L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re - 241

Plan d'action 2. Aspects juridiques de la gestion de crise

III.	 La notification auprès de la CNIL et de la personne
concernée en cas de violation de données
à caractère personnel
L'entreprise peut être tenue de remplir des obligations légales notamment en matière de
protection des données à caractère personnel. Dans certains cas12, l'entreprise peut être
tenue de déclarer l'incident à des agences gouvernementales comme l'ARS ou l'ANSSI.
Lorsque des données à caractère personnel ont été impactées, l'entreprise victime devra
obligatoirement documenter en interne la violation de données à caractère personnel
et, en fonction du degré de risque au regard de la vie privée des personnes concernées,
elle devra notifier la CNIL (par le biais d'un téléservice13) et éventuellement la personne
concernée si le risque est important14.

A.	 La notification auprès de la CNIL
Cette notification est très importante. Le responsable de traitement doit obéir à des prescriptions strictes.
Tout d'abord, le responsable de traitement devra s'intéresser au type de violation, au
degré d'atteinte sur les données à caractère personnel (notamment la nature et le volume
de données potentiellement affectées) afin d'évaluer les risques vis-à‑vis des personnes
concernées.
En principe, toute violation entraîne une obligation de notification à l'autorité de
contrôle. Néanmoins, lorsque le responsable de traitement estime que la violation n'est pas
susceptible d'engendrer un risque pour les droits et libertés des personnes physiques (par
ex : la divulgation concerne des données déjà publiées), il sera dispensé de notification.
Dans le cas contraire, le responsable de traitement doit notifier l'incident à l'autorité de
contrôle (en France, il s'agit de la CNIL). Cette notification doit avoir lieu dans les 72 heures
après avoir pris connaissance de l'incident, toute notification au--delà de ce délai devant
être accompagnée des motifs du retard.
Cette notification doit, a minima15 :
*	 décrire la nature de la violation de données à caractère personnel y compris, si possible,
les catégories et le nombre approximatif de personnes concernées par la violation et
les catégories et le nombre approximatif d'enregistrements de données à caractère
personnel concernés ;
*	 communiquer le nom et les coordonnées du délégué à la protection des données
(DPO) ou d'un autre point de contact auprès duquel des informations supplémentaires
peuvent être obtenues ;
*	 décrire les conséquences probables de la violation de données à caractère personnel ;

12. Notamment lorsque l'entreprise est un établissement de santé ou un opérateur (étant entendu un opérateur
d'importance vitale (OIV), un opérateur de services essentiels (OSE) ou un fournisseur de service numérique
(FSN) mettant à disposition des places de marché, des moteurs de recherche en ligne et des services d'informatique en nuage, prestataires de services de confiance, ou opérateurs Télécom).
13. Disponible sur : https://notifications.cnil.fr/notifications/index
14. Pour plus de précisions sur les obligations du DPO en cas de violation de données à caractère personnel,
voir notre article dédié disponible sur : https://www.agilit.law/droit--technologie--et--informations--donnees--
personnelles/ransomware--et--violation--de--donnees--a-caractere--personnel--quel--role--pour--le--dpo/ .
15. Art. 33, RGPD.

241
https://notifications.cnil.fr/notifications/index https://www.agilit.law/droit
L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re

Table des matières de la publication L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re
