Questions réellement posées

Nos données ont fuité : que faire dans les 72 h ?

Si la fuite touche des données personnelles, vous devez la notifier à l'autorité de contrôle, en France la CNIL, dans les meilleurs délais et si possible 72 heures au plus tard après en avoir pris connaissance (article 33 du RGPD). Seule exception : la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Dans tous les cas, vous la documentez.

Ce que disent les textes

L'article 33, paragraphe 1, impose au responsable du traitement de notifier la violation de données à caractère personnel à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Passé ce délai, la notification est accompagnée des motifs du retard.

Si toutes les informations ne sont pas disponibles en même temps, elles peuvent être communiquées de manière échelonnée, sans autre retard indu (paragraphe 4). Vous n'avez donc pas à attendre la fin de l'enquête pour notifier.

Le paragraphe 5 impose de documenter toute violation, y compris celles qui ne sont pas notifiées : les faits, leurs effets et les mesures prises. Ce registre interne permet à l'autorité de vérifier le respect de l'article.

Si vous êtes sous-traitant, l'article 33, paragraphe 2, vous oblige à informer le responsable du traitement dans les meilleurs délais après avoir pris connaissance de la violation. C'est lui qui notifie l'autorité.

Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, l'article 34 impose de les en informer dans les meilleurs délais, en termes clairs et simples. Cette information n'est pas exigée dans certains cas prévus par le texte, notamment si les données étaient rendues incompréhensibles (par exemple par chiffrement), si des mesures ultérieures écartent le risque élevé, ou si l'information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique la remplace.

Les 72 heures, étape par étape

1. Contenir : couper l'accès en cause, changer les mots de passe exposés, isoler les postes ou comptes touchés, conserver les traces.
2. Évaluer le risque : quelles données, combien de personnes, quelles conséquences possibles pour elles.
3. Notifier l'autorité de contrôle si un risque existe, quitte à compléter ensuite.
4. Informer les personnes concernées si le risque est élevé.
5. Documenter la violation dans votre registre interne, qu'elle soit notifiée ou non.

Se faire aider et porter plainte

Si la fuite résulte d'une attaque, déposez plainte auprès de la police ou de la gendarmerie. Le dispositif public cybermalveillance.gouv.fr oriente les victimes et les met en relation avec des prestataires de proximité. La notification à la CNIL se fait sur son site.

Et si vous relevez de NIS2

Une entité soumise à la directive NIS2 a, en plus, des obligations de signalement des incidents importants auprès de l'autorité nationale compétente, avec leurs propres délais. Elles sont distinctes de la notification RGPD et ne la remplacent pas : une même fuite peut appeler les deux.

Et ensuite

Une fois la crise passée, reprenez votre registre : chaque violation documentée indique où renforcer vos protections. Le texte officiel du RGPD fait foi ; il est consultable sur EUR-Lex.

Le diagnostic proposé plus bas porte sur la sécurité de votre environnement Microsoft 365 : il ne vaut pas évaluation de votre situation au titre du RGPD.

Faits relus le 15/10/2026 sur la source officielle citée (EUR-Lex, règlement (UE) 2016/679, articles 33 et 34). Cette page informe ; elle ne constitue pas un conseil juridique.