Le sous-traitant doit-il notifier la violation à la CNIL ?

Pour les données de ses clients, c'est le client, responsable de traitement, qui notifie. Le sous-traitant le prévient dans les meilleurs délais et l'aide. Il peut notifier au nom du client si celui-ci l'a formellement accepté et que le contrat le prévoit. Pour les données qu'il traite pour son propre compte, il notifie lui-même.

Que faire si toutes les informations ne sont pas connues au bout de 72 heures ?

La CNIL admet une notification initiale dans les 72 heures, complétée ensuite. Si le délai est dépassé, il faut expliquer les motifs du retard.

Violation de données chez un sous-traitant : les délais

Le sous-traitant qui découvre une violation de données prévient le responsable de traitement « dans les meilleurs délais après en avoir pris connaissance » (article 33, paragraphe 2, du RGPD, règlement général sur la protection des données). Le responsable, c'est-à-dire en général votre client, notifie ensuite la violation à la CNIL (Commission nationale de l'informatique et des libertés) dans les meilleurs délais et, si possible, 72 heures au plus tard, sauf si elle ne présente pas de risque pour les personnes. Dans une chaîne de revente, l'alerte traverse plusieurs maillons avant d'arriver au client : chaque heure perdue en route est prise sur son délai. D'où l'intérêt de fixer à l'avance des délais internes courts et un circuit simple.

Ce qu'est une violation

L'article 4 du RGPD la définit comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données ou l'accès non autorisé à ces données. La CNIL la résume en trois atteintes : perte de disponibilité, d'intégrité ou de confidentialité. Pour un assistant IA, cela peut être une fuite des conversations, un accès indu au tableau de bord d'un client, ou la perte de conversations qu'on devait conserver.

Le circuit d'une alerte

Étape	Qui	Ce que prévoit le texte	Délai interne à convenir (hypothèse)
Détection chez un prestataire de l'éditeur	Sous-traitant ultérieur	Prévenir son donneur d'ordre dans les meilleurs délais	Quelques heures
Alerte au partenaire	Éditeur	Idem	Quelques heures
Alerte au client	Partenaire	Idem	Dans la journée
Notification à la CNIL	Client	Meilleurs délais, si possible 72 heures au plus tard, si risque	—
Information des personnes	Client	En cas de risque élevé	—

Les délais internes sont des exemples : l'essentiel est qu'ils soient écrits, courts et connus de chacun.

Ce que la CNIL tire d'une cyberattaque chez un sous-traitant

Dans une fiche du 27/05/2026, la CNIL décrit un cas fictif, inspiré d'incidents réels : un prestataire d'informatique en nuage compromis par ingénierie sociale, dont l'attaquant copie des données de l'entreprise et de ses clients. Les enseignements pour le sous-traitant :

il doit aider ses clients concernés à effectuer leur notification et les informer le plus rapidement possible ;
il notifie pour lui-même les données qu'il traite pour son propre compte ;
il prépare des outils de communication : message d'information, guide de notification pas à pas, ligne dédiée, personnel formé, points de situation réguliers ;
il peut notifier pour le compte de ses clients, « en leur nom et après leur accord formel uniquement » ;
il prépare à l'avance un guide de notification et une organisation de crise avec un pilote unique pour les questions de protection des données.

Le guide du sous-traitant de la CNIL (septembre 2017) va dans le même sens : la notification par le sous-traitant pour le compte du client est possible si le client l'accepte et que le contrat le prévoit explicitement.

Documenter, même sans notification

La CNIL rappelle que le RGPD impose aux responsables de documenter en interne les violations, y compris celles qui ne sont pas notifiées. Le récapitulatif de la notification sert de documentation. Si toutes les informations ne sont pas connues dans les 72 heures, une notification initiale peut être faite, puis complétée ; un dépassement doit être motivé. En cas de risque élevé, les personnes concernées doivent aussi être informées.

Pour le partenaire, cela veut dire transmettre au client, dès la première alerte, ce que l'on sait : la nature de l'incident, les clients et les données touchés, l'heure de découverte, les mesures prises. Le client en a besoin pour sa propre notification.

Prévenir plutôt que guérir

L'article 32 demande au responsable et au sous-traitant des mesures de sécurité adaptées au risque : pseudonymisation et chiffrement, confidentialité, intégrité, disponibilité et résilience des systèmes, capacité à rétablir l'accès aux données après un incident, tests réguliers. Deux ressources de la CNIL aident à les choisir :

le guide de la sécurité des données personnelles, édition du 26/03/2024 : 25 fiches, dont de nouvelles fiches sur l'intelligence artificielle, l'informatique en nuage et les interfaces de programmation (API) ;
la recommandation sur la journalisation du 18/11/2021, qui permet de détecter et d'investiguer les incidents ; elle recommande de conserver les journaux entre six mois et un an.

La liste à préparer avant le premier client

Le nom et le moyen de joindre la personne qui reçoit les alertes, chez l'éditeur, chez vous et chez chaque client.
Les délais internes d'alerte, écrits dans les contrats.
Un modèle de message d'alerte au client, avec les informations à donner.
La décision, client par client, de notifier ou non pour son compte, avec son accord formel.
La liste des sous-traitants de la chaîne, pour savoir d'où une alerte peut venir (voir le sous-traitant ultérieur).

Cette page est une information générale. En cas d'incident réel, le client s'appuie sans attendre sur son délégué à la protection des données ou sur un avocat.