Mon organisation subit une violation de données
Une violation de données ne se traite pas seulement comme un incident informatique. Il faut contenir l’incident, documenter les faits, évaluer le risque pour les personnes et vérifier rapidement les obligations de notification et d’information.
À faire maintenant
- Contenez l’incident sans détruire les preuves. Identifiez la nature de la violation, les catégories de données, le nombre approximatif de personnes et d’enregistrements concernés, les conséquences possibles et les mesures déjà prises. Inscrivez la violation dans votre registre interne.
- Évaluez le risque pour les droits et libertés des personnes. Si la violation présente un risque, notifiez-la à la CNIL au plus tôt et, si possible, dans les 72 heures après en avoir pris connaissance. Si toutes les informations ne sont pas encore disponibles, une notification initiale peut être complétée ensuite.
- Si le risque est élevé, informez aussi les personnes concernées dans les meilleurs délais, avec des termes clairs : ce qui s’est passé, les conséquences possibles, le contact utile, les mesures prises et les recommandations pour se protéger. En cas de cyberattaque, conservez les preuves techniques et envisagez le dépôt de plainte.
Qui contacter ?
À éviter
- N’attendez pas que les personnes concernées ou un tiers découvre l’incident pour commencer à le qualifier.
- Ne supprimez pas ou ne réinstallez pas précipitamment les systèmes si cela détruit les éléments nécessaires à l’analyse.
- Ne décidez pas de notifier uniquement en fonction de la gravité technique : l’analyse doit porter sur le risque pour les personnes.
Après l’urgence
- Mettez à jour le registre des violations avec les faits, effets et mesures correctrices, même si aucune notification CNIL n’est requise.
- Si le délai de 72 heures est dépassé alors qu’une notification est requise, notifiez tout de même et expliquez les motifs du retard.
- Après stabilisation, corrigez la cause, révoquez les accès compromis, surveillez les récidives et vérifiez que les procédures internes et contrats de sous-traitance permettent une alerte rapide.
Conseils vérifiés à partir de CNIL · 01/10/2026 12:18
