Notification CNIL en 72 heures : quand elle est due après un hack

Quand le délai commence vraiment

Les 72 heures courent à partir du moment où vous avez (ou auriez dû avoir) confirmation qu'une violation de données à caractère personnel s'est produite, avec un risque pour les personnes. Un SOS Facebook, une home défigurée, un antivirus qui hurle : ce n'est pas encore ça. Un dump de la table clients dans un dossier public, un log de SELECT massif, un skimmer avéré : le chronomètre est plus proche.

L'incertitude se documente. « Nous investiguons depuis telle heure » n'est pas une fraude au délai. Inventer que vous n'avez « rien su » alors que l'hébergeur vous a écrit noir sur blanc trois jours plus tôt, si.

Le cadre métier est le guide fuite. La page constater avant de parler évite de notifier à l'aveugle — ou de ne jamais notifier.

Ce que « violation » veut dire ici

Accès non autorisé, perte, divulgation, altération de données personnelles. Un défacement sans touche à la base n'en est souvent pas une. Une injection SQL qui a pu lire des emails, si. Des mots de passe en clair, presque toujours une fois la table lue.

Les données d'une newsletter, d'un formulaire de devis, d'une boutique : toutes personnelles si elles identifient. La taille de la TPE ne change pas la définition. Elle change les moyens, pas l'obligation.

Un sous-traitant (hébergeur, CRM) qui se fait ouvrir peut déclencher votre devoir si vous êtes responsable de traitement. Voir hébergeur sous-traitant. Vous notifiez ce qui concerne vos traitements, pas « le cloud en général ».

• Données identifiantes touchées ou plausiblement lues.
• Accès non autorisé établi ou fortement étayé.
• Pas seulement une page d'accueil vandalisée.

Risque : le critère qui décide

Toute violation ne se notifie pas à la CNIL. Celles qui n'entraînent pas de risque pour les droits et libertés peuvent rester internes — documentées. Dès qu'il y a risque (usurpation d'identité, accès à des comptes, données financières, données sensibles, mots de passe réutilisables), la notification s'impose.

Un hash moderne bien salé, accès limité, pas d'autres attributs : le risque peut être plus faible. Un hash faible ou du clair, plus des emails : le risque monte. Voir forcer les mots de passe et réutilisation.

En cas de doute sérieux, notifier est moins dangereux que d'expliquer six mois plus tard pourquoi vous avez tranché « zéro risque » sans constat. Le constat technique porte précisément ce raisonnement.

Ce que contient une notification utile

Nature de la violation, catégories de personnes et de données, nombre approximatif, conséquences probables, mesures prises ou prévues, contact. La CNIL a un téléservice. Pas besoin d'un roman, besoin de faits datés. Si vous ne savez pas encore le volume, dites-le et complétez.

Joindre ou tenir prêt le constat : périmètre, fenêtre, lecture vs exfiltration visible. Un ticket « site hacké » sans ça se transforme en allers-retours.

Ne copiez pas un communiqué marketing dans le formulaire. Ne promettez pas des mesures que vous n'avez pas engagées.

Ce que le prestataire fait, et ne fait pas

Il date, il décrit les fichiers et la base, il dit les limites (logs absents, réinstall trop tôt). Il ne se connecte pas à votre espace CNIL avec votre SIRET. Il ne « s'occupe pas des 72 h » comme une option du devis de nettoyage.

Méfiez-vous de qui vend la déclaration à votre place sans lecture du dossier. Vous restez exposé si le contenu est faux.

Un espace créé ici sert au chantier site. Les identifiants CNIL restent les vôtres. Notre politique décrit nos traitements, pas les vôtres.

Compléter après coup, sans mentir

Une première notification peut être partielle. On complète quand le volume se précise ou qu'une table supplémentaire apparaît. C'est prévu. En revanche, une première version « aucune donnée clients » suivie d'un dump public demande une correction claire, pas un silence.

Tenez le registre des activités à jour : date de découverte, date de notification, mesures. Dans six mois, c'est ce que vous et la CNIL relirez.

Si vous aviez décidé de ne pas notifier (pas de risque) et que le constat bascule, notifiez alors — en expliquant le changement d'appréciation, daté.

Lien avec l'information des personnes

Notifier la CNIL et informer les personnes sont deux devoirs distincts. Le second dépend d'un risque élevé. On peut notifier sans écrire à toute la base, et inversement — rarement l'inverse seul si le risque est élevé. Détail : informer les personnes.

N'attendez pas l'accusé CNIL pour couper l'accès et forcer les mots de passe si la table a été lue. La remédiation ne s'interrompt pas pour un formulaire.

L'assureur demande souvent la copie de la notification. Déclarez le sinistre tôt, sans attendre la fin des 72 h pour « voir ». Voir RC pro et cyber.

TPE : les erreurs qui coûtent un rappel

Réinstaller sans logs, puis jurer qu'il n'y a rien eu. Faire écrire l'agence « on s'occupe de la CNIL » sans que personne ne dépose. Publier « aucune fuite » le lundi et trouver un export le mercredi. Oublier que le délai court le dimanche.

L'autre erreur : notifier par panique un simple défacement, avec des phrases inventées. Ça se corrige, mais ça crée un dossier inutile. Le constat d'abord, même court.

Les obligations RGPD concrètes tiennent en registre, sous-traitants, délai, documentation. Pas en cabinet obligatoire pour poser les bonnes questions — besoin d'un constat utilisable.

• Confirmer (ou documenter l'incertitude) avant de jurer.
• Notifier si risque, dans les 72 h calendaires.
• Garder le constat et l'accusé.