L'article 4(12) du RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données. Cette notion, volontairement large, est souvent réduite à tort au seul piratage informatique.
1. Une notion juridique précise, souvent mal comprise
L'article 4(12) du RGPD définit la violation de données à caractère personnel comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.
Cette définition est volontairement large : elle ne se limite pas au piratage informatique perpétré par un tiers malveillant, mais couvre également l'erreur humaine, la perte d'un support physique, l'envoi d'un courriel au mauvais destinataire, ou encore une défaillance technique interne. Le grand public associe souvent la violation de données au seul piratage, alors que la majorité des incidents notifiés aux autorités de contrôle relèvent en réalité d'erreurs de configuration ou de négligences internes.
2. Les trois familles de violations reconnues par le Comité européen de la protection des données
Les lignes directrices du Comité européen de la protection des données (CEPD) distinguent trois catégories de violations, qui peuvent se cumuler.
- Violation de confidentialité — divulgation ou accès non autorisé à des données à caractère personnel.
- Violation d'intégrité — altération non autorisée ou accidentelle des données.
- Violation de disponibilité — perte d'accès ou destruction, accidentelle ou illicite, des données, y compris lorsque cette perte est temporaire.
Cette distinction conditionne l'analyse du risque que le responsable de traitement doit conduire pour déterminer l'étendue de ses obligations de notification.
3. L'obligation de notification à l'autorité de contrôle : l'article 33
Dès qu'il a connaissance d'une violation de données, le responsable de traitement dispose d'un délai de soixante-douze heures pour la notifier à l'autorité de contrôle compétente, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Ce délai court à compter du moment où le responsable de traitement a une connaissance suffisante de l'incident, non à compter de sa résolution technique complète.
La notification doit décrire :
- la nature de la violation et les catégories de données concernées ;
- le nombre approximatif de personnes et d'enregistrements concernés ;
- le nom et les coordonnées d'un point de contact (DPO le cas échéant) ;
- les conséquences probables de la violation ;
- les mesures prises ou envisagées pour y remédier et en atténuer les effets.
4. L'obligation de communication aux personnes concernées : l'article 34
Le critère change de seuil à l'article 34 : la communication directe aux personnes concernées n'est obligatoire que lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Le RGPD prévoit trois exceptions à cette communication individuelle :
- des mesures de protection technique (chiffrement, pseudonymisation) rendant les données incompréhensibles pour toute personne non autorisée ;
- des mesures ultérieures garantissant que le risque élevé ne devrait plus se matérialiser ;
- des efforts disproportionnés justifiant une communication publique équivalente à la place de la notification individuelle.
5. Le registre interne des violations, une obligation méconnue
L'article 33 paragraphe 5 impose au responsable de traitement de documenter chaque violation, y compris celles qui n'ont pas fait l'objet d'une notification. Ce registre constitue la pièce probatoire centrale que les autorités de contrôle examinent en priorité lors d'un contrôle a posteriori. Son absence est fréquemment relevée comme circonstance aggravante dans les décisions de sanction.
6. Apprécier le risque : une méthodologie, pas une intuition
Les lignes directrices du Comité européen recommandent d'apprécier le risque au regard de plusieurs critères cumulatifs.
- Type de violation — confidentialité, intégrité ou disponibilité, et caractère réversible ou non.
- Nature des données — sensibilité particulière (données de santé, financières, judiciaires, biométriques…).
- Facilité d'identification — possibilité de relier les données à des personnes physiques identifiables.
- Gravité des conséquences — préjudices potentiels (usurpation d'identité, discrimination, perte financière, atteinte à la réputation…).
- Caractéristiques des personnes — vulnérabilité particulière (mineurs, patients, salariés).
- Nombre de personnes affectées — l'ampleur de l'incident influe directement sur l'évaluation du risque systémique.
7. Ce que la notification permet concrètement aux personnes concernées
Pour une personne concernée, la notification constitue souvent le point de départ de toute démarche de protection et, le cas échéant, de réparation. Elle permet d'identifier l'origine d'une usurpation d'identité ultérieure et surtout de disposer d'un point d'ancrage factuel pour engager, si un préjudice est démontré, une réclamation ou une action en réparation sur le fondement de l'article 82 du RGPD.
Tableau récapitulatif des obligations
| Obligation | Base légale | Délai | Destinataire | Seuil |
|---|---|---|---|---|
| Notification à l'autorité | Art. 33 | 72 heures | Autorité de contrôle compétente | Risque pour les droits et libertés |
| Communication individuelle | Art. 34 | Dans les meilleurs délais | Personnes concernées | Risque élevé pour les droits et libertés |
| Documentation interne | Art. 33 §5 | Obligation continue | Registre interne | Toute violation, notifiée ou non |
Pour aller plus loin
Cette analyse complète la cartographie générale du RGPD présentée dans notre premier article de référence. Elle prépare directement la lecture de nos analyses consacrées aux voies de recours individuelles, au régime du préjudice moral précisé par la Cour de justice, à la méthodologie des sanctions de la CNIL, ainsi qu'aux transferts internationaux de données et aux actions collectives.
Sources primaires : articles 4(12), 33 et 34 du Règlement (UE) 2016/679 ; Lignes directrices du Comité européen de la protection des données 9/2022 sur la notification des violations de données à caractère personnel ; CJUE, 14 décembre 2023, C-340/21, Natsionalna agentsia za prihodite.
Des exemples de violations notifiées en France sont documentés dans les fiches de fuites de données d'IndemniData.