Le formulaire de notification de la CNIL fait peur, surtout dans l'urgence. Il se remplit pourtant en moins d'une heure si vous avez préparé les informations. Ce guide suit l'ordre du téléservice, d'après la page officielle de la CNIL et sa trame de préparation.
Qui doit notifier, et quand
- Qui : l'organisme responsable des données, public ou privé, quelle que soit sa taille. Un sous-traitant (hébergeur, éditeur, agence) prévient son client, qui notifie. Un particulier n'utilise pas ce formulaire : il dépose une plainte.
- Quand : dans les meilleurs délais et, si possible, dans les 72 heures après avoir pris connaissance de la violation. Au-delà, vous devez expliquer le retard.
- Pas obligatoire si la violation n'entraîne aucun risque pour les personnes, par exemple des données chiffrées et illisibles. Vous devez quand même l'inscrire dans votre registre interne. En cas de doute, notifiez.
Notification complète, initiale ou complémentaire
Pas besoin de tout savoir pour notifier. Le téléservice propose trois types :
- Complète : vous avez toutes les informations.
- Initiale : vous notifiez dans les 72 heures avec ce que vous savez, et vous complétez plus tard.
- Complémentaire : vous ajoutez ou corrigez les informations d'une notification initiale. Gardez son numéro et sa date.
Ce qu'il faut préparer
La CNIL publie une trame de préparation au format traitement de texte. Remplissez-la à plusieurs (direction, technique, juridique), puis recopiez-la dans le formulaire.
Étape 1 : le type de notification
Complète, initiale ou complémentaire.
Étape 2 : l'organisme
- SIREN, dénomination, secteur, effectif et adresse.
- Le représentant légal et la personne à contacter : votre délégué à la protection des données s'il y en a un, sinon la personne qui suit le dossier.
- Les autres organismes impliqués : sous-traitant, responsable conjoint.
Étape 3 : la violation
- Les dates : début, fin ou « toujours en cours », date à laquelle vous l'avez découverte et comment.
- Le type d'atteinte : confidentialité (données vues ou copiées), intégrité (données modifiées), disponibilité (données perdues ou inaccessibles). Plusieurs sont possibles.
- L'origine : piratage, logiciel malveillant, hameçonnage, matériel perdu ou volé, envoi au mauvais destinataire, publication par erreur, etc. Précisez si l'acte est interne ou externe, malveillant ou accidentel.
- Les données touchées : état civil, coordonnées, identifiants et mots de passe, données bancaires, pièces d'identité, numéro de sécurité sociale, données de santé ou autres données sensibles. Indiquez un nombre approximatif d'enregistrements.
- Les personnes touchées : clients, salariés, patients, mineurs, personnes vulnérables, et leur nombre approximatif.
Étape 4 : les conséquences et les actions
- Les mesures de sécurité qui existaient avant : chiffrement, sauvegardes, contrôle des accès.
- Les préjudices possibles : hameçonnage ciblé, usurpation d'identité, fraude, perte financière, atteinte à la réputation. Estimez la gravité : négligeable, limitée, importante ou maximale.
- Les mesures prises depuis : accès coupés, mots de passe réinitialisés, faille corrigée, plainte déposée.
- L'information des personnes : déjà faite (date, nombre, moyen, texte du message), prévue, non nécessaire (avec le motif) ou pas encore décidée.
- Les autres autorités prévenues, en France ou en Europe.
Étape 5 : le récapitulatif
Relisez puis validez. Conservez l'accusé de réception et le numéro de notification : il vous servira pour la notification complémentaire.
Ouvrir le téléservice de notification de la CNIL
Après la notification
La CNIL examine le dossier. Elle peut le clore si le risque est maîtrisé, vous demander des précisions ou vous imposer d'informer les personnes concernées. Si la violation vient d'une cyberattaque, gardez les preuves techniques à sa disposition et portez plainte.
Ne pas notifier quand c'est obligatoire est sanctionnable : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial (article 83 du RGPD). La CNIL a déjà sanctionné des entreprises qui n'avaient ni notifié ni prévenu leurs utilisateurs.