Notification CNIL
La notification CNIL désigne l’obligation faite à tout responsable de traitement de signaler à la Commission Nationale de l’Informatique et des Libertés toute violation de données personnelles présentant un risque pour les droits des personnes concernées. Cette obligation découle des articles 33 et 34 du RGPD, en vigueur depuis le 25 mai 2018.
Quand faut-il notifier la CNIL ?
Une violation de données personnelles couvre toute atteinte à la confidentialité, à l’intégrité ou à la disponibilité de données : vol de fichiers clients, accès non autorisé à un système informatique, destruction accidentelle d’une base de données, ou chiffrement par rançongiciel. La première étape, dans tous les cas, est la documentation interne de l’incident, même si la notification à la CNIL n’est pas requise.
La notification devient obligatoire dès que la violation est susceptible d’engendrer un risque pour les personnes physiques dont les données ont été compromises. Le délai est de 72 heures à compter du moment où le responsable de traitement prend connaissance de la violation. Ce délai court même si l’évaluation n’est pas finalisée : une notification partielle, complétée ultérieurement, est admise.
Si la violation ne présente aucun risque pour les personnes concernées, la notification à la CNIL n’est pas requise, mais la documentation interne reste obligatoire.
Informer les personnes concernées
Lorsque la violation est susceptible d’engendrer un risque élevé, le responsable de traitement doit également informer directement les personnes dont les données ont été affectées, sans délai injustifié. Cette communication doit préciser la nature de la violation, les catégories de données touchées, les coordonnées du délégué à la protection des données, les conséquences probables et les mesures prises ou envisagées.
Un cabinet médical dont le système informatique est compromis et dont les dossiers de santé de patients sont exposés se trouve dans cette situation : la violation porte sur des données sensibles, le risque élevé est présumé, et l’information des patients s’impose en plus de la notification à la CNIL.
Sous-traitant et responsable de traitement
Le sous-traitant qui traite des données pour le compte d’un client n’a pas le même délai que le responsable de traitement. Il doit notifier ce dernier dans les meilleurs délais après avoir pris connaissance de la violation, sans disposer lui-même du délai de 72 heures pour contacter la CNIL directement. C’est le responsable de traitement qui reste l’interlocuteur de la CNIL.
Sanctions et couverture assurantielle
Le non-respect de l’obligation de notification expose le responsable de traitement à des sanctions administratives prononcées par la CNIL, dont le montant peut être significatif selon la gravité du manquement et la taille de la structure. Les sanctions peuvent s’accompagner de mesures correctrices et d’une publication de la décision.
Face à ces risques juridiques et financiers, une assurance cyber des entreprises peut prendre en charge les frais de notification, l’assistance juridique pour évaluer l’obligation de notifier, et les coûts liés à la communication vers les personnes concernées. La protection des données personnelles constitue un volet distinct qui complète ce dispositif pour les professionnels traitant des volumes importants de données.