Aller au contenu principal
Quel logiciel RGPD

Que doit contenir votre registre des violations ?

Pour qui : Vous pensiez ne devoir noter que les incidents signalés à la CNIL. Une erreur d’envoi ou une sauvegarde perdue sans suite vous fait douter, et vous ne savez pas si un simple fichier est accepté.

Toute violation de données s’y inscrit, même si elle n’a pas été notifiée à la CNIL. Le RGPD exige trois éléments : les faits, les effets et les mesures prises pour y remédier. Cette documentation doit permettre à l’autorité de vérifier que vous avez respecté l’article 33.

Un fichier daté suffit à faible volume. Ajoutez la raison de vos décisions, car le Comité européen recommande de justifier une absence de notification. Le récapitulatif du téléservice de la CNIL vaut pour les violations notifiées, et seulement pour elles.

Notre avis

Créez aujourd’hui un fichier avec une ligne par violation, notifiée ou non. Écrivez d’abord les trois éléments du texte, puis la raison de chaque décision : c’est ce champ qui vous servira le jour d’une question.

Pourquoi

  • L’article 33, paragraphe 5, parle de « toute violation », sans seuil de taille ni de gravité.
  • Le Comité européen laisse le choix de la méthode et de la structure, et admet que ces informations figurent dans le registre des traitements si elles restent identifiables et extractibles.
  • Un document daté répond à ce besoin. Nous n’avons lu aucune exigence de logiciel.

Ce qui change le choix

Des violations fréquentes, plusieurs entités ou pays, ou un fichier que plusieurs personnes doivent remplir pendant une crise. Là, un outil de suivi peut se comparer, sur la même règle de signal répété.

L’ordre à suivre

  1. Peu d’incidents : un fichier à accès restreint.
  2. Registre des traitements déjà tenu : un onglet dédié, facile à extraire.
  3. Incidents fréquents, plusieurs entités ou pays : comparez un outil de suivi.

Les colonnes du fichier, avec le statut de chacune

Le texte impose trois éléments. Le Comité européen en précise le contenu et recommande d’y joindre le raisonnement. Le reste est notre ajout pratique.

Fichier de suivi des violations
ColonneContenuStatut
FaitsCauses, ce qui s’est passé, données touchées.Article 33, paragraphe 5, précisé par le point 123.
EffetsConséquences pour les personnes, catégories et nombre approximatif.Article 33, paragraphe 5 ; la CNIL cite catégories et nombres.
MesuresCe qui a été fait pour remédier et éviter la répétition.Article 33, paragraphe 5.
Décision et raisonNotifié ou non, personnes informées ou non, et pourquoi.Recommandation du Comité européen, point 125.
Retard éventuelMotif d’une notification au-delà de 72 heures.Point 126 : aide à démontrer que le retard est justifié.
Preuve de communicationCopie du message aux personnes.Point 127 : conserver la preuve de cette communication.
Heures clésAlerte, prise de connaissance, décision, notification.Notre ajout.
Numéro de notificationRéférence et récapitulatif du téléservice.Notre ajout, utile pour retrouver le document.

Qu’est-ce qui compte comme une violation à inscrire

Selon la CNIL, il y a violation lorsqu’un traitement de données subit une perte de disponibilité, d’intégrité ou de confidentialité, accidentelle ou illicite. Un courriel envoyé au mauvais destinataire, un fichier supprimé par erreur et une panne qui rend des données indisponibles peuvent donc y entrer. Le Comité européen précise qu’une perte temporaire de disponibilité se documente aussi, mais qu’une maintenance prévue n’est pas une violation de sécurité. Quand l’incident ne touche aucune donnée personnelle, il ne relève pas de ce fichier.

Le récapitulatif du téléservice ne remplace pas le fichier

La CNIL écrit que le document récapitulatif de votre notification permet de répondre à l’obligation de documentation interne. Cela règle les violations notifiées, et seulement elles. Gardez le récapitulatif et ajoutez une ligne qui y renvoie : vous aurez un seul endroit où retrouver l’ensemble.

Trois précautions de tenue

Le texte ne fixe aucune durée pour cette documentation. Le Comité européen rappelle que le responsable détermine la durée si le fichier contient des données personnelles, en tenant compte de sa valeur de preuve. Évitez donc les noms des personnes touchées quand une catégorie et un nombre suffisent. Restreignez l’accès, puisque ce fichier décrit vos faiblesses. Prévoyez la personne qui remplit la ligne, car une documentation défaillante peut, selon le Comité, conduire à l’exercice des pouvoirs de l’autorité ou à une amende.

Le projet Digital Omnibus relèverait le seuil de notification, sans modifier cette obligation de documenter d’après le considérant lu dans le mandat du Conseil. Il n’est pas adopté au 5 novembre 2026.

Limites de cette page

Le fichier proposé n’a pas été soumis à la CNIL : il traduit le texte et les lignes directrices. Une exigence sectorielle ou un autre régime de notification d’incident peut s’ajouter. Nous n’avons pas fixé de durée de conservation, faute de règle dans ce que nous avons lu.

Prochaine action

Créez le fichier et notez le dernier incident, même sans notification, avec la raison de la décision prise. Pour une violation déjà notifiée, ajoutez une ligne qui renvoie au récapitulatif du téléservice.

Preuves et sources

Lu le 5 novembre 2026 : l’article 33 du RGPD dans le texte publié par la CNIL ; la page CNIL sur la notification, datée du 24 mai 2018 ; les lignes directrices 9/2022 du Comité européen, version 2.0, points 121 à 129.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode