Aller au contenu principal
Quel logiciel RGPD

Faut-il prévenir les personnes concernées ?

Pour qui : Vous dirigez un organisme touché par une violation. Vous craignez l’effet d’un message aux clients, aux salariés ou aux usagers, et vous voulez savoir si vous pouvez l’éviter.

Oui, si la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Vous les informez dans les meilleurs délais, en termes clairs et simples. Ce seuil est plus haut que celui de la notification à la CNIL : toutes les violations notifiées ne donnent pas lieu à un message.

Trois exceptions existent : données rendues incompréhensibles, comme par un chiffrement efficace ; mesures ultérieures écartant le risque élevé ; effort disproportionné, compensé alors par une communication publique. Elles doivent pouvoir être démontrées. Dans le doute, la CNIL indique qu’elle vous dira s’il faut informer.

Notre avis

Quand le risque est élevé, prévenez. N’attendez pas d’être rassuré sur votre image : le texte vise la protection des personnes. Écrivez dès maintenant un message type, à compléter le jour venu.

Pourquoi

  • Le Comité européen rappelle que l’objectif est de donner aux personnes les gestes à faire pour se protéger. Votre silence retarde ces gestes.
  • Taire la violation à vos clients ne ferme pas la question : la CNIL peut vous imposer de les informer si elle estime que l’exception n’est pas fondée.
  • Un message rédigé à froid évite les phrases vagues. Le jour de l’incident, vous n’avez plus qu’à vérifier les faits et les faire valider.

Ce qui change le choix

Une exception vraie vous dispense, sous réserve de la prouver. Une enquête pénale peut justifier de différer le message, sur avis des autorités répressives. Si vous doutez, notifiez : la CNIL écrit qu’elle vous indiquera s’il est nécessaire d’informer les personnes.

L’ordre à suivre

  1. Risque élevé sans exception : message direct et dédié aux personnes.
  2. Risque élevé, contact impossible ou disproportionné : communication publique équivalente.
  3. Exception de chiffrement ou mesure ultérieure vérifiée : pas de message, preuve au dossier.
  4. Risque simple : notification à la CNIL sans message obligatoire aux personnes.

Les trois exceptions, telles qu’elles fonctionnent

Le texte des exceptions est celui de l’article 34, paragraphe 3. La colonne de droite reprend ce que les lignes directrices exigent en pratique.

Exceptions de l’article 34 et contrôle à faire
ExceptionCe que dit le texteContrôle à faire
Données incompréhensiblesMesures appliquées aux données touchées, comme le chiffrement.Vérifier que les données touchées étaient chiffrées, que la clé n’a pas été compromise et qu’une sauvegarde adéquate existe : sans elle, le Comité indique que la perte ou l’altération peut exiger le message, même avec un bon chiffrement. Un appareil en veille ou une clé par défaut peuvent ruiner l’exception.
Mesures ultérieuresLe risque élevé n’est plus susceptible de se matérialiser.Écrire pourquoi il ne peut plus se produire. Le Comité cite l’action immédiate contre la personne ayant eu accès aux données avant tout usage.
Effort disproportionnéUne communication publique ou similaire informe aussi efficacement.Montrer pourquoi le contact est impossible. Une communication réduite à un communiqué ou à un blog n’est pas efficace pour le Comité.

Le contenu et le canal du message

L’article 34 exige une description claire de la violation et au moins le contact, les conséquences probables et les mesures. Le Comité européen ajoute les gestes à conseiller, comme changer un mot de passe. Il demande un message dédié, distinct d’une lettre d’information. Il recommande d’éviter tout canal compromis par la violation, qu’un attaquant pourrait imiter. Le choix peut combiner courriel, SMS, courrier et bannière visible, et se conserve comme preuve.

Exemple fictif de message type

Exemple fictif : « Le 12 mars, nous avons découvert qu’une personne non autorisée a accédé à une partie de notre fichier clients. Vos nom, adresse et numéro de téléphone sont concernés. Vos coordonnées bancaires ne le sont pas. Vous pourriez recevoir des appels ou messages frauduleux qui semblent venir de nous. Ne communiquez aucun code et rappelez-nous au numéro habituel. Nous avons fermé l’accès, renforcé la protection du compte concerné et notifié la CNIL. Contact : notre délégué à la protection des données, à [adresse]. » Remplacez chaque élément par ce qui est établi. N’écrivez rien que vous n’avez pas vérifié, et retirez tout ce qui ne s’applique pas.

Pourquoi le message passe parfois avant la CNIL

Le Comité européen écrit que, dans des circonstances exceptionnelles, le message aux personnes peut précéder la notification, par exemple en cas de menace immédiate d’usurpation d’identité. À l’inverse, l’avoir notifiée à la CNIL ne dispense jamais d’informer les personnes quand cela est requis. Une réponse de l’autorité ne remplace pas votre décision : si la protection des personnes commande d’agir vite, agissez.

Limites de cette page

L’évaluation du risque dépend des données, des personnes et du contexte. Nous ne donnons pas d’avis sur un cas réel, et les exemples détaillés de l’annexe B des lignes directrices sont à relire pour votre situation. En présence d’une plainte ou d’une enquête, coordonnez le message avec votre conseil et les autorités compétentes.

Prochaine action

Écrivez dès aujourd’hui votre message type et le nom de la personne qui le valide. En cas d’incident, évaluez le risque, vérifiez si une exception est vraie, et conservez la preuve de votre décision.

Preuves et sources

Lu le 5 novembre 2026 : l’article 34 du RGPD dans le texte publié par la CNIL ; la page CNIL sur la notification, datée du 24 mai 2018 ; les lignes directrices 9/2022 du Comité européen, version 2.0, points 59, 76 à 80 et 81 à 99.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. Lorsqu’une violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable la lui communique dans les meilleurs délais, en décrivant en termes clairs et simples sa nature, le contact, les conséquences probables et les mesures.

    Portée : RGPD, article 34, paragraphes 1 et 2.

    Réserve : Texte reproduit par la CNIL, numéros rétablis.

  • Fait lu. L’article 34 écarte la communication si les données touchées ont été rendues incompréhensibles, si des mesures ultérieures écartent le risque élevé, ou si elle exigerait des efforts disproportionnés, avec dans ce dernier cas une communication publique ou une mesure similaire.

    Portée : RGPD, article 34, paragraphe 3.

    Réserve : Le chiffrement est cité en exemple.

  • Fait lu. L’autorité peut exiger la communication ou décider qu’une exception est remplie, et le Comité européen indique que les responsables doivent pouvoir démontrer qu’ils remplissent ces conditions.

    Portée : Article 34, paragraphe 4 ; points 98 et 99.

    Réserve : La partie sur la démonstration relève de la doctrine, appuyée sur l’article 5, paragraphe 2.

  • Déclaration de l’éditeur. Le Comité européen écrit que le seuil de communication aux personnes est plus élevé que celui de la notification à l’autorité et que l’objectif principal est de leur donner des informations sur les précautions à prendre.

    Portée : Points 82 et 83.

    Réserve : Doctrine.

  • Déclaration de l’éditeur. Le Comité européen écrit qu’une violation de données chiffrées reste une violation, que les données sont en principe incompréhensibles si la clé n’a pas été compromise, et que le chiffrement peut être moins protecteur selon sa mise en œuvre, par exemple en veille ou avec des clés par défaut ; même chiffrées, des données perdues ou altérées sans sauvegarde adéquate peuvent avoir des conséquences négatives qui exigent la communication aux personnes.

    Portée : Points 76 à 80, écrits pour la notification à l’autorité, et 97 pour les personnes.

    Réserve : Le raisonnement détaillé porte d’abord sur l’article 33. Nous l’appliquons au contrôle de l’exception de l’article 34. L’exception ne couvre pas une perte de données sans sauvegarde adéquate (point 76).

  • Déclaration de l’éditeur. Le Comité européen demande un message dédié, distinct d’une lettre d’information, juge qu’une communication réduite à un communiqué de presse ou à un blog n’est pas efficace, et conseille de se méfier d’un canal compromis par la violation.

    Portée : Points 89, 90 et 92.

    Réserve : Doctrine.

  • Déclaration de l’éditeur. Le Comité européen indique que le message peut, dans des circonstances exceptionnelles, précéder la notification, que notifier l’autorité ne justifie pas d’omettre le message lorsqu’il est requis, et qu’un report est possible sur avis des autorités répressives.

    Portée : Points 59 et 95.

    Réserve : Doctrine.

  • Déclaration de l’éditeur. La CNIL écrit qu’en cas de doute il faut notifier et qu’elle indiquera s’il est nécessaire d’informer les personnes, et qu’elle peut imposer de les informer.

    Portée : Page du 24 mai 2018.

    Réserve : Page ancienne.

  • Notre méthode. Le message type de cette page est un exemple fictif à adapter aux faits établis, sans valeur de modèle officiel.

    Portée : Préparation d’un incident.

    Réserve : Doit être adapté aux faits et validé en interne.

    Daté du 5 novembre 2026.