte de disponibilité ou d’intégrité avant de conclure à l’absence de risque. Toutefois, la violation doit impérativement être consignée dans le registre interne des incidents.
Que se passe-t-il si le délai de 72 heures est dépassé ?
Le responsable doit tout de même notifier en justifiant les motifs du retard, comme le prévoit l’article 33. La CNIL prend en compte la bonne foi et les circonstances, mais un retard injustifié constitue un facteur aggravant. Il est préférable de notifier tardivement que de ne pas notifier du tout.
Faut-il aussi informer les personnes concernées ?
L’obligation d’informer directement les personnes relève de l’article 34, distinct de l’article 33. Cette communication est requise lorsque la violation engendre un risque élevé pour les droits et libertés, soit un seuil plus exigeant. Le responsable doit informer sans retard injustifié, dans les conditions de l’article 34 et sous réserve de ses exceptions, notamment certaines protections rendant les données inintelligibles. La communication doit expliquer la violation, les conséquences, les mesures et le contact utile.
Conclusion
L’article 33 du RGPD constitue un pilier de la gestion des incidents de sécurité en matière de protection des données. Sa mise en oeuvre repose sur trois éléments : une procédure interne de détection rapide, une méthodologie d’évaluation des risques documentée et un registre des violations rigoureusement tenu. Les organisations qui investissent dans la préparation gèrent mieux les violations lorsqu’elles surviennent, transformant une obligation réglementaire en levier de confiance.
Sources vérifiées le 26 septembre 2026 : CNIL, procédure de notification et RGPD, articles 4, 33 et 34.