Violation de données : définition, types et exemples

Un courriel parti au mauvais destinataire, une clé USB perdue, un serveur chiffré par un rançongiciel : ces situations relèvent de la même notion juridique. Une violation de données se produit aussi dans une PME, souvent par maladresse, et déclenche des obligations précises. Cet article explique la notion, ses trois types et les critères pour décider s'il faut notifier la CNIL ou informer les personnes. La procédure de réaction en 72 heures est détaillée dans notre guide dédié.

Que dit le RGPD sur la notion de violation ?

Le RGPD définit la violation à l'article 4, point 12 : une atteinte à la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à ces données. L'intention ne compte pas : une erreur humaine est une violation au même titre qu'une attaque. Une violation de données existe dès que des données personnelles sont touchées, même sans préjudice.

Confidentialité, intégrité, disponibilité : les trois types

La CNIL classe les violations selon ce qui est atteint : la confidentialité quand des personnes non autorisées voient les données, l'intégrité quand elles sont modifiées sans autorisation, la disponibilité quand elles deviennent inaccessibles ou sont détruites. Un même incident peut relever de plusieurs types : un rançongiciel rend les données indisponibles et, si l'attaquant les a copiées, compromet aussi leur confidentialité.

Quels incidents du quotidien sont concernés ?

La plupart des violations rencontrées dans une petite structure viennent d'une erreur de manipulation ou d'un défaut d'organisation, pas d'un pirate. Le CEPD, qui réunit les autorités européennes, a publié des lignes directrices construites sur 18 cas pratiques. Les situations suivantes sont, dans la grande majorité des cas, des violations à documenter.

• Un courriel contenant des données personnelles envoyé au mauvais destinataire, ou en copie visible à toute une liste de clients.
• Une clé USB, un ordinateur portable ou un téléphone professionnel perdu ou volé, surtout s'il n'est pas chiffré.
• Un rançongiciel qui chiffre des fichiers de clients, de salariés ou de patients.
• Un ancien salarié ou un prestataire dont les comptes n'ont pas été désactivés.
• La suppression accidentelle d'un dossier sans sauvegarde exploitable.

À l'inverse, une panne réseau sans perte de données ou une tentative d'intrusion bloquée avant tout accès ne constituent pas une violation de données. Entre les deux, il faut qualifier les faits puis évaluer le risque.

Faut-il notifier la CNIL ou informer les personnes ?

La réponse dépend du niveau de risque pour les droits et libertés des personnes concernées, pas de la taille de l'entreprise. L'article 33 du RGPD impose de notifier l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque. L'article 34 ajoute l'information des personnes en cas de risque élevé.

Pour apprécier ce risque, la CNIL retient le type de violation, la nature et la sensibilité des données, la facilité à identifier les personnes, les conséquences possibles, leur vulnérabilité et leur nombre. Le délai court dès que le responsable a un degré de certitude raisonnable qu'un incident a eu lieu. Les lignes directrices 9/2022 du CEPD détaillent cette grille. L'article 34, paragraphe 3, dispense d'informer les personnes dans trois cas, par exemple lorsque les données chiffrées restent incompréhensibles pour un tiers.

Ce que révèlent les chiffres de la CNIL

Dans son rapport annuel 2024, la CNIL indique avoir été notifiée de 5 629 violations, soit 20 % de plus qu'en 2023, et constate que le nombre d'attaques touchant plus d'un million de personnes a doublé en un an. Ces chiffres ne comptent que les violations déclarées.

Quelles sanctions en cas de défaut de notification ?

Ne pas notifier une violation de données qui le justifiait, ou le faire trop tard, est un manquement sanctionnable en lui-même. L'article 83, paragraphe 4 du RGPD prévoit pour les manquements aux articles 25 à 39 une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

• Le 18 septembre 2025, une société exploitant un grand magasin a reçu une amende de 100 000 euros pour plusieurs manquements, dont l'obligation de notifier une violation à l'autorité de contrôle (tableau des sanctions de la CNIL).
• En janvier 2026, la CNIL a infligé 27 millions d'euros à Free Mobile et 15 millions d'euros à Free. Outre des défauts de sécurité, elle a retenu que le courriel adressé aux abonnés après la violation de données ne contenait pas toutes les informations exigées par l'article 34 (communiqué de la CNIL).

Lorsque la violation résulte d'un acte malveillant, un volet pénal peut s'ajouter ; nous l'abordons dans notre article sur le vol de données en entreprise.

À retenir

• Une violation est tout incident de sécurité, accidentel ou malveillant, qui touche des données personnelles.
• Elle atteint la confidentialité, l'intégrité ou la disponibilité des données, parfois les trois.
• En PME, les cas fréquents sont des erreurs humaines : mauvais destinataire, appareil perdu, accès non révoqué.
• Tout incident se documente ; la notification dépend du risque, l'information des personnes d'un risque élevé, et les manquements sont sanctionnés.