Automatiser la gestion des violations de données RGPD

La CNIL a enregistré 6 167 notifications de violations de données en 2025, soit 9,5 % de plus qu’en 2024 et le niveau le plus élevé jamais atteint — une hausse de 50 % en trois ans. Le premier trimestre 2026 confirme la trajectoire, avec plus de 2 730 notifications contre environ 2 500 sur la même période de 2025. Et l’autorité a annoncé consacrer en 2026 la moitié de son activité répressive aux manquements à la sécurité. Le problème, pour la plupart des organisations, n’est pourtant pas juridique : il est chronométrique.

Pourquoi le processus « violation » ne tient pas à la main

Sur le papier, la gestion d’une violation de données se résume à quatre décisions : est-ce une violation au sens de l’article 4(12) ? Présente-t-elle un risque pour les droits et libertés ? Faut-il notifier la CNIL au titre de l’article 33 ? Faut-il informer les personnes concernées au titre de l’article 34 ?

Dans la réalité, ces quatre décisions doivent être prises pendant que l’équipe technique est en pleine gestion de crise, avec des informations partielles, sur un délai de 72 heures qui court à compter de la prise de connaissance par le responsable de traitement — et non à compter du moment où le DPO est prévenu, ni à compter de la fin des investigations forensiques. C’est cette dissociation entre le rythme de l’incident technique et le rythme de l’obligation juridique qui fait échouer la plupart des dispositifs.

Dans les organisations que j’accompagne, l’échec suit presque toujours le même scénario. Un salarié constate une anomalie un vendredi soir — un fichier client envoyé à la mauvaise adresse, un poste chiffré par un rançongiciel, un accès administrateur inhabituel. Il en parle à son responsable, qui en parle au service informatique, qui traite l’incident techniquement. Le DPO l’apprend le mardi. Le compteur, lui, a démarré le vendredi. La notification part au sixième jour, hors délai, avec une justification faible au sens de l’article 33(1) in fine.

Ajoutez à cela que la violation déclenche rarement une seule obligation. Selon le secteur et la nature de l’incident, il faut simultanément gérer :

• la notification à la CNIL sous 72 heures (art. 33) ;
• l’information des personnes concernées « dans les meilleurs délais » si le risque est élevé (art. 34) ;
• pour les entités essentielles et importantes, l’alerte précoce sous 24 heures et la notification sous 72 heures prévues par l’article 23 de la directive NIS2 ;
• pour les entités financières, le circuit distinct de notification des incidents DORA ;
• le dépôt de plainte dans les 72 heures ouvrées exigé par l’article L. 12-10-1 du code des assurances comme condition d’indemnisation du volet cyber ;
• l’inscription au registre interne des violations (art. 33(5)), obligatoire pour toutes les violations, y compris celles qui ne sont pas notifiées.

Six guichets, six formats, six horloges. Aucun tableur ne survit à cet exercice.

Ce qui s’automatise réellement — et ce qui ne s’automatisera jamais

Avant de s’équiper, il faut tracer la ligne de partage. Elle est plus nette qu’on ne le croit : tout ce qui relève du flux s’automatise, tout ce qui relève de l’appréciation reste humain.

Tâche	Automatisable	Pourquoi
Point d’entrée unique de signalement interne	Oui	Formulaire, routage, accusé de réception
Horodatage de la prise de connaissance	Oui	Journalisation à la seconde, non modifiable
Déclenchement et affichage du compteur 72 h	Oui	Calcul de délai, alertes à T+24 h et T+48 h
Pré-remplissage de la notification art. 33(3)	Oui	Champs structurés issus du registre
Calcul d’un score de gravité (méthodologie ENISA)	Oui	Grille pondérée, entrées structurées
Identification des traitements et des personnes affectés	Oui	Dérivée du registre des traitements
Suivi des notifications complémentaires (art. 33(4))	Oui	Workflow et échéances
Contrôle de complétude de l’information art. 34(2)	Oui	Les quatre blocs sont limitativement énumérés
Tenue du registre des violations (art. 33(5))	Oui	Alimentation automatique par le dossier
Statistiques, récurrences, causes racines	Oui	Agrégation
Qualification juridique de l’incident en violation	Non	Analyse art. 4(12)
Appréciation du risque pour les droits et libertés	Non	Jugement contextuel
Décision de notifier ou de ne pas notifier	Non	Arbitrage du responsable de traitement
Rédaction du message aux personnes concernées	Non	Registre de langue, sensibilité réputationnelle
Investigation technique et forensique	Non	Expertise humaine

Le partage temporel est encore plus parlant. Sur un dossier de violation moyen, le temps réellement consommé se répartit à peu près ainsi : 15 % d’analyse juridique, 85 % de collecte d’information, de recoupement, de rédaction de champs, de relances et de mise en forme. Autrement dit, l’outil ne remplace pas le DPO — il lui rend les 85 % pendant lesquels il ne fait pas son métier.

Étape 1 : industrialiser la détection et le signalement interne

C’est l’étape la plus négligée, et de loin la plus rentable. Tant que le signalement passe par le bouche-à-oreille, aucune automatisation en aval ne servira à quoi que ce soit.

Un point d’entrée unique et un seul. Un formulaire accessible depuis l’intranet, en cinq champs maximum : que s’est-il passé, quand l’avez-vous constaté, quelles données sont concernées, qui d’autre est au courant, avez-vous pris une mesure. Toute autre voie — un e-mail au DPO, un appel au support, un message dans un canal d’équipe — doit converger vers ce formulaire, quitte à ce que ce soit le destinataire qui le remplisse. Le critère de réussite n’est pas la qualité du signalement, c’est son existence.

L’horodatage automatique de la prise de connaissance. C’est le point juridique décisif. En cas de contrôle, la question posée sera : à quelle date et à quelle heure avez-vous eu connaissance de la violation ? Une réponse fondée sur un enregistrement système horodaté et non modifiable a une valeur probatoire sans rapport avec une reconstitution de mémoire. Le principe de responsabilité de l’article 5(2) fait de cette démonstrabilité une obligation autonome.

Le branchement des sources techniques. Les dispositifs de sécurité produisent déjà des signaux exploitables : alertes du SIEM, remontées de la solution DLP, échecs d’authentification en série, alertes de l’antivirus, campagnes de phishing détectées. Router automatiquement certaines catégories d’alertes vers le processus « violation » évite la perte de signal la plus fréquente : l’incident traité par l’équipe technique sans que personne ne se demande s’il y a des données personnelles derrière. La recommandation de la CNIL relative aux mesures de journalisation donne le cadre de ce qu’il faut conserver et pendant combien de temps.

La sensibilisation ciblée sur le déclencheur. Un point de méthode issu de la pratique : ne formez pas vos équipes au RGPD, formez-les à reconnaître les cinq situations qui déclenchent le formulaire. Un e-mail envoyé au mauvais destinataire, un ordinateur ou un téléphone perdu, un dossier papier égaré, un accès qui n’aurait pas dû fonctionner, un message suspect auquel quelqu’un a répondu. Ces cinq cas couvrent la grande majorité des violations réelles en PME.

Étape 2 : automatiser la qualification, pas la décision

Une fois le signalement entré, l’outil doit produire un dossier pré-instruit en quelques minutes. Trois automatismes y suffisent.

Le rattachement aux traitements concernés. Si votre registre des activités de traitement est structuré — traitements, catégories de données, catégories de personnes, systèmes hôtes, sous-traitants — alors désigner le système touché suffit à faire remonter automatiquement les traitements affectés, les catégories de données en jeu, le volume approximatif de personnes concernées et la liste des sous-traitants impliqués. C’est exactement le contenu exigé par l’article 33(3)(a) et (b). Sans registre exploitable, cette reconstitution prend une demi-journée ; avec, elle prend trente secondes. C’est la raison pour laquelle je conseille toujours de traiter l’automatisation du registre avant celle des violations : l’un est la source de l’autre.

Le score de gravité. La méthodologie ENISA d’évaluation de la gravité des violations, reprise en pratique par la plupart des autorités européennes, combine trois facteurs : le contexte de traitement des données (nature et volume), la facilité d’identification des personnes et les circonstances de la violation (perte de confidentialité, d’intégrité, de disponibilité, intention malveillante). Ces trois facteurs sont paramétrables. Un score calculé automatiquement à partir des attributs du traitement fait gagner du temps et, surtout, garantit que deux incidents comparables sont évalués de la même façon à six mois d’intervalle — ce qu’aucune évaluation manuelle ne garantit.

La suggestion d’orientation. À partir du score, l’outil peut proposer une orientation : violation à documenter sans notification, violation à notifier à la CNIL, violation à notifier avec information des personnes. Le mot important est proposer.

Ce qui reste au DPO

Aucun score ne décide à la place du responsable de traitement. Un vol de 500 adresses e-mail professionnelles est en principe de faible gravité — sauf s’il s’agit des adresses des salariés d’une association d’aide aux victimes. Un fichier chiffré exfiltré est en principe sans risque — sauf si la clé a pu être compromise, ou si l’algorithme est obsolète, ce que seule une analyse technique établira. La CNIL, dans les délibérations SAN-2026-001 et SAN-2026-002 du 8 janvier 2026, a d’ailleurs jugé que la fuite d’IBAN emportait des risques spécifiques justifiant un traitement particulier. Le score sert à hiérarchiser l’attention, jamais à conclure.

Étape 3 : tenir le chronomètre et produire la notification

Le compteur des 72 heures est un objet technique simple et personne ne le met en place.

Le décompte visible. Dès l’horodatage de la prise de connaissance, le dossier affiche l’échéance, avec alertes automatiques à T+24 h et T+48 h adressées au DPO et à son suppléant. Cette redondance n’est pas cosmétique : la majorité des dépassements que j’ai vus sont des dépassements de week-end ou de congés, pas des dépassements de fond. Le délai de 72 heures court en heures calendaires, week-ends et jours fériés compris.

Le brouillon pré-rempli. L’article 33(3) énumère quatre blocs : la nature de la violation avec les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les coordonnées du DPO, les conséquences probables, les mesures prises ou proposées pour y remédier et en atténuer les effets. Trois de ces quatre blocs se pré-remplissent depuis le registre et le dossier d’incident. Le DPO rédige le quatrième et valide l’ensemble. On passe de deux heures de rédaction à vingt minutes de relecture. Notre modèle de notification CNIL 72 h détaille champ par champ ce qui est attendu par le téléservice.

La notification par phases. L’article 33(4) autorise expressément une notification échelonnée lorsque les informations ne sont pas toutes disponibles. C’est la disposition la plus mal utilisée du règlement : beaucoup d’organisations attendent d’avoir tout compris pour notifier, et arrivent hors délai avec un dossier complet, alors que la CNIL attend une notification incomplète dans les temps suivie de compléments. Techniquement, cela suppose de gérer des versions successives d’un même dossier, avec un suivi des engagements pris (« investigation forensique en cours, retour sous quinze jours ») et une relance automatique à l’échéance annoncée. C’est un simple objet à états — mais il faut qu’un système le porte, parce que personne ne se souvient d’un engagement pris pendant une crise.

Étape 4 : l’information des personnes, là où ça casse

C’est le point que la pratique récente rend incontournable. Dans les décisions rendues le 8 janvier 2026 contre FREE MOBILE (27 millions d’euros) et FREE (15 millions d’euros) — 42 millions au total, à la suite de l’intrusion d’octobre 2024 ayant exposé les données de 24 millions de contrats d’abonnés, dont des IBAN —, la formation restreinte n’a pas reproché aux sociétés de ne pas avoir informé les personnes. Elle leur a reproché que le courriel d’information ne comportait pas toutes les mentions exigées par l’article 34(2), de sorte que les abonnés ne pouvaient pas comprendre les conséquences de la violation ni les mesures de protection à leur portée.

Autrement dit : le manquement sanctionné était un défaut de complétude documentaire. C’est précisément le type de défaillance qu’un contrôle automatisé élimine.

L’article 34(2) renvoie aux points (b), © et (d) de l’article 33(3) et impose une description en des termes clairs et simples. Concrètement, quatre blocs doivent figurer dans le message adressé aux personnes :

1. la nature de la violation, décrite en langage courant ;
2. les coordonnées du DPO ou d’un autre point de contact ;
3. les conséquences probables de la violation pour la personne ;
4. les mesures prises ou proposées, y compris les mesures que la personne peut prendre elle-même pour atténuer les effets — surveillance des relevés bancaires, changement de mot de passe, vigilance sur l’hameçonnage.

Un modèle verrouillé avec contrôle de présence de ces quatre blocs, une prévisualisation, et un envoi tracé : trois automatismes qui auraient évité le grief. À quoi s’ajoutent la gestion des exemptions de l’article 34(3) — données rendues incompréhensibles par chiffrement, mesures ultérieures neutralisant le risque élevé, effort disproportionné justifiant une communication publique — dont chacune doit être documentée, puisqu’elle est une décision de ne pas informer.

Étape 5 : un registre des violations qui se remplit tout seul

L’article 33(5) impose de documenter toute violation, notifiée ou non, avec les faits, les effets et les mesures correctives. C’est l’obligation la plus systématiquement oubliée, et la première que la CNIL vérifie en contrôle — parce qu’elle est facile à demander et immédiatement révélatrice.

Un registre tenu séparément du processus de traitement des incidents est un registre mort : il est alimenté par saisie manuelle a posteriori, donc il n’est jamais à jour. Le bon modèle est l’inverse : le dossier d’incident est la ligne de registre. On instruit, et le registre se constitue comme sous-produit. C’est la même logique architecturale que pour le dossier de conformité RGPD : la preuve n’est pas un livrable séparé, c’est la trace du travail.

Trois bénéfices concrets, au-delà de la conformité formelle :

• L’analyse de récurrence. Si, sur douze mois, sept violations sur douze procèdent d’erreurs d’envoi d’e-mails, le problème n’est pas la sensibilisation générale : c’est l’absence de temporisation d’envoi et de contrôle des destinataires externes. Un registre agrégeable transforme une pile de dossiers en programme d’action.
• La preuve de la mesure corrective. L’article 33(3)(d) parle des mesures prises « pour remédier à la violation, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives ». En contrôle, l’organisation qui démontre qu’un incident de mars a produit une mesure technique en avril et qu’aucun incident du même type n’est survenu depuis se trouve dans une position radicalement différente de celle qui produit une notification isolée. Le suivi des plans d’action rejoint ici la gestion des correctifs et le programme de sécurité.
• La cohérence des durées. Le RGPD ne fixe pas de durée de conservation du registre des violations. La pratique raisonnable, alignée sur les délais de prescription applicables et sur les besoins probatoires, est de cinq ans à compter de la clôture du dossier.

Notre modèle de registre des violations donne la structure minimale de champs si vous démarrez sur tableur — étape acceptable pour un premier trimestre, intenable ensuite.

Articuler les guichets : RGPD, NIS2, DORA, assureur

L’erreur d’architecture la plus coûteuse consiste à construire un processus « violation RGPD » à côté d’un processus « incident de sécurité ». Ce sont deux lectures du même événement, et les organisations qui les séparent produisent deux chronologies divergentes — dont un contrôleur ne manquera pas de relever l’écart.

Le bon modèle est un dossier d’incident unique portant plusieurs qualifications simultanées et plusieurs échéances parallèles :

Régime	Déclencheur	Délais	Destinataire
RGPD art. 33	Violation avec risque	72 h	CNIL
RGPD art. 34	Risque élevé	« Meilleurs délais »	Personnes concernées
NIS2 art. 23	Incident important	24 h / 72 h / 1 mois	ANSSI (CSIRT)
DORA	Incident majeur lié aux TIC	Circuit propre	Autorité sectorielle
Assurance cyber	Infraction pénale	Plainte sous 72 h ouvrées	Autorité judiciaire

Un même incident peut alimenter les cinq lignes. Notre guide sur la notification d’une cyberattaque détaille les articulations, et celui sur la gestion des incidents de sécurité donne le plan de réponse côté technique. Sur le versant contractuel, rappelez-vous que l’article 28 impose au sous-traitant de vous notifier « dans les meilleurs délais » : ce délai doit être stipulé en heures dans le contrat, faute de quoi il vous mange votre marge sur les 72 heures.

Le cas des violations dont vous n’êtes pas à l’origine

Une part croissante des notifications procède d’une compromission chez un prestataire. La sanction de 5 millions d’euros prononcée le 22 janvier 2026 contre FRANCE TRAVAIL (délibération SAN-2026-003) illustre la mécanique : l’attaquant est passé par l’usurpation de comptes de conseillers d’organismes partenaires, obtenant l’accès aux données de l’ensemble des personnes inscrites depuis vingt ans, numéros de sécurité sociale compris. La formation restreinte a assorti sa décision d’une astreinte de 5 000 euros par jour de retard dans la mise en œuvre des mesures correctives.

Pour ce type d’incident, l’automatisation utile porte sur trois points : la liaison entre chaque fournisseur et les traitements qu’il touche (afin de convertir instantanément « notre prestataire de paie a été compromis » en périmètre de données et de personnes), le suivi des délais de notification contractuels, et l’archivage des échanges avec le sous-traitant. C’est le prolongement direct de l’automatisation de la gestion des sous-traitants.

---

C’est cette mécanique que Legiscope prend en charge : point d’entrée unique de signalement, horodatage de la prise de connaissance, compteur 72 heures avec alertes, rattachement automatique aux traitements du registre, scoring de gravité, notification art. 33(3) pré-remplie, contrôle de complétude de l’information art. 34(2), registre des violations alimenté par le dossier. Le DPO conserve la qualification, l’appréciation du risque et la décision de notifier ; l’outil absorbe le flux et produit la preuve. La même logique s’applique au registre, à l’AIPD, aux demandes de droits et à la veille réglementaire.

Ce qu’il faut retenir

• Le délai de 72 heures court à compter de la prise de connaissance par le responsable de traitement, pas à compter de l’information du DPO ni de la fin des investigations. L’horodatage automatique du signalement interne est la première brique à poser, et la moins chère.
• 85 % du temps consommé par un dossier de violation relève du flux — collecte, recoupement, remplissage, relance — et non de l’analyse juridique. C’est ce flux qu’il faut outiller ; la qualification et la décision de notifier restent des arbitrages humains.
• L’article 34(2) est un piège de complétude. Les décisions SAN-2026-001 et SAN-2026-002 du 8 janvier 2026 contre FREE MOBILE et FREE (42 millions d’euros) reposent notamment sur un courriel d’information incomplet, pas sur une absence d’information. Un modèle verrouillé avec contrôle des quatre blocs supprime ce risque.
• Le registre de l’article 33(5) couvre toutes les violations, notifiées ou non. Il doit être un sous-produit du dossier d’incident, jamais une saisie séparée — sans quoi il n’est jamais à jour le jour du contrôle.
• Un incident, plusieurs guichets. RGPD, NIS2, DORA et assurance cyber ont des déclencheurs et des délais distincts. Maintenir un dossier unique à qualifications multiples évite les chronologies divergentes.
• La CNIL consacre en 2026 la moitié de son activité répressive aux manquements à la sécurité, sur fond de 6 167 notifications en 2025 et de plus de 2 730 au seul premier trimestre 2026. La probabilité qu’un dossier de violation soit un jour relu par un contrôleur n’a jamais été aussi élevée.

FAQ

Un logiciel peut-il décider à ma place s’il faut notifier la CNIL ?

Non, et il ne faut pas le lui demander. La décision de notifier relève du responsable de traitement au terme d’une appréciation du risque pour les droits et libertés des personnes, qui dépend du contexte, de la nature des données et des circonstances de la violation. Un outil peut calculer un score de gravité, proposer une orientation et documenter le raisonnement ; l’arbitrage et sa motivation restent humains, et c’est cette motivation que la CNIL examinera.

Faut-il inscrire au registre les violations que l’on décide de ne pas notifier ?

Oui, sans exception. L’article 33(5) impose de documenter toute violation de données à caractère personnel, avec les faits qui s’y rapportent, ses effets et les mesures correctives prises. Une organisation qui présente un registre ne contenant que les violations notifiées signale immédiatement au contrôleur qu’elle ne documente pas les incidents mineurs — ce qui est en soi un manquement, et jette un doute sur l’ensemble du dispositif.

Que faire si le délai de 72 heures est déjà dépassé au moment où l’on s’en aperçoit ?

Notifier quand même, immédiatement, en joignant les motifs du retard comme l’exige l’article 33(1). Un retard expliqué et assumé est traité très différemment d’une absence de notification. En pratique, il est également recommandé de documenter dans le dossier la chaîne de remontée qui a produit le retard et la mesure correctrice adoptée : c’est cette démonstration d’apprentissage qui pèse dans l’appréciation de la formation restreinte.

À partir de combien de violations par an l’automatisation devient-elle rentable ?

Le seuil ne se mesure pas en volume mais en exposition. Une organisation qui traite deux violations par an mais manipule des données sensibles, ou qui relève de NIS2, a plus besoin d’un dispositif outillé qu’une structure enregistrant quinze incidents anodins. Cela dit, à partir d’une dizaine de dossiers annuels, la tenue manuelle du registre et le suivi des notifications complémentaires cessent de fonctionner de façon fiable.

Le sous-traitant doit-il notifier lui-même la CNIL ?

Non. L’article 33(2) impose au sous-traitant de notifier la violation au responsable de traitement dans les meilleurs délais ; c’est ce dernier qui notifie l’autorité. En pratique, la clause de sous-traitance doit fixer ce délai en heures — vingt-quatre heures est un standard raisonnable — et prévoir le contenu minimal de l’information transmise, faute de quoi le responsable de traitement découvre l’incident trop tard pour tenir son propre délai.

---

Combien de temps vous faut-il aujourd’hui pour dire à la CNIL qui est concerné par une violation ? Legiscope rattache vos incidents à votre registre, déclenche le compteur des 72 heures, pré-remplit la notification de l’article 33(3), contrôle la complétude de l’information de l’article 34(2) et tient votre registre des violations. Demander une démo Legiscope.