Un ordinateur portable volé dans une voiture, une pièce jointe confidentielle envoyée au mauvais destinataire, un ransomware qui chiffre le serveur du cabinet : la violation de données n'est jamais une hypothèse théorique. C'est un scénario que tout cabinet finit, statistiquement, par rencontrer. Ce qui distingue une gestion de crise maîtrisée d'une catastrophe, ce sont les heures qui suivent la découverte de l'incident.
Qu'est-ce qu'une violation de données au sens du RGPD ?
Le RGPD définit la violation de données personnelles de manière large : il s'agit de toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à de telles données. On distingue classiquement trois types de violations, qui peuvent se cumuler :
Violation de confidentialité
Des données sont divulguées ou consultées par une personne non autorisée (email au mauvais destinataire, accès non habilité).
Violation de disponibilité
Les données deviennent inaccessibles ou sont perdues (ransomware, panne sans sauvegarde, suppression accidentelle).
Violation d'intégrité
Les données sont altérées de façon non autorisée (modification d'un document, corruption de données).
💡 Bon à savoir : une violation n'implique pas nécessairement une intrusion extérieure. La grande majorité des incidents rencontrés en cabinet ont une origine interne : erreur humaine, mauvaise configuration, perte de matériel. Le RGPD ne distingue pas selon l'origine de la violation, seulement selon ses conséquences pour les personnes concernées.
Quels scénarios concrets pour un cabinet d'avocats ?
Que faire dans les 72 heures qui suivent la découverte ?
Le point de départ n'est pas la survenance de l'incident, mais le moment où le cabinet en a — ou aurait raisonnablement dû en avoir — connaissance. C'est ce point de départ qui déclenche le délai de notification prévu par l'article 33 du RGPD.
Étape 1 — Contenir l'incident
Coupez l'accès compromis, changez les mots de passe concernés, isolez le poste ou le compte touché. L'objectif immédiat est d'empêcher que la violation ne s'aggrave.
Étape 2 — Qualifier et documenter les faits
Notez précisément la nature de l'incident, la date et l'heure de découverte, les catégories et le volume de données concernées, les personnes potentiellement affectées.
Étape 3 — Évaluer le risque pour les personnes concernées
Le risque dépend de la nature des données (une donnée judiciaire ou de santé aggrave le risque), du volume, de la facilité d'identification des personnes et des conséquences possibles (usurpation d'identité, atteinte à la réputation, révélation d'une procédure confidentielle).
Étape 4 — Décider de la notification à la CNIL
Si le risque n'est pas exclu, la notification doit intervenir sans délai et si possible dans les 72 heures suivant la découverte, via le téléservice dédié de la CNIL.
Étape 5 — Consigner l'incident dans le registre interne
Que la violation soit notifiée ou non, elle doit être enregistrée avec ses caractéristiques, ses effets et les mesures prises.
⚠️ Attention : le délai de 72 heures court même le week-end et les jours fériés. Si vous ne disposez pas de l'ensemble des informations à ce stade, l'article 33.4 du RGPD autorise une notification en plusieurs fois : une notification initiale dans les délais, complétée ultérieurement sans retard indu injustifié.
Faut-il toujours notifier la CNIL ?
Non. L'article 33 du RGPD prévoit une exception : la notification n'est pas requise si la violation n'est « pas susceptible d'engendrer un risque » pour les droits et libertés des personnes concernées. C'est une appréciation à faire au cas par cas, et non une case à cocher par défaut.
| Situation | Notification CNIL généralement nécessaire ? |
|---|---|
| Ordinateur volé, disque non chiffré, dossiers clients accessibles | Oui |
| Email confidentiel envoyé à un tiers non autorisé | Oui, en général |
| Fichier interne supprimé par erreur mais restauré depuis une sauvegarde, sans divulgation | Non, si aucune conséquence pour les personnes |
| Ransomware ayant chiffré le serveur du cabinet | Oui, quasi systématiquement |
| Accès non révoqué d'un ancien salarié, sans preuve de consultation effective | À évaluer selon le contexte et la durée d'exposition |
Faut-il informer les personnes concernées ?
L'article 34 du RGPD impose une obligation distincte et plus exigeante : lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci doivent être informées directement, dans les meilleurs délais, en des termes clairs et simples.
Pour un cabinet d'avocats, le risque est généralement considéré comme élevé lorsque :
- Des données judiciaires ou de santé sont exposées à un tiers non autorisé
- La divulgation révèle l'existence ou le contenu d'une procédure que la personne souhaitait garder confidentielle
- Des données permettant une usurpation d'identité (identité, coordonnées bancaires) sont concernées
- Le volume de personnes affectées ou la sensibilité du contexte (dossier médiatisé, partie vulnérable) aggrave les conséquences potentielles
⚠️ Pour un cabinet, cette obligation se double d'un enjeu déontologique : informer un client que ses données ont pu être exposées à un tiers relève aussi du devoir de loyauté et d'information propre à la relation avocat-client, indépendamment de la seule obligation RGPD.
Comment documenter une violation, même non notifiée ?
L'article 33.5 du RGPD impose au responsable de traitement de documenter toute violation de données, y compris celles qui n'ont pas donné lieu à notification à la CNIL. Ce registre interne des violations doit permettre à l'autorité de contrôle de vérifier le respect de cette obligation en cas de contrôle.
Chaque fiche d'incident doit préciser :
✓ La date et l'heure de découverte de l'incident
✓ La nature de la violation (confidentialité, disponibilité, intégrité)
✓ Les catégories et le volume de données concernées
✓ Les catégories et le nombre de personnes concernées
✓ L'analyse de risque effectuée et sa conclusion
✓ La décision de notifier ou non la CNIL, et sa motivation
✓ Les mesures correctives mises en œuvre
✓ Les mesures prises pour éviter qu'un incident similaire se reproduise
Ce registre interne se distingue du registre des traitements, qui recense les traitements et non les incidents. Les deux documents sont complémentaires et doivent être tenus séparément.
Anticiper plutôt que subir
La qualité de la réponse à une violation dépend directement des mesures prises en amont : chiffrement des postes, authentification à deux facteurs, contrôle d'accès par dossier et sauvegardes testées réduisent à la fois la probabilité d'un incident et sa gravité potentielle. Voir notre guide cybersécurité pour cabinet d'avocats.
Si l'incident implique un prestataire (éditeur SaaS, hébergeur), le DPA signé avec ce prestataire doit préciser ses propres obligations de notification envers le cabinet — un point à vérifier avant même la survenance d'un incident.
Chez NetJuris
Journal d'audit complet, contrôle d'accès par dossier et chiffrement natif limitent la surface d'exposition en cas d'incident et facilitent la reconstitution des faits nécessaire à toute notification. Découvrez nos fonctionnalités.
FAQ
Qui, dans un cabinet, doit être informé en premier en cas de violation suspectée ?
L'associé ou l'avocat référent RGPD du cabinet, immédiatement, pour déclencher l'analyse de risque et, le cas échéant, le compte à rebours des 72 heures. Un plan de réponse écrit, même simple, désignant cette personne à l'avance évite les pertes de temps au moment de l'incident.
Une violation chez un sous-traitant (éditeur, hébergeur) doit-elle être notifiée par le cabinet ou par le prestataire ?
Le sous-traitant doit notifier le cabinet sans délai injustifié après avoir eu connaissance de la violation. C'est ensuite au cabinet, en tant que responsable de traitement, qu'il incombe de notifier la CNIL si nécessaire — le sous-traitant ne notifie pas directement l'autorité de contrôle à sa place.
Que risque un cabinet qui ne notifie pas une violation qui aurait dû l'être ?
Un manquement à l'article 33 du RGPD est sanctionnable indépendamment de la violation elle-même, et peut faire l'objet d'une mise en demeure ou d'une sanction de la CNIL, en plus des conséquences propres à l'incident (perte de confiance des clients, risque disciplinaire si le secret professionnel est également affecté).
Combien de temps faut-il conserver le registre interne des violations ?
Le RGPD n'impose pas de durée précise, mais une conservation alignée sur la durée de conservation générale des documents de conformité du cabinet est recommandée, afin de pouvoir démontrer le respect de cette obligation en cas de contrôle a posteriori.
Publié le 2026-04-28. Contenu informatif destiné aux professionnels du droit ; il ne constitue pas une consultation juridique. Pour la procédure de notification, consultez le téléservice et les ressources de la CNIL ainsi que les articles 33 et 34 du RGPD.