Corriger une notification CNIL après l'enquête
Complément de notification CNIL : expliquez les chiffres corrigés, les nouveaux faits et les mesures, en conservant le lien avec le dossier initial.
Une première notification mentionnait un périmètre provisoire. L’enquête montre ensuite que certains comptes étaient des doublons, que d’autres personnes étaient concernées ou qu’une catégorie de données avait été oubliée. Le complément doit rendre ces changements intelligibles et préserver la chronologie du dossier.
Rattacher la mise à jour à la notification initiale
Conservez la référence du dossier, la date de transmission et la version du contenu envoyé. Utilisez le circuit indiqué par le téléservice ou par les échanges avec la CNIL pour transmettre le complément, afin d’éviter la création involontaire de dossiers sans lien.
L’Art. 33(4) permet de communiquer les informations de manière échelonnée lorsqu’elles ne peuvent être fournies en même temps, sans autre retard indu. La CNIL présente cette démarche de notification complémentaire.
Un complément n’est pas un moyen de faire disparaître une déclaration antérieure. Il doit expliquer ce qui a changé et pourquoi.
Préparer un tableau des modifications
| Rubrique | Première information | Nouvelle information | Explication |
|---|---|---|---|
| Personnes | Estimation initiale | Nombre affiné ou intervalle | Déduplication ou nouveau périmètre |
| Enregistrements | Volume supposé | Volume vérifié | Méthode et limites |
| Données | Catégories identifiées | Catégorie ajoutée ou exclue | Résultat de l’enquête |
| Chronologie | Date provisoire | Date confirmée | Preuve ou journal retrouvé |
| Mesures | Mesures prévues | Mesures réalisées | Date et résultat |
| Information des personnes | Plan initial | Envois et difficultés | Populations concernées |
Distinguez personnes, comptes, lignes et documents. Une baisse du nombre de lignes après déduplication n’est pas nécessairement une baisse identique du nombre de personnes.
Décrire les faits nouveaux et leur degré de certitude
Une formulation utile précise la source de la correction et les limites qui restent. Par exemple : « L’analyse des journaux conservés sur [période] confirme [fait]. Elle ne permet pas de conclure sur [autre période]. » Cette trame doit être remplie avec les faits du dossier.
Exemple hypothétique. L’estimation initiale comptait plusieurs comptes pour une même personne. Le complément explique la méthode de rapprochement et indique séparément les comptes exposés et le nombre estimé de personnes. Il ne présente pas cette correction comme une réduction automatique du risque.
Le guide sur la décision avec des faits incomplets aide à conserver la distinction entre hypothèse initiale et conclusion confirmée.
Réexaminer les conséquences pour les personnes
Une catégorie ajoutée peut changer l’évaluation du risque même si le nombre total diminue. Les Art. 33(3)(c)/(d) portent notamment sur les conséquences probables et les mesures ; l’Art. 34 doit être réexaminé si le risque élevé apparaît ou si l’information déjà adressée devient matériellement incomplète. Source : RGPD, chapitre IV.
Indiquez les communications réalisées et les mesures d’accompagnement. Un modèle non nominatif du message peut suffire pour décrire son contenu ; ne joignez pas spontanément une liste de victimes si elle n’est pas nécessaire.
L’assistance aux personnes après une violation doit recevoir les mêmes mises à jour, pour éviter des réponses contradictoires avec le complément.
Vérifier et archiver la version transmise
Faites relire les chiffres, dates, pièces et références par les personnes qui produisent ces informations. Notez ce qui demeure attendu, avec un responsable et une prochaine étape. Une enquête encore ouverte peut nécessiter plusieurs compléments pertinents.
Conservez le contenu envoyé et la preuve de transmission dans le registre des violations ou le dossier lié. La clôture d’un échange avec l’autorité ne prouve pas, à elle seule, que toutes les mesures correctrices internes sont terminées.
Avant l’envoi, contrôlez aussi les pièces jointes et leur contenu. La transmission sécurisée d’une notification de violation limite le risque d’exposer de nouvelles données en voulant documenter le premier incident.
Ce qu’il faut retenir
- Reliez clairement le complément au dossier initial.
- Expliquez les corrections de chiffres et de catégories.
- Réexaminez le risque et les informations données aux personnes.
FAQ
Faut-il attendre le rapport final pour envoyer un complément ?
Non si des informations pertinentes sont disponibles plus tôt. L’Art. 33(4) exige l’absence de retard indu dans leur transmission progressive.
Une erreur initiale interdit-elle de corriger ?
Non. La correction doit être transparente, datée et expliquée. Préserver les versions permet de comprendre l’évolution des connaissances.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.