RGPD Art.33 : notifier la CNIL en 72h

L'Art.33 du RGPD est clair : en cas de violation de données personnelles, le responsable de traitement doit notifier l'autorité de contrôle (la CNIL en France) dans les 72 heures après en avoir pris connaissance. Pas 72 heures après avoir fini l'investigation. Pas 72 heures après la réunion de crise. 72 heures après la prise de connaissance. Ce délai est un défi technique et organisationnel que beaucoup sous-estiment.

Qu'est-ce qu'une violation de données au sens du RGPD ?

L'Art.4(12) définit la violation de données personnelles comme "une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel". En pratique, trois types :

• Violation de confidentialité : accès non autorisé à des données personnelles. Exemple : base de données clients exposée sur Internet, email envoyé au mauvais destinataire, compromission par un attaquant.

• Violation d'intégrité : altération non autorisée des données. Exemple : ransomware qui chiffre une base patients, modification malveillante de dossiers RH.

• Violation de disponibilité : perte d'accès aux données. Exemple : crash serveur sans backup, attaque DDoS rendant les données inaccessibles, destruction accidentelle.

Point important : toute violation de données n'est pas nécessairement notifiable. L'Art.33 exige la notification sauf si "la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques". Si les données étaient chiffrées avec un algorithme robuste et que la clé n'a pas été compromise, le risque peut être considéré comme nul. Mais cette évaluation doit être documentée.

Le processus de notification CNIL

La notification se fait via le téléservice de la CNIL (notifications.cnil.fr). Le formulaire demande :

• Nature de la violation : type (confidentialité/intégrité/disponibilité), cause, vecteur d'attaque

• Catégories de données : quelles données sont concernées (identité, contact, financier, santé, etc.)

• Nombre de personnes concernées : estimation si le chiffre exact n'est pas connu

• Conséquences probables : impact potentiel sur les personnes (usurpation d'identité, perte financière, etc.)

• Mesures prises : actions de confinement, remédiation et prévention

• Contact du DPO : coordonnées du Délégué à la Protection des Données

La notification peut être faite en deux temps : une notification initiale dans les 72h avec les informations disponibles, puis une notification complémentaire quand l'investigation apporte de nouveaux éléments. La CNIL accepte explicitement cette approche par phases.

Le défi des 72 heures

Décomposons le calendrier réaliste :

• T+0h : détection de la violation. Le compteur des 72h démarre ici, pas quand l'attaque a eu lieu, mais quand vous en avez pris connaissance.

• T+0 à T+6h : confirmation de l'incident, évaluation initiale du périmètre, identification des données touchées

• T+6 à T+24h : investigation technique (forensic initial), estimation du nombre de personnes concernées, évaluation du risque pour les personnes

• T+24 à T+48h : rédaction du rapport de notification, validation juridique et DPO

• T+48 à T+72h : soumission via le téléservice CNIL, notification aux personnes si nécessaire (Art.34)

Le goulot d'étranglement est presque toujours le même : la détection. Avec un dwell time moyen de 194 jours (IBM 2025), la plupart des organisations ne respectent pas les 72h parce qu'elles ne détectent pas la violation à temps, pas parce qu'elles ne rédigent pas le rapport assez vite.

La notification aux personnes (Art.34)

Si la violation est "susceptible d'engendrer un risque élevé pour les droits et libertés", vous devez aussi notifier les personnes concernées. En termes clairs, compréhensibles, en expliquant :

• La nature de la violation

• Les données concernées

• Les conséquences probables

• Les mesures prises et recommandations (changer son mot de passe, surveiller ses comptes bancaires, etc.)

Exception : la notification aux personnes n'est pas requise si les données étaient chiffrées, si des mesures ont été prises pour éliminer le risque, ou si elle exigerait des efforts disproportionnés (dans ce cas, communication publique).

Les sanctions en cas de non-notification

Le non-respect de l'Art.33 est sanctionné par l'Art.83(4) : amende jusqu'à 10 M€ ou 2 % du CA mondial. En pratique, la CNIL sanctionne régulièrement le défaut de notification. Exemples récents :

• Groupe hospitalier : 800 000 € pour notification tardive et mesures de sécurité insuffisantes

• Opérateur télécom : 300 000 € pour défaut de notification dans les 72h

• Startup : 150 000 € pour absence de notification malgré une fuite de 500 000 comptes

La CNIL regarde deux choses : avez-vous notifié dans les délais ? Et aviez-vous les mesures de sécurité appropriées pour détecter la violation ?

Comment ThreatClaw automatise la détection et le rapport

ThreatClaw aborde le problème des deux côtés :

Détection automatique des données personnelles

• Identification des flux de données personnelles dans votre infrastructure

• Classification automatique des données (identité, financier, santé) par analyse des bases et des flux

• Alerting en temps réel si des données personnelles sont exposées (bucket S3 public, base sans authentification, API sans contrôle d'accès)

Détection des violations

• Monitoring continu des accès aux bases contenant des données personnelles

• Détection d'exfiltration (volume anormal de requêtes, transferts vers des destinations inhabituelles)

• Corrélation avec les indicateurs de compromission (l'accès vient-il d'un compte compromis ?)

Génération du rapport Art.33

• Rapport pré-rempli au format CNIL dans les 15 minutes suivant la détection

• Estimation automatique du périmètre (tables touchées, nombre d'enregistrements, catégories de données)

• Chronologie technique de l'incident

• Le DPO reçoit un dossier complet pour validation, pas une alerte brute à investiguer

Ce qui prenait 24-48h d'investigation manuelle est disponible en 15 minutes. Les 72h deviennent un délai confortable au lieu d'une course contre la montre.

L'articulation avec NIS2

Si votre organisation est aussi couverte par NIS2, vous avez une double obligation de notification. NIS2 Art.23 exige une alerte au CSIRT en 24h (plus stricte que le RGPD). ThreatClaw génère les deux rapports simultanément, le format CNIL (Art.33 RGPD) et le format ANSSI/CSIRT (Art.23 NIS2).

FAQ

Un email envoyé au mauvais destinataire est-il une violation notifiable ?

Ça dépend. Si l'email contient des données personnelles sensibles (santé, financier) et que le destinataire n'est pas un tiers de confiance, oui, c'est une violation de confidentialité probablement notifiable. Si c'est un email interne avec un prénom, le risque est minimal. Dans tous les cas, documentez l'incident dans votre registre des violations (obligation Art.33(5)) même si vous ne notifiez pas la CNIL.

Le délai de 72h s'applique-t-il les week-ends et jours fériés ?

Oui, sans exception. 72 heures calendaires, pas ouvrées. C'est pour cela que le monitoring continu et la détection automatisée sont indispensables, la violation ne choisit pas son moment.

Que se passe-t-il si je dépasse les 72h ?

Vous devez quand même notifier, en expliquant les raisons du retard (Art.33(1)). Un retard justifié (investigation complexe, incident de grande ampleur) sera jugé plus favorablement qu'une absence totale de notification. Mais la CNIL apprécie le respect des délais, c'est un facteur dans le calcul de la sanction.

Dois-je notifier la CNIL si les données étaient chiffrées ?

Si le chiffrement est robuste (AES-256, clé non compromise) et que les données exfiltrées sont inexploitables, le risque pour les personnes est nul et la notification n'est pas requise. Mais vous devez documenter cette évaluation. Si vous avez le moindre doute sur la robustesse du chiffrement ou si la clé a pu être compromise, notifiez. La CNIL préfère une notification "par précaution" à une non-notification injustifiée.