Clause de notification de violation de données : définition, rédaction et exemple

Exemple de rédaction commenté

L’exemple suppose que les deux parties peuvent être à l’origine de la détection, et que l’une au moins agit comme sous-traitant de l’autre. Il s’articule avec une clause RGPD de protection des données et, le cas échéant, avec l’acte de sous-traitance.

Article X. Notification des violations de données à caractère personnel

X.1. Au sens du présent article, une « Violation » désigne toute violation de données à caractère personnel au sens de l’article 4, point 12, du RGPD, soit une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données ou l’accès non autorisé à ces données.

X.2. La Partie qui détecte une Violation affectant les données traitées dans le cadre du Contrat en informe l’autre Partie sans délai injustifié, et au plus tard dans les vingt-quatre (24) heures suivant sa détection.

X.3. La notification précise, dans la mesure des informations disponibles : la nature de la Violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, ainsi que les mesures prises ou proposées pour y remédier et en atténuer les effets.

X.4. Lorsqu’une Partie agit comme sous-traitant de l’autre, elle prête à cette dernière toute assistance raisonnable pour lui permettre de satisfaire à ses obligations de notification à l’autorité de contrôle (article 33 du RGPD) et, le cas échéant, d’information des personnes concernées (article 34 du RGPD).

X.5. Chaque Partie documente les Violations qu’elle constate, ainsi que les mesures correctrices adoptées, et tient ces éléments à la disposition de l’autre Partie et de l’autorité de contrôle.

X.6. Aucune Partie ne procède à une communication publique relative à une Violation affectant les données du Contrat sans concertation préalable avec l’autre Partie, sauf obligation légale l’imposant.

Commentaire de X.1 : définir la violation évite les débats sur le déclenchement. Reprendre la définition de l’article 4, point 12, du RGPD ferme la porte à l’argument selon lequel tel incident « n’était pas vraiment une violation ». La confidentialité, l’intégrité et la disponibilité sont couvertes : une donnée rendue inaccessible par un rançongiciel est une violation, même sans fuite vers l’extérieur.

Commentaire de X.2 : le délai chiffré est le cœur de la clause. Le RGPD retient pour le sous-traitant le standard « dans les meilleurs délais » (article 33.2), sans quantifier. Vingt-quatre heures est un usage courant, car il laisse au responsable une marge pour tenir ses 72 heures. Le point de départ retenu est la détection, non la survenance : une entreprise ne peut réagir qu’à ce qu’elle a constaté. [À VÉRIFIER JURISTE : le délai contractuel exact à retenir et la définition précise du point de départ « détection ».]

Commentaire de X.3 : préciser le contenu évite une notification vide. Une alerte qui se borne à signaler « un incident » sans qualifier ni chiffrer ne permet pas au responsable de décider s’il doit notifier la CNIL. La liste reprend les éléments de l’article 33.3 du RGPD, ce qui aligne l’information reçue sur ce que le responsable devra lui-même transmettre.

Commentaire de X.4 : l’assistance transforme une information en capacité d’agir. Recevoir l’alerte ne suffit pas si le responsable ne dispose ni des logs, ni de l’analyse d’impact, ni du point de contact. L’article 28.3, sous f), du RGPD fait de cette assistance une obligation du sous-traitant ; la clause la rend opérationnelle en la rattachant aux articles 33 et 34.

Commentaire de X.6 : la communication publique est un risque à cadrer. Une déclaration maladroite d’un partenaire peut aggraver le préjudice de réputation ou contredire la position que vous tenez devant l’autorité. La concertation préalable protège les deux parties, sous réserve des obligations légales de transparence qui, elles, ne se négocient pas.

Ce que dit le droit

La notification à la CNIL pèse sur le responsable de traitement, dans les 72 heures. L’article 33.1 du RGPD impose au responsable de notifier toute violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Passé ce délai, la notification doit être motivée par les raisons du retard.

Le sous-traitant informe le responsable, sans délai fixe légal. L’article 33.2 du RGPD lui impose d’informer le responsable « dans les meilleurs délais » après avoir pris connaissance d’une violation. Le règlement ne chiffre pas ce délai : c’est précisément le vide que la clause vient combler, faute de quoi le point de départ des 72 heures du responsable devient incertain.

L’information des personnes concernées obéit à un seuil plus élevé. L’article 34.1 du RGPD n’impose de communiquer la violation aux personnes que lorsqu’elle est susceptible d’engendrer un risque élevé pour leurs droits et libertés. L’article 34.3 prévoit des exceptions, notamment lorsque les données étaient chiffrées ou lorsque des mesures ultérieures écartent le risque élevé.

Toute violation se documente, même non notifiée. L’article 33.5 du RGPD impose au responsable de consigner toute violation dans un registre interne, avec ses effets et les mesures prises, que la violation ait ou non été notifiée. Ce registre permet à la CNIL de vérifier le respect de l’article 33. La clause relaie cette obligation en organisant la traçabilité entre les parties.

Le manquement à la notification est sanctionné en propre. Les manquements aux obligations des articles 33 et 34 relèvent du premier niveau d’amendes de l’article 83.4 du RGPD, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Cette sanction est prononcée par la CNIL indépendamment du contrat. [À VÉRIFIER JURISTE : l’articulation entre cette sanction administrative et l’action en responsabilité entre les parties fondée sur le manquement à la clause.]

Les erreurs fréquentes

Ne pas chiffrer le délai de remontée. Renvoyer aux « meilleurs délais » de l’article 33.2 reproduit un standard flou et laisse au partenaire le soin d’apprécier l’urgence. Or celui qui subit la violation n’a pas le même intérêt que celui qui doit notifier. Un délai en heures, adossé à la détection, est la seule protection efficace.

Confondre la notification entre parties et la notification à la CNIL. La clause organise la circulation de l’information à l’intérieur du contrat ; elle ne dispense jamais le responsable de sa propre notification à l’autorité. Croire que le prestataire « s’occupe de tout » est une source classique de manquement.

Oublier de définir la violation. Sans renvoi à l’article 4, point 12, du RGPD, chaque incident donne lieu à une discussion sur sa qualification. La perte de disponibilité, souvent négligée, est pourtant une violation à part entière.

Négliger le contenu de la notification. Une alerte sans qualification ni chiffrage oblige le responsable à courir après les informations pendant que le compte à rebours des 72 heures s’écoule. Aligner le contenu sur l’article 33.3 fait gagner un temps décisif.

Traiter la notification sans la durée de conservation des preuves. La documentation des violations rejoint la question des durées de conservation, utilement traitée avec une clause de durée de confidentialité et une clause de confidentialité pour les informations sensibles échangées lors de la gestion de l’incident.

Négociation : position du prestataire contre position du client

Ce que défend le client (responsable de traitement). Un délai de notification court et chiffré, calé sur la détection, une liste d’informations complète dès la première alerte, une obligation d’assistance étendue, et un droit de regard sur toute communication publique. Il porte seul le risque devant la CNIL et cherche à s’assurer que le prestataire lui donne les moyens d’y répondre à temps.

Ce que défend le prestataire (sous-traitant). Un délai réaliste au regard de ses procédures internes de détection, un point de départ clair pour éviter d’être en faute avant même d’avoir qualifié l’incident, une assistance bornée à ses moyens raisonnables, et l’exclusion d’une responsabilité automatique du seul fait de la violation. Il refuse de garantir un résultat qu’il ne maîtrise pas seul.

Où se situe l’équilibre. Le plus souvent sur le couple délai / point de départ. Un compromis fréquent retient un délai court, par exemple 24 ou 48 heures, mais courant à compter de la détection qualifiée plutôt que de la simple survenance, assorti d’une obligation d’assistance calibrée sur l’article 28.3, sous f), du RGPD. Le client obtient la réactivité dont il a besoin ; le prestataire n’est pas mis en faute pour un incident qu’il n’a pas encore pu caractériser. Cette architecture se retrouve dans une clause de sous-traitance des données au titre de l’article 28, à laquelle la présente clause renvoie utilement.