Vous entrez dans un espace virtuel nous permettant de vous présenter nos activités, et vous offrant la possibilité d'entrer en contact avec notre accueil commercial dans le cadre d'une relation BtoB.
Notre site collecte des informations sur votre visite et utilise des modules strictement nécessaires. Ces informations ne nous permettent pas d'identifier les visiteurs et d'utiliser les données à des fins commerciales.
Afin de vous proposez d'entrer en contact avec nous, et des réaliser des statistiques plus précises, nous devons vous demander l'autorisation pour utiliser des modules complémentaires.
Il s'agit de données vous assurant un affichage correct des pages selon votre appareil, permettant d'assurer la sécurité du notre site, de proposer des moyens de contact et de réaliser des statistiques anonymes.
Le stockage ou l’accès technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou la personne utilisant le service.
Ils s'agit de données nous permettant de réaliser des analyses statistiques anonymes plus précises et notamment l'ordre des pages qu'un visiteur consulte
Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Il s'agit des données individuelles collectées via les intégrations de notre CRM nous permettant de savoir par exemple si vous avez déjà visité notre site.
Modèles de notification de violation de données pour le RGPD
Une notification de violation de données repose sur trois réflexes : consigner chaque violation dans un registre, notifier la CNIL sous 72 heures lorsqu’elle présente un risque pour les personnes, et les informer sans délai lorsque le risque est élevé.
C’est la règle de base. Et elle tient sur 3 niveaux d’action, avec un point de départ unique : l’heure de découverte de l’incident.
En pratique, il faut retenir aussi ceci :
Le point le plus utile ici n’est pas un long rappel juridique. C’est de savoir quoi faire, qui prévenir, dans quel ordre, et quel modèle utiliser.
Comparaison rapide
En bref, si vous voulez éviter l’erreur classique, faite simple : sécuriser, documenter, évaluer le risque, puis envoyer le bon message au bon destinataire.
Modèles de checklist pour la notification de violation de données : par destinataire et déclencheur légal
Trois modèles couvrent les cas les plus utiles : la notification à la CNIL, la communication aux personnes concernées et le registre interne. Le plus simple est de partir de la notification à la CNIL, puis de vérifier si un message aux personnes s’impose, tout en mettant à jour le registre interne.
Checklist de notification de violation de données à la CNIL : champs obligatoires et délai de 72 heures
Ce modèle s’applique dès qu’une violation crée un risque pour les droits et libertés des personnes. La notification doit parvenir à la CNIL dans les 72 heures suivant la prise de connaissance de l’incident.
À remplir :
Si vous n’avez pas tout dans les 72 heures, n’attendez pas d’avoir un dossier parfait ; vous pouvez solliciter une assistance RGPD pour gérer l’urgence. Envoyez d’abord les informations connues, puis complétez la notification dès que possible.
Checklist de communication aux personnes concernées : que doit contenir une notification de violation de données à risque élevé ?
Ce modèle ne s’active que lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des individus. C’est le cas, par exemple, en présence d’un risque d’usurpation d’identité, de fraude ou de perte financière.
La communication doit être rédigée en termes clairs et simples. En pratique, elle doit contenir une description facile à comprendre de l’incident, les conséquences probables pour la personne, les mesures concrètes à prendre pour se protéger, ainsi que les coordonnées du DPO pour toute question. En France, il faut aussi conserver une preuve d’envoi et de réception.
Le registre interne doit également noter la décision de communiquer, ou non, aux personnes concernées, avec le motif associé.
Registre interne des violations et checklist institutionnelle EDPS
En parallèle de toute démarche externe, documentez l’incident dans le registre interne.
Le registre interne est obligatoire pour toute violation de données personnelles, même lorsqu’aucune notification externe n’est requise. Chaque entrée doit couvrir la date et l’heure de découverte, la chronologie des événements, les systèmes et catégories de données affectés, l’évaluation du risque, les actions de confinement, la cause racine identifiée et les mesures de remédiation mises en place.
Dans un cadre institutionnel, le rapport EDPS suit une structure à part. Il se distingue du registre interne et comprend : la description de la violation, les coordonnées du DPO ou du point de contact, les conséquences probables, ainsi que les mesures prises ou prévues.
sbb-itb-9879cb5
Tableau comparatif : quel modèle utiliser pour votre notification de violation de données ?
Après les modèles par destinataire, ce tableau vous aide à choisir le bon format selon le déclencheur. C’est le genre de repère qui fait gagner du temps quand l’incident vient de tomber et qu’il faut agir sans se perdre dans les détails.
Destinataire, déclencheur, délai et champs essentiels en un coup d’œil
Ce tableau résume le modèle à utiliser selon le destinataire, le risque et le délai.
En clair, tout se joue autour de quatre points : qui reçoit l’information, ce qui déclenche l’obligation, dans quel délai, et quelles preuves garder. Si vous avez déjà bénéficié d’un accompagnement RGPD pour gérer une alerte en urgence, vous savez à quel point ce genre de vue d’ensemble évite les erreurs bêtes.
Une fois le bon modèle identifié, passez aux actions à mener dans les 72 heures.
Les étapes à suivre pendant les 72 premières heures
RGPD : Les 72 heures pour gérer une violation de données
Le tableau comparatif vous a aidé à repérer le bon modèle. Maintenant, passons à l’ordre d’action dès qu’un incident est détecté.
Gestion de l’incident : contenir, documenter et évaluer le risque avant la notification de violation de données
Dès qu’une violation est découverte, la priorité est simple : contenir l’incident. Il faut isoler les systèmes compromis, bloquer les accès non autorisés et réinitialiser les identifiants concernés. En même temps, conservez les preuves : journaux informatiques, captures d’écran et rapports issus des outils de sécurité. En cas de contrôle, ces éléments montrent le sérieux de l’organisation.
Ouvrez aussi le registre interne sans tarder. Notez la nature de l’incident, les données touchées, le nombre approximatif de personnes concernées et l’heure de découverte. C’est cette heure qui lance le délai de 72 heures.
Le DPO doit ensuite statuer tout de suite : simple inscription au registre interne, notification à la CNIL, ou communication aux personnes concernées. Ce choix fixe aussitôt le contenu des messages à préparer.
Préparer la notification à l’autorité et décider de la communication aux personnes concernées
Pendant l’investigation, remplissez le modèle de notification à la CNIL avec les faits déjà confirmés. L’idée est claire : envoyer un premier dossier dans le délai légal, puis le compléter dès que possible.
En parallèle, le DPO évalue si la violation peut entraîner un risque élevé pour les personnes concernées. Si oui, mieux vaut préparer sans attendre le modèle de communication à leur destination, sans patienter jusqu’à la fin du délai. Le RSSI fournit les faits techniques, le DPO qualifie le risque, et la direction valide le message.
Une fois les envois partis, le travail documentaire ne s’arrête pas.
Finaliser les documents, la remédiation et le suivi
Le registre interne doit être mis à jour au fil de l’eau avec les actions correctives engagées : correctifs de sécurité, renforcement du chiffrement, formation du personnel. Si de nouvelles informations importantes apparaissent après l’envoi initial, une notification complémentaire doit être transmise à la CNIL.
Archivez l’accusé de réception, les messages envoyés, les preuves d’envoi et le rapport post-incident. Ensemble, ces pièces complètent le dossier de conformité.
Pour aller droit au but, voici la chronologie à suivre sur 72 heures.
Notes d’implémentation françaises et conclusion
Bonnes pratiques : mise en forme et formulation des notifications de violation de données
Avant chaque envoi, appliquez les mêmes règles de forme. Le but est simple : garder des notifications claires, nettes et faciles à valider en interne.
Utilisez toujours les formulations suivantes : « données à caractère personnel » et « violation de données à caractère personnel ». Mentionnez aussi la base légale selon le destinataire :
Dans l’en-tête, faites figurer : raison sociale, SIRET, siège social, N/Réf., Objet et À l’attention de. Si la communication porte sur un risque élevé, la LRAR est à privilégier. Et sur le fond, allez droit au but : décrivez l’incident avec des mots simples, sans jargon.
En pratique, ces règles limitent les écarts de présentation et font gagner du temps au moment de la relecture.
Points clés pour une notification de violation conforme
Chaque incident doit être inscrit dans le registre interne. La notification à la CNIL n’est obligatoire que si la violation présente un risque pour les droits et libertés des personnes. Et l’information des personnes concernées ne s’impose que si ce risque est élevé.
Autre point à ne pas rater : le délai de notification à la CNIL commence dès la découverte de la violation, pas une fois l’incident résolu. C’est un détail en apparence, mais il change tout dans la gestion du calendrier.
Gardez aussi un dossier complet sous la main : registre, preuves techniques et copies des notifications. En cas de contrôle, mieux vaut avoir un dossier propre que devoir tout reconstituer dans l’urgence.
Si votre structure n’a pas de DPO interne, ou si l’incident sort un peu de l’ordinaire, un appui externe peut être utile pour qualifier l’incident, tenir les délais et documenter le dossier.
FAQs
Comment distinguer un risque d’un risque élevé ?
La différence se joue dans l’évaluation de l’effet possible de la violation sur les droits et libertés des personnes concernées.
Un risque élevé renvoie à des effets graves : vol d’identité, fraude, perte financière, atteinte à la réputation, ou exposition de données sensibles. Dit simplement, plus la violation peut nuire concrètement aux personnes, plus le niveau de risque monte.
L’analyse doit reposer sur des critères objectifs : la nature et la sensibilité des données, le contexte de la violation, et le risque d’une réutilisation malveillante. Il faut aussi la consigner par écrit pour pouvoir justifier la décision de notifier – ou non – les personnes concernées.
Que faire si le délai de 72 heures est dépassé ?
Si le délai de 72 heures pour notifier la CNIL est dépassé, faites la notification dès que possible. Expliquez clairement la raison du retard – par exemple les analyses déjà menées, et les mesures prises entre-temps – et joignez votre analyse de risque documentée.
Si la violation peut entraîner un risque élevé pour les droits et libertés des personnes, informez aussi les personnes concernées dans les meilleurs délais, même si la notification arrive en retard.
Qui décide s’il faut prévenir la CNIL ou les personnes ?
C’est le responsable de traitement qui tranche, après avoir analysé l’incident, pour savoir s’il faut notifier la CNIL ou informer les personnes concernées.
Le point de départ, c’est l’évaluation du risque pour les droits et libertés. Si un risque existe, la notification à la CNIL doit être faite dans un délai de 72 heures. L’information des personnes concernées, elle, n’est demandée qu’en cas de risque élevé.
Cette analyse ne doit pas rester informelle. Elle doit être documentée, avec l’appui du DPO.
Articles récents
Thèmes
Catégories