Violation de données : définition juridique et obligations RGPD
Le terme de « violation de données » — ou data breach — est au cœur du RGPD depuis son entrée en vigueur. Défini précisément à l'article 4 du règlement, il englobe bien plus que ce que l'on imagine communément : toute destruction accidentelle, toute perte, altération ou divulgation non autorisée de données personnelles constitue une violation — qu'il y ait ou non une intention malveillante.
Ce guide juridique vous explique comment le RGPD définit et qualifie une violation de données, quelles sont les trois catégories reconnues par le droit, et quelles obligations précises s'imposent à votre organisation : notification à la CNIL dans les 72 heures, information des personnes concernées, documentation dans le registre des violations.
💡 Si vous êtes confronté à un incident en cours et recherchez la procédure de réaction étape par étape avec des exemples récents (Free, Bouygues Telecom, France Travail), consultez notre guide pratique sur les fuites de données personnelles.
Qu'est-ce qu'une violation de données personnelles ?
Définition juridique selon le RGPD
Le terme de violation de données à caractère personnel est précisément défini à l'article 4 du RGPD comme "une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données".
Concrètement, une violation des données à caractère personnel correspond à tout incident de sécurité entraînant, de manière intentionnelle ou non, la destruction, la perte, la divulgation ou l'accès non autorisé à des informations personnelles. Il s'agit d'un incident qui peut aussi bien provenir d'une malveillance externe (piratage informatique, cyberattaque) que d'un accident interne (incident technique, erreur humaine, négligence).
Les trois types de violation
La violation est caractérisée lorsque l'un des trois piliers de la sécurité des données est compromis :
Violation de la confidentialité : Divulgation ou accès non autorisé de données à des personnes non habilitées. C'est le type le plus fréquent : un employé envoie des données clients par email à la mauvaise personne, un hacker accède à une base de données, un document confidentiel est publié par erreur en ligne.
Violation de l'intégrité : Altération non autorisée ou accidentelle des données. Par exemple, un ransomware modifie ou chiffre des données médicales, un employé mal intenté falsifie des données financières, une erreur de migration entraîne la corruption de données clients.
Violation de la disponibilité : Perte ou destruction des données, temporaire ou définitive. Une attaque DDoS rendant inaccessible une base de données, un incendie détruisant un serveur sans sauvegarde, ou une défaillance système entraînant la perte irrécupérable de données constituent des violations de disponibilité.
Une même violation peut combiner plusieurs types : une cyberattaque par ransomware viole simultanément la confidentialité (données exfiltrées vers les pirates), l'intégrité (données chiffrées) et la disponibilité (accès bloqué).
Exemple récent de violations massives en France
Free : une amende record de 42 millions d'euros
En fin d'année 2024, l'opérateur Free a subi une fuite massive de données exposant plusieurs millions d'abonnés, notamment leurs IBAN et coordonnées personnelles. Cette violation a valu à Free et Free Mobile une sanction historique de 42 millions d'euros prononcée par la CNIL en 2025 — un record absolu en France. La CNIL a relevé plusieurs manquements : absence d'authentification multi-facteur (MFA) sur les accès critiques, insuffisance des mesures de supervision des accès aux données, délai excessif de notification de la violation aux personnes concernées.
France Travail : des millions de demandeurs d'emploi exposés
En mars 2024, France Travail (anciennement Pôle emploi) a subi une violation massive exposant potentiellement les données de 43 millions de personnes inscrites ou ayant été inscrites depuis 20 ans : nom, prénom, date de naissance, numéro de sécurité sociale, identifiant France Travail, adresses mail et postales, numéros de téléphone. Cette violation illustre les risques spécifiques liés aux organismes publics gérant de très grandes bases de données, et la difficulté à sécuriser des systèmes vieillissants contenant des données accumulées sur des décennies.
Les obligations du responsable de traitement en cas de violation
Documenter la violation dans le registre interne
Dès qu'une violation de données est identifiée, le responsable de traitement doit la documenter dans un registre interne des violations. Cette obligation, prévue par l'article 33 du RGPD, est absolue : également lorsque la violation ne nécessite pas de notification à la CNIL.
Ce registre doit contenir :
- Les faits concernant la violation (nature, date de détection, date probable de l'incident)
- Ses effets et les données concernées
- Les mesures prises pour y remédier
- L'analyse des risques et la décision sur la notification
Ce registre doit être tenu à disposition de la CNIL en cas de contrôle. Son absence ou son incomplétude constitue un manquement en soi, indépendamment de la violation initiale.
Notifier la CNIL dans les 72 heures
Si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, l'article 33 du RGPD impose de la notifier à la CNIL dans les 72 heures suivant sa découverte. Ce délai court à partir du moment où le responsable de traitement a connaissance de la violation — pas nécessairement à partir du moment où elle s'est produite.
La notification doit inclure :
- La nature de la violation (confidentialité, intégrité, disponibilité)
- Les catégories et le nombre approximatif de personnes concernées
- Les catégories et le nombre approximatif d'enregistrements de données concernés
- Les coordonnées du DPO ou d'un autre point de contact
- Les conséquences probables de la violation
- Les mesures prises ou envisagées pour y remédier
Si toutes ces informations ne sont pas disponibles dans le délai de 72 heures (ce qui est fréquent en début d'investigation), il est possible de notifier par phases, en complétant la notification au fur et à mesure que les informations deviennent disponibles. Le délai de 72h doit être respecté pour la première notification, même partielle.
Attention : certaines violations à « risque négligeable » n'ont pas à être notifiées à la CNIL. Mais cette exception est interprétée strictement : elle suppose que la violation ne peut entraîner aucun effet néfaste sur les personnes concernées (ni discrimination, ni préjudice financier, ni atteinte à la réputation, etc.). En cas de doute, il est conseillé de notifier.
Informer les personnes concernées si le risque est élevé
L'article 34 du RGPD impose d'informer directement les personnes concernées lorsque la violation est « susceptible d'engendrer un risque élevé pour les droits et libertés » de ces personnes. Cette obligation est distincte de la notification à la CNIL : le seuil est plus élevé (risque élevé, contre simple risque pour la notification à la CNIL).
L'information des personnes doit être : directe (email, courrier, SMS), réalisée dans les meilleurs délais, claire et compréhensible (sans jargon technique), et inclure au minimum la description de la violation, les coordonnées du DPO, les conséquences probables, et les mesures que la personne peut prendre pour se protéger.
Cette obligation peut être allégée si : les données étaient chiffrées de manière robuste (rendant les données inutilisables), des mesures ultérieures ont éliminé le risque élevé, ou l'information individuelle représente un effort disproportionné (possible de passer par une communication publique dans ce cas).
Le rôle du sous-traitant en cas de violation
Si la violation est détectée chez un sous-traitant (prestataire Cloud, éditeur de logiciel, agence de traitement de données), l'article 28 du RGPD impose au sous-traitant de notifier la violation à son responsable de traitement « dans les meilleurs délais », après en avoir pris connaissance. Cette obligation doit impérativement être formalisée dans le Data Processing Agreement (DPA).
La chaîne de notification en cas de violation chez un sous-traitant :
- Le sous-traitant détecte la violation
- Il notifie immédiatement son responsable de traitement (le délai des 72h court pour le responsable à partir de ce moment)
- Le responsable de traitement analyse les risques
- Il notifie la CNIL si nécessaire (dans les 72h)
- Il informe les personnes concernées si le risque est élevé
Un DPA bien rédigé doit prévoir : un délai maximal de notification du sous-traitant au responsable (souvent 24h pour laisser une marge sur les 72h), les informations que le sous-traitant doit fournir, et les obligations de coopération dans la gestion de la violation.
Les sanctions en cas de manquement
Le non-respect des obligations liées aux violations de données expose à des sanctions significatives. La CNIL peut prononcer des amendes administratives pouvant atteindre :
- 10 millions d'euros ou 2% du chiffre d'affaires mondial pour les violations procédurales (notification tardive, registre incomplet, information insuffisante des personnes)
- 20 millions d'euros ou 4% du chiffre d'affaires mondial pour les violations des principes fondamentaux (sécurité insuffisante des données ayant causé la violation)
En pratique, la CNIL évalue : la gravité de la violation, les mesures de sécurité en place, la rapidité de réaction, la coopération avec l'autorité, et les mesures correctives prises. Une organisation qui réagit rapidement, notifie dans les délais et met en place des mesures correctives bénéficiera d'une appréciation plus clémente que celle qui dissimule ou minimise l'incident.
Outre les sanctions administratives, une violation peut engager la responsabilité civile de l'organisme vis-à-vis des personnes concernées (dommages et intérêts), voire pénale dans les cas les plus graves.
Comment se préparer à la gestion des violations
Mettre en place un plan de réponse aux incidents
La préparation est la clé d'une gestion efficace des violations. Un plan de réponse aux incidents (Incident Response Plan) doit décrire précisément :
- Les procédures de détection et d'escalade interne (qui alerte qui, dans quels délais)
- L'équipe de réponse (CISO, DPO, juriste, communication, direction)
- Les critères d'évaluation du risque
- Le processus de notification (CNIL, personnes concernées)
- Les modèles de communication (interne et externe)
- Les contacts d'urgence (CNIL, prestataires de sécurité, avocats)
Former et tester régulièrement
Un plan non testé est un plan inefficace. La gestion des violations nécessite une formation des équipes concernées (DPO, IT, direction), la désignation d'une équipe de crise, des tests réguliers (exercices de simulation), et l'utilisation d'outils permettant de gérer et documenter les violations en temps réel avec notification automatisée à la CNIL.
