Quarante-cinq pour cent des Français ont reçu au moins une notification de violation de données en 2026 : c'est la statistique publiée par Cybermalveillance.gouv.fr à l'occasion du lancement du Cybermois, le 1er octobre (source : communiqué de presse Cybermalveillance.gouv.fr, 1er octobre 2026). En 2025, ce chiffre était de 30 %. En douze mois, la notification individuelle de violation est passée d'une exception administrative à une pratique de masse. Ce que vos destinataires savent désormais change la nature réelle de votre obligation.
Article 33 et Article 34 : deux régimes que les organisations confondent
La plupart des programmes RGPD ont centré la notification de violation autour de l'Article 33 : déclarer l'incident à l'autorité compétente dans les 72 heures. Cette obligation est connue, documentée, souvent pilotée par un processus formalisé.
L'Article 34 obéit à une logique différente. Il n'adresse pas l'autorité : il oblige l'organisation à contacter directement les personnes concernées dès qu'un incident "est susceptible d'engendrer un risque élevé pour leurs droits et libertés". Les deux obligations coexistent. Notifier la CNIL ne dispense pas de notifier les personnes concernées lorsque le risque l'exige.
Dans les faits, beaucoup d'organisations traitent l'Article 33 avec soin et l'Article 34 comme une formalité secondaire. Lorsque la notification individuelle part, elle arrive souvent en retard et ne dit pas aux personnes concernées ce qu'elles doivent faire.
Ce que le guide CNIL-Cybermalveillance révèle
Le 1er octobre 2026, la CNIL et Cybermalveillance.gouv.fr ont publié un support pratique intitulé "Violation de données personnelles, que faire en 3 étapes clés ?". Ce document, présenté sous forme de liste de contrôle, détaille les réflexes à adopter du jour de la découverte jusqu'à J+30.
Ce guide n'est pas destiné à vos équipes de conformité. Il est destiné à vos clients. En leur fournissant un cadre de référence structuré, la CNIL crée un étalon informel pour juger la qualité de vos propres notifications. Parmi les personnes ayant reçu une notification, 59 % déclarent avoir renforcé leur vigilance face aux tentatives de phishing, 53 % ont changé leurs mots de passe, et 44 % ont accru la surveillance de leurs comptes bancaires (source : Cybermalveillance.gouv.fr, communiqué de presse, 1er octobre 2026). Ces personnes savent maintenant ce qu'une bonne notification devrait déclencher chez elles. Elles sauront si votre message le leur a permis.
Les trois lacunes les plus fréquentes
Le guide révèle, par contraste, les failles typiques des notifications institutionnelles.
Absence de hiérarchisation des données exposées. Le guide distingue explicitement les types de données compromises selon leur niveau de risque : un IBAN, un mot de passe, une adresse courriel ou un numéro de téléphone n'appellent pas les mêmes actions. La plupart des modèles de notification organisationnels traitent l'ensemble des cas avec un message unique.
Absence de séquence temporelle. Le guide structure les actions de J0 à J+30. Une notification qui se contente de décrire ce qui s'est passé n'indique pas aux personnes concernées ce qu'elles doivent faire dans les 48 heures, ni dans trois semaines.
Manque de contenu actionnable. L'Article 34 exige que la notification décrive "les mesures prises ou envisagées" et les conséquences probables. Les coordonnées du délégué à la protection des données doivent figurer. Peu de notifications organisationnelles atteignent ce niveau de précision.
Ce que l'amende contre Free Mobile illustre
En janvier 2026, la CNIL a prononcé deux sanctions contre Free Mobile et Free pour un montant total de 42 millions d'euros (source : CNIL, délibération SAN-2026-004, 14 janvier 2026). L'incident avait exposé les données de 24 millions de contrats, dont des IBAN.
L'enquête a identifié plusieurs manquements au RGPD. L'un d'eux portait sur la notification de violation : la CNIL a jugé que les personnes concernées n'avaient pas reçu l'information dont elles avaient besoin pour se protéger efficacement. Ce n'est pas uniquement la décision de notifier ou non qui a été sanctionnée : c'est le contenu et l'adéquation de la notification.
Ce précédent montre que votre service juridique peut avoir rempli les cases de l'Article 33 de manière irréprochable tout en laissant ouvert un risque Article 34.
Quatre mesures pour aligner votre processus
Cartographier vos données par niveau de risque en cas de violation. Pour chaque type de données que vous traitez, établissez un seuil de risque : adresse courriel seule, numéro de téléphone, IBAN, données de santé, données d'identité avec document. Ce tableau sera l'entrée de vos processus Article 33 et Article 34.
Rédiger des modèles par catégorie de risque. Un modèle pour les violations à risque modéré, un autre pour les violations à risque élevé. Chacun doit inclure : description précise de ce qui a été exposé, risques probables selon le type de données, actions immédiates recommandées, coordonnées du DPO, horizon de suivi.
Structurer la communication dans le temps. Une notification à J0 n'est pas suffisante pour les violations à risque élevé. Un rappel à J+7 sur les actions encore disponibles, un point à J+30 sur les mesures prises côté organisation : cette séquence réduit les plaintes individuelles et documente votre bonne foi face à la CNIL.
Mettre vos modèles à l'épreuve du guide CNIL. Relisez vos notifications actuelles en vous posant la question suivante : si vous étiez destinataire de ce message, sauriez-vous quoi faire dans les 30 jours suivants ? Si la réponse est incertaine, le modèle doit être révisé.
La notification n'est pas une formalité
La progression de 30 % à 45 % en un an n'est pas un effet d'annonce. Elle traduit la montée en charge des obligations de notification à mesure que le RGPD, NIS2 et le Cyber Resilience Act multiplient les déclencheurs. Les personnes qui recevront votre prochaine notification de violation ont déjà traversé ce processus ailleurs. Elles compareront.
Pour comprendre comment les régimes CRA, NIS2 et RGPD s'articulent dans la notification aux autorités, consultez notre analyse des trois régimes de notification déclenchés par un seul incident.