Aller au contenu principal
Quel logiciel RGPD

Faut-il un outil pour gérer les violations de données ?

Pour qui : Vous êtes référent et vous voulez être prêt pour une fuite, une perte ou une erreur d’envoi de données, sans investir dans un logiciel avant d’avoir vécu un incident.

Non pour une petite structure aux incidents rares. Il vous faut trois choses gratuites : un registre interne, la trame préparatoire de la CNIL et son téléservice. Un outil se justifie quand plusieurs sites ou plusieurs incidents doivent se coordonner.

Un achat ne réglera pas le plus difficile : savoir qui alerte, qui décide et à quelle heure commence le décompte. Au-delà de 72 heures, la notification doit préciser les motifs du retard.

Notre avis

Non, si vos incidents sont rares et si votre structure tient sur un site. Préparez une trame et un registre, puis exercez-vous. L’article 33 impose de documenter chaque violation, sans fixer de support. La CNIL recommande d’en faire un registre interne, et aucun logiciel n’est exigé.

Pourquoi

  • L’article 33 demande de documenter chaque violation, notifiée ou non : faits, effets, mesures prises.
  • Hors problème technique constaté par la CNIL, une notification hors de son téléservice est refusée : aucun outil ne vous en dispense.
  • Le temps se perd entre la découverte et la décision, ce qu’un exercice montre sans rien coûter.

Ce qui change le choix

Deux incidents ouverts en même temps, des sites qui font remonter l’alerte trop tard, ou un exercice raté deux fois de suite sur la coordination. Ces repères sont les nôtres, sans valeur légale.

L’ordre à suivre

  1. Incidents rares, un seul site : trame préparée, registre écrit d’avance, exercice.
  2. Plusieurs sites, ou incidents qui se chevauchent : testez un outil pour coordonner.
  3. Personne pour décider en cas d’incident : réglez ce point avant tout achat.

Les trois pièces à préparer avant l’incident

Selon la CNIL, le récapitulatif de la notification répond à l’obligation de documentation pour cet incident. Le registre sert donc d’abord aux incidents non notifiés : votre raisonnement doit y rester écrit.

Trousse gratuite, et ce que chaque pièce ne fait pas
PièceCe qu’elle faitCe qu’elle ne fait pas
Registre interne, à créerGarde toutes les violations, notifiées ou nonAucun modèle public dédié trouvé dans ce que nous avons lu
Trame de la CNIL, juillet 2023Prépare les réponses, se partage en interneNe remplace pas le téléservice
Téléservice de la CNILReçoit la notification, complète ou en deux tempsNe décide pas du risque, ne garde pas vos violations non notifiées

Une ligne de registre pour chaque incident

Reprenez ce que la CNIL demande de documenter : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements, conséquences probables, mesures prises ou envisagées. Ajoutez, selon notre avis, l’heure de prise de connaissance, la décision de notifier ou non, son motif et son auteur. En cas de doute, la CNIL conseille de notifier.

L’exercice de trente minutes

Ce format est notre proposition, avec les personnes qui seraient réellement appelées.

  1. Annoncez un cas fictif : un courriel envoyé au mauvais destinataire avec une liste de salariés. Notez l’heure de départ.
  2. Demandez qui reçoit l’alerte, et par quel canal. Si personne ne sait, écrivez la règle et diffusez-la, prestataires inclus.
  3. Faites remplir la trame et une ligne de registre. Chaque réponse introuvable va sur votre liste de travail.
  4. Faites décider : notifier ou non, informer ou non les personnes. Nommez un remplaçant et notez le temps écoulé.

Les signaux qui justifient un outil

Regardez ce qui a cassé pendant l’exercice ou un incident réel. Un problème d’alerte se règle par une consigne. Une information dispersée entre plusieurs sites, ou deux incidents suivis dans le même fichier, relèvent de la coordination : là, un outil change quelque chose. Madis annonce un registre des violations, à héberger vous-même ; l’offre gratuite de Witik affiche 10 incidents par an. Aucun n’a été essayé.

Un sous-traitant doit vous prévenir dans les meilleurs délais : vérifiez qu’il a le bon contact.

Deux textes en discussion qui ne changent pas votre préparation aujourd’hui

Le Comité européen a soumis un modèle commun de notification à consultation jusqu’au 5 août 2026 et décidera ensuite du calendrier de mise en œuvre : il n’est pas applicable en France d’après ce que nous avons lu. Le projet Digital Omnibus réserverait la notification au risque élevé, sous 96 heures. Au 5 novembre 2026, il n’est pas adopté : 72 heures et le seuil de risque actuel restent le droit.

Limites de cette page

Aucun outil n’a été essayé, et les repères de bascule n’ont pas été éprouvés. La trame a été lue dans son introduction. Pour une violation réelle aux conséquences lourdes, un avis juridique peut se justifier : cette page ne qualifie aucun cas.

Prochaine action

Écrivez la trame et le registre, puis faites un exercice de trente minutes avec les personnes réellement appelées. Si l’alerte arrive de plusieurs sites, recommencez avec un site distant avant de comparer un outil.

Preuves et sources

Lu le 5 novembre 2026 : l’article 33 du RGPD dans le texte publié par la CNIL ; la page CNIL sur la notification, datée du 24 mai 2018 ; sa trame de juillet 2023 ; la fiche 19 de son guide de sécurité ; les pages du Comité européen sur le modèle commun de notification ; la documentation de Madis et les tarifs de Witik.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 33 du RGPD impose au responsable de documenter toute violation, en indiquant les faits, ses effets et les mesures prises, de sorte que l’autorité puisse vérifier le respect de cet article.

    Portée : Article 33, paragraphe 5, texte publié par la CNIL.

    Réserve : Numéro de paragraphe rétabli d’après l’ordre du texte. Le texte n’impose aucun support.

  • Fait lu. Le responsable notifie la violation à l’autorité dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque ; passé 72 heures, la notification est accompagnée des motifs du retard.

    Portée : Article 33, paragraphe 1, droit en vigueur au 5 novembre 2026.

    Réserve : Le point de départ s’apprécie selon les faits.

  • Déclaration de l’éditeur. Selon la CNIL, toute notification passe par son téléservice ; en dehors d’un problème technique constaté par elle, les notifications adressées autrement sont refusées, et sa trame ne sert qu’à préparer la notification ou à la partager en interne.

    Portée : Trame de juillet 2023, page datée du 24 mai 2018.

    Réserve : La CNIL signale des différences marginales entre trame et formulaire.

  • Déclaration de l’éditeur. La CNIL indique que le document récapitulatif de la notification permet de répondre à l’obligation de documentation interne, liste les éléments à documenter et conseille de notifier en cas de doute.

    Portée : Page CNIL datée du 24 mai 2018.

    Réserve : Page ancienne, mais lue le 5 novembre 2026.

  • Déclaration de l’éditeur. Le guide de sécurité de la CNIL demande de tenir un registre interne de toutes les violations.

    Portée : Fiche 19 du guide de sécurité.

    Réserve : Préconisation de la CNIL, qui ne fournit pas ce registre.

  • Fait lu. Le sous-traitant notifie au responsable toute violation dans les meilleurs délais après en avoir pris connaissance.

    Portée : Article 33, paragraphe 2.

    Réserve : Texte reproduit par la CNIL.

  • Déclaration de l’éditeur. Madis annonce un registre des violations, et l’offre Starter de Witik affiche jusqu’à 10 incidents par an avec le filtre PME et une entité, lu le 5 novembre 2026.

    Portée : Documentation et page de tarifs des éditeurs.

    Réserve : Aucun des deux n’a été essayé.

  • Fait lu. Le modèle commun de notification du Comité européen a été soumis à consultation du 10 juin au 5 août 2026, et le Comité décidera ensuite du calendrier de mise en œuvre par les autorités.

    Portée : Page de consultation et reprise du communiqué par la CNIL.

    Réserve : Modèle non applicable en France d’après les pages lues.

  • Fait lu. Le projet Digital Omnibus, dans le mandat du Conseil du 21 octobre 2026, réserverait la notification à l’autorité au risque élevé et la porterait à 96 heures ; au 5 novembre 2026, il n’est pas adopté et la fiche du Parlement indique « Awaiting committee decision ».

    Portée : PROJET, proposition de la Commission du 19 novembre 2025.

    Réserve : Position du Parlement inconnue. Jusqu’à l’application d’un texte adopté, 72 heures et le seuil de risque restent le droit.

  • Notre méthode. L’exercice de trente minutes, les colonnes ajoutées au registre et les repères de bascule sont des propositions de méthode, sans valeur légale.

    Portée : Préparation d’une petite structure.

    Réserve : À ajuster à la taille et au risque de l’organisme.

    Daté du 5 novembre 2026.