Modèle de notification de violation de données - interne gratuit

Présentation

La notification de violation de données interne est le formulaire par lequel un collaborateur ou un service détectant un incident de sécurité affectant des données personnelles le signale sans délai au référent interne compétent (délégué à la protection des données, responsable sécurité, direction), avant toute décision de notification externe. Ce document formalise le premier maillon de la chaîne de traitement d'une violation de données : sans remontée interne rapide et structurée, il est matériellement impossible de respecter le délai légal de 72 heures imposé par l'article 33 du Règlement général sur la protection des données (RGPD) pour notifier une violation à la CNIL. Définition d'une violation de données (article 4.12 du RGPD) : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données. Cette définition est volontairement large et couvre aussi bien une cyberattaque (rançongiciel, exfiltration de données) qu'un incident purement interne (envoi d'un email à un mauvais destinataire, perte d'un ordinateur portable non chiffré, erreur de configuration exposant une base de données). Pourquoi une procédure interne distincte de la notification à la CNIL : le délai de 72 heures de l'article 33 du RGPD court à compter du moment où le responsable de traitement a « pris connaissance » de la violation — et non à compter de sa survenue matérielle, qui peut être antérieure de plusieurs jours ou semaines si elle n'a pas été détectée immédiatement. Une procédure interne claire, connue de tous les collaborateurs, permet de réduire au minimum le délai entre la détection d'un incident par un collaborateur et sa qualification effective comme violation de données par le référent compétent, qui seul peut déclencher l'analyse de risque et, le cas échéant, la notification externe. Contenu du formulaire de remontée interne : l'identité du collaborateur signalant l'incident et la date/heure de détection ; une description factuelle de l'incident (ce qui a été constaté, comment) ; les catégories de données et de personnes potentiellement concernées, dans la mesure du possible à ce stade ; les premières mesures conservatoires déjà prises (déconnexion d'un système, changement d'un mot de passe) ; et la transmission immédiate au référent désigné pour engager la qualification et l'analyse de risque. Erreurs à éviter : laisser un collaborateur évaluer seul si l'incident constitue ou non une violation de données au sens légal, alors que cette qualification relève du référent désigné ; attendre d'avoir toutes les informations avant de signaler l'incident, ce qui retarde le point de départ du délai de 72 heures — un signalement initial incomplet, complété ensuite, vaut mieux qu'un signalement tardif ; ne pas documenter l'heure exacte de détection, alors que cette donnée conditionne le calcul du délai légal de notification à la CNIL.

Informations à personnaliser

• Nom de l'organisation

• Nom du collaborateur signalant l'incident

• Fonction du collaborateur signalant l'incident

• Date et heure de détection de l'incident

• Description factuelle de l'incident

• Systèmes ou supports concernés

• Catégories de données potentiellement concernées

  À renseigner dans la mesure du possible à ce stade — une estimation initiale suffit.

• Mesures conservatoires déjà prises

• Référent désigné pour la qualification (DPO / RSSI)

• Contact du référent désigné

Personnalisez votre modèle

Questions fréquentes

Pourquoi une procédure de signalement interne, distincte de la notification à la CNIL ?

Parce que la notification à la CNIL (article 33 du RGPD) doit intervenir dans les 72 heures suivant la prise de connaissance de la violation. Sans procédure interne rapide et connue de tous, il est impossible en pratique de qualifier l'incident, d'évaluer le risque, et de respecter ce délai légal. Le signalement interne est le premier maillon de cette chaîne.

Un collaborateur doit-il évaluer lui-même si l'incident est une violation de données ?

Non. Cette qualification relève du référent désigné (DPO, RSSI), qui dispose de la vision d'ensemble nécessaire pour l'analyse de risque. Le collaborateur doit uniquement signaler ce qu'il a constaté, sans chercher à minimiser ou à surqualifier l'incident.

Quand court le délai de 72 heures pour notifier la CNIL ?

Le délai court à compter du moment où le responsable de traitement a pris connaissance de la violation, et non à compter de sa survenue matérielle, qui peut être antérieure si la violation n'a pas été détectée immédiatement. C'est pourquoi la rapidité de la remontée interne est déterminante.

Faut-il attendre d'avoir toutes les informations avant de signaler un incident ?

Non, c'est une erreur fréquente. Un signalement initial, même incomplet, permet de déclencher l'analyse de risque le plus tôt possible. Les informations manquantes peuvent être complétées ensuite, y compris après une première notification à la CNIL si nécessaire — le RGPD prévoit explicitement la possibilité de fournir les informations par étapes.

Que se passe-t-il après la transmission du signalement au référent désigné ?

Le référent qualifie l'incident, évalue le niveau de risque pour les droits et libertés des personnes concernées, décide des mesures correctives à mettre en œuvre, et détermine si une notification à la CNIL est requise (tout risque, même limité) et si une information des personnes concernées s'impose (uniquement en cas de risque élevé).

Modèles associés