Lorsqu’une entreprise subit une violation de données personnelles, une hésitation revient souvent : faut-il vraiment la notifier à la CNIL ?
La crainte est compréhensible. Certaines entreprises peuvent avoir peur qu’une notification attire l’attention de la CNIL et entraîne automatiquement un contrôle ou une sanction.
Pourtant, lorsqu’une notification est obligatoire, ne pas notifier peut créer un risque supplémentaire.
⚠️ Toutes les violations de données ne doivent pas être notifiées.
Le RGPD impose d’abord de documenter chaque violation en interne. Lorsque celle-ci est susceptible d’entraîner un risque pour les droits et libertés des personnes concernées, elle doit ensuite être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Si le risque est élevé, les personnes concernées doivent également être informées, sauf exception prévue par le RGPD.
Pourquoi ne pas notifier peut-il être plus risqué ?
Lorsque les conditions de notification sont réunies, l’absence de notification constitue elle-même un manquement au RGPD.
Par ailleurs, le fait de notifier une violation ne conduit pas automatiquement à une sanction.
Après réception, la CNIL analyse notamment :
- le niveau de risque pour les personnes concernées ;
- les mesures de sécurité mises en place avant l’incident ;
- les mesures prises après l’incident pour en limiter les conséquences et éviter qu’il se reproduise.
La notification peut également être réalisée en plusieurs étapes lorsqu’il n’est pas possible de disposer de toutes les informations dans les 72 heures. L’entreprise peut effectuer une première notification, puis la compléter après la poursuite de ses investigations.
Le véritable enjeu n’est donc pas de notifier systématiquement chaque incident, mais de disposer d’une procédure permettant de qualifier rapidement la violation, d’évaluer les risques et de justifier la décision de notifier ou non.
Une analyse réalisée et documentée en amont sera toujours préférable à une décision prise dans l’urgence… ou à l’absence totale de décision.
📩 Vous souhaitez revoir votre procédure RGPD de gestion des violations de données personnelles et sécuriser vos décisions de notification ? Contactez-moi.