Après une fuite de données, une entreprise doit agir sur trois fronts : contenir l’incident, remplir ses obligations envers la CNIL et les personnes concernées, et préserver ses droits auprès de son assureur. Plusieurs délais courent en parallèle, dont deux de 72 heures.
Ce guide s’adresse aux TPE, cabinets et indépendants. Pour la couverture d’assurance elle-même, voir l’assurance cyber pour TPE et indépendants.
Rédaction : MME Assurances — Informations vérifiées le 5 novembre 2026.
Les premiers gestes
- Contenir : couper l’accès compromis (mot de passe, compte, partage de fichiers ouvert par erreur), isoler les machines touchées.
- Préserver : ne pas effacer les traces ; noter les dates, les constats et les actions menées.
- Qualifier : quelles données, combien de personnes, depuis quand, accessibles par qui ?
- Appeler : l’assistance de votre contrat cyber si vous en avez un, et les forces de l’ordre en cas d’attaque.
Les fiches réflexes du CERT-FR (qualification et endiguement) détaillent ces étapes pour les personnes chargées de l’informatique.
Notifier la CNIL : quand et comment
Lorsque la violation présente un risque pour les droits et libertés des personnes, le responsable de traitement doit la notifier à la CNIL dans les meilleurs délais, et si possible dans les 72 heures après en avoir pris connaissance. En cas de retard, il faut en expliquer les raisons. Une notification initiale peut être complétée ensuite. La démarche se fait en ligne : voir la page CNIL sur la notification d’une violation.
Si l’incident ne présente pas de risque pour les personnes, la notification n’est pas requise. Il doit toutefois être documenté en interne dans tous les cas : nature de la violation, données et personnes concernées, conséquences probables, mesures prises.
Informer les personnes concernées
Lorsque le risque est élevé, les personnes dont les données ont fuité doivent être informées. Le message explique ce qui s’est passé, les données touchées, les conséquences possibles et les précautions à prendre (changer un mot de passe, se méfier des appels ou courriels frauduleux). En cas de doute, la CNIL peut indiquer si cette information est nécessaire.
Porter plainte et prévenir l’assureur
Si la fuite résulte d’une attaque (intrusion, piratage de messagerie, rançongiciel), un professionnel doit porter plainte dans les 72 heures pour pouvoir être indemnisé par son assurance. Cette plainte ne remplace pas la notification à la CNIL : les deux démarches sont indépendantes. Le détail est dans notre guide porter plainte sous 72 heures après une cyberattaque.
| Démarche | Délai | Condition |
|---|---|---|
| Documentation interne | Dans tous les cas | Toute violation de données personnelles |
| Notification à la CNIL | Si possible sous 72 h | Risque pour les personnes |
| Information des personnes | Dans les meilleurs délais | Risque élevé |
| Plainte | 72 h au plus tard pour être indemnisé | Atteinte informatique, activité professionnelle |
| Déclaration de sinistre à l’assureur | Selon le contrat | Contrat couvrant le risque |
Ce que l’assurance peut prendre en charge
Selon les garanties souscrites, un contrat cyber peut couvrir l’analyse de l’incident, l’accompagnement juridique pour les notifications, les frais d’information des personnes, les réclamations de tiers et les frais de défense. Les sanctions administratives sont généralement exclues ou très encadrées.
Une fuite causée par une erreur interne (fichier envoyé au mauvais destinataire, partage ouvert par erreur) n’est pas toujours couverte : vérifiez si votre contrat vise uniquement les attaques ou aussi les erreurs. Notre guide RC Pro ou assurance cyber aide à faire le point sur vos contrats actuels.
Questions fréquentes
Une fuite chez mon prestataire me concerne-t-elle ?
Si le prestataire traite des données pour votre compte, il doit vous alerter. En tant que responsable de traitement, c’est en principe à vous d’évaluer le risque et de notifier la CNIL si nécessaire.
Un courriel envoyé au mauvais destinataire est-il une violation de données ?
Oui, s’il contient des données personnelles. Il doit être documenté. Une notification n’est nécessaire que si l’incident présente un risque pour les personnes concernées.
Faut-il attendre d’avoir toutes les informations pour notifier la CNIL ?
Non. Une notification initiale peut être envoyée puis complétée dès que les informations manquantes sont disponibles.
Pour les autres protections de votre activité, consultez nos guides sur la responsabilité civile professionnelle, l’assurance décennale des artisans et la prévoyance des indépendants, ou l’ensemble de nos guides mutuelle, prévoyance et autres assurances.
Sources et documents de référence
- CNIL : notifier une violation de données personnelles.
- CNIL : les violations de données personnelles.
- CERT-FR (ANSSI) : fiche réflexe fuite de données — qualification.
- CERT-FR (ANSSI) : fiche réflexe fuite de données — endiguement.
- Direction générale du Trésor : FAQ sur l’obligation de dépôt de plainte en cas de cyberattaque (article L. 12-10-1 du code des assurances).
Cette information générale ne remplace ni la lecture des conditions générales et particulières d’un contrat, ni un conseil juridique ou technique adapté à votre situation.
